PlanTwin: Privacy-Preserving Planning Abstractions for Cloud-Assisted LLM Agents

1. O Problema

Com o aumento do uso de Modelos de Linguagem de Grande Escala (LLMs) hospedados na nuvem como "planejadores" em sistemas de agentes autônomos, surge um dilema fundamental de privacidade e segurança:

• Contexto: Agentes locais (edge) frequentemente precisam coordenar tarefas complexas (como manipulação de código, arquivos, credenciais e metadados sensíveis) usando a inteligência de planejamento de modelos de nuvem poderosos.
• Desafio: Para planejar eficazmente, os modelos na nuvem tradicionalmente recebem o contexto bruto do ambiente local. No entanto, esse ambiente contém informações sensíveis (código-fonte, chaves de API, logs, PII) que não podem ser expostas à nuvem.
• Limitação das Soluções Atuais:
  • Sandboxing e Controle de Acesso: Protegem a execução (o que o agente pode fazer), mas não controlam o que o planejador na nuvem observa durante a fase de planejamento.
  • Redação de PII: Remove tokens específicos, mas falha em capturar segredos específicos de domínio e metadados estruturais que permitem reidentificação.
  • Inferência Local: Evita a exposição na nuvem, mas sacrifica a capacidade de planejamento dos modelos de ponta (frontier models).
  • Ambientes de Execução Confiáveis (TEEs): Protegem dados durante o processamento, mas não respondem à questão semântica de quanto informação o planejador realmente precisa ver.

Questão Central: Como permitir que um agente local beneficie-se do planejamento em escala de nuvem sem revelar o estado real e sensível do ambiente subjacente?

---

2. Metodologia: PlanTwin

O PlanTwin propõe uma arquitetura de "Gêmeo Digital" (Digital Twin) focada em privacidade. A ideia central é projetar o ambiente real em uma representação abstrata, sanitizada e estruturada que preserva a estrutura necessária para o planejamento, mas remove detalhes reconstrutíveis.

Arquitetura do Sistema

O sistema divide-se em duas camadas assimétricas:

1. Camada Local Confiável (Edge): Possui acesso direto ao ambiente real. É responsável pela projeção de privacidade, aplicação de políticas, execução e sanitização de saída.
2. Planejador na Nuvem (Não Confiável): Opera exclusivamente sobre o "gêmeo digital" sanitizado e uma interface de capacidades limitada. Nunca acessa arquivos brutos, caminhos, credenciais ou saídas não sanitizadas.

Pipeline de Projeção de Privacidade (4 Estágios)

O ambiente local ($X_t$) é transformado em um gêmeo digital sanitizado ($Z_t$) através de quatro estágios:

1. Extração Tipada: Um modelo de linguagem pequeno (SLM) local ou heurísticas extraem a estrutura semântica (ex: tipo de objeto, papel semântico, affordances de tarefa) sem expor o conteúdo bruto.
2. Detecção e Redação de Entidades Sensíveis: Remove ou mascara identificadores óbvios (nomes, emails, URLs, chaves, tokens) usando regex e regras específicas para código.
3. Generalização e Bucketização: Substitui valores exatos por categorias amplas (ex: tamanho de arquivo $\rightarrow$ {pequeno, médio, grande}; timestamp $\rightarrow$ {recente, antigo}). Isso preserva distinções relevantes para o planejamento, mas remove detalhes identificadores.
4. Projeção de Esquema: O objeto processado é projetado em um esquema JSON fixo e estruturado. O resultado é um grafo tipado abstrato onde nós são artefatos anônimos e arestas são relações (dependências, similaridade).

Interface Baseada em Capacidades e Gatekeeper

• Capacidades Declarativas: O planejador na nuvem não acessa arquivos diretamente. Ele solicita operações através de um catálogo de capacidades limitado (ex: security_audit, compare_objects).
• Gatekeeper Local: Um componente local valida cada passo do plano gerado na nuvem. Ele verifica:
  • Se a capacidade solicitada é permitida.
  • Se a execução é segura e compatível com políticas.
  • Controle de Orçamento de Divulgação (Disclosure Budget): Rastreia a informação cumulativa revelada sobre cada objeto ao longo de múltiplas interações. Se um objeto atingir seu limite de orçamento ($\tau(o)$), novas informações são suprimidas.
• Sanitização de Saída: Os resultados da execução local são sanitizados antes de serem retornados à nuvem.

