Resumo Técnico: AgentCrypt

Declaração do Problema

Agentes de IA em sistemas multiagente estão cada vez mais encarregados de lidar com dados sensíveis e regulamentados. No entanto, as defesas de privacidade existentes — principalmente abordagens de "guardrails" e varredura de LLMs — dependem de proteções empíricas e de casos médios. Esses métodos falham em prevenir vazamentos pós-acesso por meio de chamadas de ferramentas, compartilhamento de contexto, persistência de memória, inferência ou roteamento multi-hop.

A questão central é a não determinística inerente dos Modelos de Linguagem de Grande Escala (LLMs). Em ambientes regulamentados (por exemplo, saúde, finanças), uma taxa de sucesso de ataque não nula é inaceitável. A "tríade letal" de acesso a dados privados, exposição a conteúdo não confiável e canais de comunicação externos cria riscos significativos. Além disso, a má geração probabilística por si só pode desencadear divulgação mesmo sem prompts adversariais. As estratégias atuais de mitigação não podem garantir zero sucesso de ataque porque seus mecanismos de segurança dependem das saídas probabilísticas dos LLMs que buscam proteger.

Metodologia: O Framework AgentCrypt

Os autores apresentam o AgentCrypt, um framework de três níveis que impõe privacidade por meio de um envoltório criptográfico determinístico independente do comportamento do modelo. Esse envoltório fornece garantias rigorosas, no pior dos casos, para dados marcados, assegurando privacidade mesmo sob manipulação adversarial ou erros do agente.

O framework opera em três níveis progressivos de funcionalidade:

Nível 1: Sem Privacidade

Agentes trocam dados brutos em texto simples sem criptografia ou controle de acesso. Este nível serve como uma linha de base para fluxo de informação irrestrito, adequado apenas para serviços públicos não sensíveis.

Nível 2: Privacidade de Recuperação Baseada em Política

Este nível impõe privacidade por item de dados usando Criptografia Baseada em Identidade (IBE).

• Mecanismo: Uma ferramenta "Buscar e Criptografar" recupera dados de um banco de dados e os criptografa imediatamente sob uma chave derivada da identidade do destinatário (por exemplo, política baseada em função).
• Garantia: Mesmo que um agente recupere acidentalmente os dados errados (por exemplo, confundindo dois funcionários) ou aja maliciosamente, os dados permanecem criptografados. Apenas um agente com a chave de descriptografia correta (autorizada pela política) pode acessar o texto simples.
• Modelo de Ameaça: Protege contra acesso não autorizado, impersonificação e raciocínio incorreto do agente. A privacidade é garantida criptograficamente mesmo se a correção for comprometida.

Nível 3: Privacidade de Computação Baseada em Política

Este nível estende as proteções para computações realizadas sobre entradas privadas.

• Mecanismo: Um envoltório de segurança independente impõe criptografia de saída determinística e controle de acesso. Quando um agente computa uma função $f$ sobre entradas privadas, o envoltório aplica uma política à saída.
• Lógica da Política: Por padrão, a política de saída é a interseção das políticas de todos os itens de dados de entrada. Isso previne ataques de inferência condicional (por exemplo, "Se o salário de Charlie > 100k, retorne o salário de Alice").
• Controle Granular: O framework suporta ferramentas determinísticas pré-aprovadas que computam funções agregadas específicas (por exemplo, médias setoriais) com políticas de saída relaxadas e específicas da função, permitindo análises úteis sem expor registros individuais.
• Opção Avançada: Para cenários que exigem computação diretamente sobre dados criptografados sem descriptografia, o framework pode integrar Criptografia Homomórfica Total (FHE), embora as operações padrão do Nível 3 dependam de IBE para a resposta final.

