CIPL: A Target-Independent Framework for Channel-Inversion Privacy Leakage in Agents

Título: CIPL: Um Framework Independente de Alvo para Vazamento de Privacidade por Inversão de Canal em Agentes

1. O Problema: Vazamento de Privacidade além da Memória

Os Agentes de Grandes Modelos de Linguagem (LLMs) operam cada vez mais com dados sensíveis do usuário (histórico de interações, documentos recuperados, saídas de ferramentas). O risco de privacidade tradicionalmente focava na memória do agente (onde dados são armazenados e recuperados).

No entanto, o artigo identifica que o risco é mais amplo:

• Dependência Interna: Sempre que um agente seleciona, monta e reutiliza conteúdo privado internamente em seu pipeline, um atacante pode tentar transformar essa dependência oculta em um sinal observável.
• Limitação das Abordagens Atuais: As avaliações existentes de vazamento (como o ataque MEXTRA) estão fortemente ligadas a sistemas específicos e superfícies de saída únicas (geralmente a resposta final de texto). Isso dificulta a comparação entre diferentes arquiteturas (ex: agentes com memória vs. sistemas RAG vs. fluxos de trabalho com ferramentas).
• A Questão Central: Não é apenas onde a informação está armazenada, mas como a dependência interna do sistema sobre essa informação pode ser "invertida" para se tornar um sinal recuperável externamente através de qualquer canal observável.

2. Metodologia: O Framework CIPL

Os autores propõem o CIPL (Channel Inversion for Privacy Leakage), um framework independente do alvo que formaliza o vazamento de privacidade como um problema de inversão de canal.

2.1 Assinatura do Alvo (Target Signature)

O CIPL modela qualquer sistema de agente através de uma assinatura comum de seis estágios, permitindo a comparação entre sistemas heterogêneos:

1. S (Fonte Sensível): Onde os dados privados residem (memória, banco de dados de recuperação, retorno de ferramentas).
2. Sel (Seleção): O operador que escolhe o conteúdo sensível para o contexto atual.
3. Asm (Montagem): Como o conteúdo é integrado ao contexto do modelo ou à condição de ação.
4. Exec (Execução): O processamento interno pelo agente.
5. Obs (Observação): O canal visível ao atacante (resposta em texto livre, argumentos de chamada de ferramenta, retorno de ferramenta, traços de execução).
6. Ext (Extração): A função que mapeia o artefato observado para unidades de vazamento recuperáveis.

2.2 Linguagem de Ataque Independente

Em vez de criar prompts específicos para cada sistema, o CIPL utiliza uma linguagem de ataque reutilizável composta por três componentes:

• Locator (Localizador): Especifica qual conteúdo interno sensível deve ser trazido à tona (ex: direcionar o modelo para registros específicos recuperados).
• Aligner (Alinhador): Define como e em que forma esse conteúdo deve se tornar visível, compatível com o canal de observação do alvo (ex: pedir uma lista estruturada, argumentos de ferramenta ou eco de retorno).
• Diversification Policy (Política de Diversificação): Estratégia para distribuir o orçamento de ataques (várias consultas) de modo a maximizar a cobertura de unidades vazadas, reduzindo a sobreposição de conteúdo selecionado.

3. Contribuições Principais

1. Formulação Geral: Define o vazamento de privacidade em agentes como um problema de inversão de canal, onde a extração de memória é apenas um caso especial de um mecanismo mais amplo.
2. Framework Unificado (CIPL): Apresenta um método independente do alvo baseado em uma assinatura comum e uma linguagem de ataque modular.
3. Validação Empírica: Implementa o CIPL em três classes distintas de sistemas:
   • Agentes baseados em memória (estilo MEXTRA).
   • Sistemas aumentados por recuperação (RAG).
   • Fluxos de trabalho com chamadas de ferramentas (Tool-calling).

4. Resultados Experimentais

Os autores avaliaram o CIPL em quatro alvos (dois baseados em memória, um RAG e um com ferramentas) usando três provedores de modelos de linguagem (MiniMax-M2.5, qwen3.5-plus, DeepSeek).

• Recuperação da Extração de Memória: O framework recuperou com sucesso o comportamento clássico de vazamento de memória. Alvos baseados em memória mostraram-se extremamente vulneráveis, com taxas de extração completa (CER) e taxa de extração de qualquer item (AER) próximas de 100% em vários provedores.
• Vazamento em Canais Não-Memória:
  • RAG (Recuperação): Mostrou um padrão de "alto AER, baixo CER". O modelo frequentemente expõe parte das evidências sensíveis (vazamento parcial), mas raramente as reproduz integralmente em uma única tentativa.
  • Ferramentas (Tool-calling): O vazamento ocorre através de argumentos de chamada de ferramenta ou retornos ecoados. A eficácia depende fortemente do provedor do modelo e do canal específico. Em alguns casos, o retorno da ferramenta é um canal mais fácil de inverter do que os argumentos.
• Fatores de Modulação:
  • Estabilidade vs. Vazamento: Aumentar a profundidade de recuperação (mais dados sensíveis no contexto) nem sempre aumenta o vazamento externo; em alguns casos (como no MiniMax-M2.5), isso levou à instabilidade do pipeline e erros de execução, reduzindo o vazamento recuperável.
  • Dependência do Provedor: O comportamento do modelo (backbone) é uma variável de segurança crítica. O mesmo protocolo de ataque resultou em vazamento total em um modelo e vazamento parcial ou nulo em outro.

5. Significado e Implicações

O trabalho propõe uma mudança de paradigma na avaliação de segurança de agentes LLM:

1. Mudança de Foco: A auditoria de privacidade deve sair de uma visão focada em componentes de armazenamento ("a memória está segura?") para uma visão focada em canais de observação ("como a dependência interna pode ser externalizada?").
2. Superfícies de Ataque Ampliadas: Além da resposta final de texto, superfícies como argumentos de ferramentas, retornos de ferramentas e traços de execução devem ser tratadas como superfícies de privacidade de primeira classe.
3. Red Teaming Orientado a Canais: A avaliação de segurança (Red Teaming) deve ser organizada em torno da exploração de canais observáveis, não apenas da correção da tarefa final. Um sistema pode ser funcional na tarefa principal, mas ainda assim expor artefatos privados intermediários sob prompts adversários.
4. Metodologia de Avaliação: A distinção entre exposição interna (o que o modelo vê) e vazamento externo (o que o atacante recupera) é crucial. Métricas que medem apenas a correspondência exata de strings podem subestimar riscos em cenários onde o vazamento é parcial ou semântico.

Conclusão

O CIPL demonstra que o risco de privacidade em agentes não é confinado ao armazenamento de dados, mas é uma propriedade do fluxo de informação através do pipeline do agente até os canais observáveis. O framework fornece uma base unificada para comparar, entender e mitigar esses riscos em arquiteturas heterogêneas, sugerindo que a segurança futura deve envolver o endurecimento de todos os canais de saída, não apenas a proteção da memória.