BodhiPromptShield: Pre-Inference Prompt Mediation for Suppressing Privacy Propagation in LLM/VLM Agents

Título: BodhiPromptShield: Mediação de Prompt Pré-Inferência para Supressão da Propagação de Privacidade em Agentes LLM/VLM

1. O Problema: Propagação de Privacidade em Agentes

O artigo identifica uma lacuna crítica na proteção de privacidade em sistemas de Agentes de Inteligência Artificial (baseados em LLMs e VLMs).

• Contexto: Em pipelines de agentes, o prompt do usuário não é apenas processado por um modelo; ele flui através de múltiplos componentes, como consultas de recuperação (RAG), escrita em memória, chamadas de ferramentas (tools) e logs.
• A Falha Atual: As soluções existentes de desidentificação (como redação de documentos) focam apenas nas fronteiras do documento original. Elas não impedem que conteúdo sensível, mesmo que parcialmente protegido, seja copiado, transformado ou exposto em estágios subsequentes do agente (ex: uma consulta de busca que contém um endereço não totalmente ofuscado).
• Risco: Informações sensíveis (PII, dados financeiros, médicos) podem vazar não apenas na resposta final, mas em todas as etapas intermediárias do ciclo de vida do agente, antes que uma restauração autorizada ocorra.

2. Metodologia: BodhiPromptShield

Os autores propõem o BodhiPromptShield, um framework de mediação de privacidade que atua antes da inferência do modelo (pré-inferência), interceptando o prompt bruto do usuário.

Arquitetura e Fluxo de Trabalho:

O sistema opera em quatro etapas principais:

1. Extração de Spans Sensíveis: Identificação de entidades privadas (nomes, IDs, endereços) usando detectores baseados em regras, NER e julgamento contextual, inclusive em imagens via OCR/VLM.
2. Sanitização Semântica Preservadora: Transformação dos spans sensíveis em surrogados protegidos através de três modos, selecionados dinamicamente por uma política:
   • Substituição por Placeholders Tipados: Ex: <PERSON_1> (preserva o tipo da entidade).
   • Abstração Semântica: Ex: substituir um endereço completo por "um endereço residencial em Auckland".
   • Mapeamento Simbólico Seguro: Substituição por tokens opacos vinculados a uma tabela de mapeamento segura (fora do estado do agente), permitindo restauração apenas em limites autorizados.
3. Inferência do Agente: O prompt sanitizado ($\tilde{x}$) é enviado para o pipeline do agente (recuperação, memória, ferramentas).
4. Restauração Segura: A restauração dos valores originais ocorre apenas em limites de execução autorizados, impedindo que dados brutos circulem nas etapas intermediárias.

Objetivo de Otimização:

O framework busca equilibrar três variáveis acopladas:

• Minimizar a exposição residual direta ($L_{direct}$).
• Minimizar o risco de propagação através das fronteiras do agente ($R_{prop}$).
• Maximizar a utilidade da tarefa downstream ($L_{utility}$).

A seleção do modo de sanitização é governada por um perfil de política ($\pi$) que considera a categoria de privacidade, a confiança da detecção e a necessidade de valores exatos para a tarefa.

3. Principais Contribuições

1. Reformulação do Problema: A privacidade em agentes é tratada como um problema de controle de propagação entre estados do agente, e não apenas como mascaramento de um único documento.
2. Mecanismo de Mediação Consciente de Política: Introduz a "tempo de restauração" como uma variável de segurança explícita, atrasando a recuperação de dados sensíveis até que sejam estritamente necessários para a execução.
3. Protocolo de Avaliação Consciente de Propagação: Define o CPPB (Controlled Prompt-Privacy Benchmark), que mede a exposição direta, a propagação entre estágios (recuperação, memória, ferramentas) e a retenção de utilidade.
4. Evidência Empírica Controlada: Apresenta resultados que separam os resultados centrais (baseados em registros) de slices de suporte controlados, delimitando claramente o escopo de transferência para benchmarks públicos.

4. Resultados Experimentais

Os testes foram realizados no CPPB, comparando o BodhiPromptShield com abordagens como redação regex, mascaramento NER, desidentificação genérica e redação em etapas corporativa.

• Supressão de Propagação:
  • Sem proteção: 100% de exposição em todos os estágios.
  • Redação Regex: ~60% de exposição residual.
  • BodhiPromptShield: Reduz a propagação de 10,7% (estágio de recuperação) para 7,1% (estágio de ferramenta), demonstrando eficácia em manter a privacidade ao longo do pipeline.
• Privacidade vs. Utilidade:
  • O framework alcançou uma Taxa de Exposição à Privacidade (PER) de 9,3%.
  • Mantém alta consistência de resposta (AC = 0,94) e taxa de sucesso de tarefa (TSR = 0,92), superando a desidentificação genérica (que degrada severamente a utilidade) e competindo com a redação corporativa, mas com melhor controle de propagação.
• Robustez Adversarial:
  • O sistema demonstrou resistência a substituições de homóglifos (Unicode), reduzindo a exposição de 94,1% (baseline) para 43,9%.
  • Reconhece limitações em ataques de inferência contextual e evasão por paráfrase, indicando que a defesa não é perfeita, mas superior às bases atuais.
• Overhead de Latência:
  • O modo balanceado adiciona uma latência média de 41 ms, considerado um custo aceitável para a proteção em tempo real.

5. Significado e Conclusão

O BodhiPromptShield representa uma mudança de paradigma na segurança de agentes de IA:

• Mudança de Foco: Sai-se da proteção apenas no treinamento ou no registro final para a mediação na interface antes que os dados se propaguem.
• Aplicabilidade Prática: Oferece uma solução viável para cenários de implantação real (assistência médica, jurídica, copilotos empresariais) onde a confiança no provedor do modelo é parcial.
• Gestão de Risco: Demonstra que é possível preservar a funcionalidade do agente (raciocínio e execução) enquanto se minimiza a superfície de ataque para vazamento de dados em múltiplos estágios.

O trabalho conclui que, embora não ofereça garantias criptográficas absolutas ou privacidade diferencial completa para todo o pipeline, ele fornece evidências controladas robustas de que a mediação pré-inferência é essencial para mitigar riscos de privacidade em arquiteturas de agentes complexos.