Contribuições Principais

1. Primeiro Framework Agente com Garantias de Segurança Formais: Diferentemente de trabalhos anteriores de "segurança" que enfatizam robustez empírica, o AgentCrypt fornece garantias de privacidade no pior dos casos rigorosamente definidas.
2. Definições de Segurança Formais para Agentes Probabilísticos: Os autores propõem um modelo de segurança adaptado a agentes LLM, tratando o agente como um adversário semi-malicioso que pode controlar as saídas do LLM (aleatoriedade), mas é restrito por um envoltório criptográfico determinístico. Eles definem segurança baseada em simulação onde a visão de um adversário é indistinguível de uma execução ideal.
3. Arquitetura de Três Níveis: Um framework escalável que vai desde recuperação criptografada simples (Nível 2) até computações complexas de preservação de privacidade (Nível 3).
4. Segurança de Roteamento Multi-Hop: O framework aborda cenários onde dados sensíveis atravessam múltiplos agentes intermediários. A criptografia garante que intermediários vejam apenas texto cifrado, um cenário além do alcance da varredura de LLM.
5. Conjunto de Dados de Benchmark e Ferramentas: Os autores contribuem com um benchmark de 914 cenários multiagente anotados com privacidade cobrindo 14 classes de ataque (incluindo impersonificação, roteamento multi-hop e exfiltração do mundo real) em regulamentações como FERPA, HIPAA, GLBA, GDPR e CCPA. Eles também fornecem ferramentas de geração de dados sintéticos.
6. Implementação: O AgentCrypt é implementado em stacks multiagente modernos, incluindo LangGraph e Google ADK (com o protocolo Agent2Agent).

Resultados Experimentais

O framework foi avaliado em 914 cenários envolvendo vários tipos de falhas e ataques.

• Preservação de Privacidade: O AgentCrypt manteve 100% de privacidade em todos os cenários, independentemente da correção do agente ou do tipo de ataque. Mesmo em casos de "exfiltração do mundo real" (por exemplo, ataques de e-mail Superhuman AI, vulnerabilidades GitHub MCP) e erros de roteamento multi-hop, nenhum texto simples sensível foi vazado.
• Correção da Tarefa: O framework manteve 84,14% de correção da tarefa (média ponderada). A correção variou por categoria:
  • Alta correção (96–99%) para impersonificação, inferência condicional e seleção incorreta de ferramentas.
  • Correção mais baixa (48–67%) para erros de roteamento multi-hop, confusão de identidade e falhas de sanitização multi-turno.
  • Correção próxima de zero (0–10%) para vazamento de contexto e ataques de exfiltração do mundo real, destacando a dificuldade dessas interações para LLMs, embora a privacidade permanecesse intacta.
• Sobrecarga: O artigo avalia a sobrecarga computacional da FHE para o Nível 3, observando que, embora ordenar 50 elementos via CKKS FHE leve cerca de 150 segundos, o framework permanece funcional e de preservação de privacidade.

Significado e Alegações

O artigo afirma que o AgentCrypt representa uma mudança fundamental da segurança empírica para a segurança formal em agentes de IA. Ao desacoplar a aplicação de privacidade do raciocínio probabilístico do LLM, o framework garante que uma única falha de agente não possa violar a conformidade.

Os autores enfatizam que sua abordagem não se trata de "fortalecer o agente com vazamentos", mas sim de "apoiar as defesas do banco de dados subjacente" por meio de criptografia. Isso permite que agentes operem em domínios de alto risco (saúde, finanças) onde qualquer vazamento de dados é inaceitável, fornecendo uma garantia de nível de sistema que é independente de o agente raciocinar corretamente ou não.

Limitações:

• O framework depende de um pré-requisito de que todos os elementos de dados sensíveis estejam corretamente marcados com políticas de acesso em uma fase offline. Se uma marcação estiver ausente, o sistema falha com segurança (para) em vez de expor dados.
• A saída descriptografada de computações revela necessariamente o resultado da função; para aplicações que exigem limites na inferência dessas saídas, os autores sugerem integrar Privacidade Diferencial (DP) como um complemento futuro, observando que DP para chats de LLM permanece um problema aberto.