Definições de Privacidade

O sistema formaliza objetivos de privacidade:

• $(k, \delta)$-Anonimato: Resistência à reidentificação de objetos.
• $\epsilon$-Desvinculabilidade: Impossibilidade de vincular objetos entre sessões diferentes.
• Não Divulgação de Itens Sensíveis (SND): Garantia de que itens sensíveis nunca cruzam a fronteira de confiança.

---

3. Contribuições Principais

1. Formulação do Problema: Posiciona o planejamento assistido por nuvem sem exposição de contexto bruto como um problema de sistema distinto, diferenciando-o de sandboxing e controle de acesso tradicional.
2. Pipeline de Projeção Local: Propõe um pipeline de quatro estágios que converte o ambiente real em um grafo abstrato sanitizado, garantindo que o planejador nunca receba contexto bruto livre.
3. Protocolo de Planejamento Declarativo: Introduz uma interface baseada em capacidades e formaliza o trade-off privacidade-utilidade como um problema de granularidade de capacidades.
4. Gatekeeper com Orçamento Acumulativo: Desenha um mecanismo local que controla a divulgação cumulativa de informações estruturais ao longo de múltiplas interações, formalizando metas de privacidade.
5. Implementação e Avaliação: Implementa o PlanTwin como middleware e valida sua eficácia em 60 tarefas reais em 10 domínios, demonstrando que é possível manter alta qualidade de planejamento sem expor dados sensíveis.

---

4. Resultados da Avaliação

O sistema foi avaliado com 60 tarefas em 10 domínios (ex: assistente de código, DevOps, segurança) usando quatro planejadores na nuvem diferentes (Kimi, Gemini, MiniMax, GLM).

• Privacidade (SND): O PlanTwin alcançou SND = 1.0 (100% de não divulgação de itens sensíveis) em todos os cenários. Nenhum dado sensível (chaves, PII, credenciais) foi exposto à nuvem.
• Qualidade do Planejamento (PQS):
  • O PlanTwin manteve uma qualidade de planejamento muito próxima dos sistemas de contexto completo.
  • Com o planejador Kimi K2.5, o PQS foi 0.808 (vs. 0.843 para contexto bruto), uma diferença estatisticamente insignificante.
  • Três dos quatro planejadores atingiram PQS > 0.79.
  • A perda de utilidade total foi inferior a 2.2%.
• Comparação com Baselines:
  • Redação de PII: Teve maior PQS (0.887), mas vazou 16.5% dos itens sensíveis (falha crítica em tarefas de código).
  • Apenas Local (SLM): Garante privacidade perfeita, mas a qualidade do planejamento foi muito inferior (PQS ~0.28 a 0.56), mostrando que modelos locais não substituem a capacidade de planejamento da nuvem.
• Análise de Reidentificação: Sem controle de orçamento, um adversário com conhecimento auxiliar poderia reidentificar arquivos com 94.1% de precisão. O mecanismo de orçamento do PlanTwin mitiga isso efetivamente.
• Overhead: O pipeline de projeção local adiciona latência mínima (<1ms para etapas determinísticas), embora a extração com SLM possa adicionar 7-26 segundos dependendo da complexidade. A latência total é dominada pelo tempo de API da nuvem.

---

5. Significado e Conclusão

O PlanTwin demonstra que o planejamento robusto na nuvem não exige a exposição de contexto bruto.

• Mudança de Paradigma: O trabalho desloca o foco do controle de execução (o que o agente pode fazer) para o controle de observação (o que o planejador vê).
• Interface de Sistema: Propõe que a "observabilidade no momento do planejamento" deve ser tratada como uma interface de sistema de primeira classe em agentes conscientes de privacidade.
• Viabilidade Prática: A arquitetura é agnóstica ao planejador (funciona com diferentes LLMs) e robusta a ataques de reidentificação e vazamento estrutural.
• Impacto: Permite que organizações utilizem a inteligência de modelos de ponta na nuvem para tarefas complexas em ambientes privados (como código proprietário ou dados de saúde) sem comprometer a segurança ou a conformidade com regulamentações de privacidade.

Em resumo, o PlanTwin preenche uma lacuna crítica no ecossistema de agentes LLM, permitindo a orquestração segura e eficiente entre a borda (dados sensíveis) e a nuvem (inteligência de planejamento).