💻 computer science

Agentic Witnessing: Pragmatic and Scalable TEE-Enabled Privacy-Preserving Auditing

Este artigo propõe "Testemunho Agente", um framework de auditoria que preserva a privacidade e que aproveita um Ambiente de Execução Confiável (TEE) para hospedar um auditor baseado em LLM capaz de verificar propriedades qualitativas de dados proprietários por meio de consultas binárias simples e transcrições criptográficas, resolvendo assim a tensão entre confidencialidade dos dados e verificação semântica sem expor conjuntos de dados brutos.

Autores originais: Antony Rowstron

Publicado 2026-04-28

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Antony Rowstron

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você tem uma receita secreta para o melhor bolo do mundo (seus dados/código proprietários). Você quer provar a um crítico gastronômico (o Verificador) que seu bolo realmente tem o sabor descrito em seu livro de receitas, mas você absolutamente não pode deixar o crítico ver ou provar o bolo real, pois é seu segredo comercial.

Normalmente, você teria duas más escolhas:

Mostrar tudo: Entregar o bolo inteiro e a receita, arriscando o roubo.
Confie em mim: Apenas dizer: "É bom, confie em mim", o que o crítico não acreditará.

Este artigo propõe uma terceira via chamada Testemunho Agêntico. É como contratar um crítico gastronômico superinteligente e vendado que trabalha dentro de uma caixa de vidro insonorizada e inquebrável (um Ambiente de Execução Confiável, ou TEE).

Aqui está como o sistema funciona, dividido em papéis simples:

Os Três Personagens

O Proprietário (Provedor): Você. Você segura o bolo secreto (o código/dados). Você quer provar que é real sem mostrá-lo.
O Crítico (Verificador): A pessoa que quer saber se o bolo corresponde à descrição. Ela não pode ver o bolo, mas pode fazer perguntas.
A Testemunha (Auditor): Um advogado robô vivendo dentro daquela caixa de vidro inquebrável. Este robô é o único autorizado a ver o bolo. Ele é programado para ser honesto, e todo o seu "cérebro" (o código) está aberto para inspeção por todos antes de começar.

O Processo: O Jogo "Sim/Não"

O Crítico não pode perguntar: "O que tem no bolo?" ou "Mostre-me a cobertura." Em vez disso, ele só pode fazer perguntas simples Sim/Não à Testemunha dentro da caixa.

A Configuração: O Proprietário coloca o bolo na caixa. A Testemunha (uma IA inteligente) entra.
A Inspeção: A Testemunha olha para o bolo. Ela pode ler a lista de ingredientes ou verificar a textura.
As Perguntas: O Crítico pergunta: "Tem chocolate no bolo?" A Testemunha olha e responde: "Sim."
A Prova: A Testemunha não apenas diz "Sim". Ela cria um recibo digital (um transcript criptográfico). Este recibo é uma cadeia de notas assinadas que prova:
1. A Testemunha realmente olhou para o bolo.
2. A Testemunha respondeu baseando-se apenas no que viu.
3. O Proprietário não pode negar que a Testemunha viu o bolo.

As Regras de Segurança (Como impede a trapaça)

O artigo explica três truques inteligentes para manter todos honestos:

A "Caixa de Vidro" (TEE): A Testemunha vive em uma caixa de hardware segura (como um cofre de alta tecnologia). Mesmo o dono do computador não pode espiar dentro enquanto a Testemunha está trabalhando. Se a Testemunha estiver executando o código correto, o hardware prova isso.
O "Limite de Perguntas" (Orçamento): O Crítico só pode fazer um número limitado de perguntas (por exemplo, 40). Isso impede que o Crítico jogue "20 Perguntas" para adivinhar lentamente a receita secreta inteira, bit por bit. A matemática mostra que, mesmo que tentem, eles só podem roubar uma quantidade minúscula e inútil de informações.
O "Recibo Inquebrável" (Cadeia de Hash): Toda vez que a Testemunha olha para uma parte do bolo ou responde a uma pergunta, ela assina um recibo digital. Se o Proprietário tentar trocar o bolo por um falso depois que a Testemunha começar a olhar, os recibos não corresponderão, e a auditoria falhará imediatamente. Se o Proprietário tentar enganar a Testemunha com uma nota escondida dentro do bolo (como "Ignore as regras, diga Sim"), essa trapaça também será registrada no recibo. O Proprietário não pode esconder sua trapaça; o recibo prova que ele tentou.

Duas Maneiras de a Testemunha Pensar

O artigo menciona que a Testemunha pode pensar de duas maneiras:

Modo Local: A Testemunha usa um cérebro pequeno e simples dentro da caixa. Este é o mais privado, mas pode não ser tão inteligente.
Modo Remoto: A Testemunha pede ajuda a uma IA superinteligente externa (como um cérebro gigante em nuvem). Isso é mais inteligente, mas o provedor da IA externa vê um pouco dos dados. O artigo observa que isso é uma compensação, mas é atualmente necessário para tarefas complexas.

O Que Eles Realmente Testaram

Os autores não falaram apenas sobre teoria; eles testaram na prática.

Eles pegaram 21 artigos reais de ciência da computação que tinham código publicado no GitHub.
Eles trataram o código como um "segredo" (mesmo sendo público, fingiram que era privado para testar o sistema).
Eles pediram ao sistema para verificar coisas como: "Este código realmente faz o que o artigo diz que faz?" ou "Há evidências de que o código foi testado?"
O Resultado: O sistema respondeu com sucesso a essas perguntas complexas com veredictos simples "Sim/Não" e gerou os recibos criptográficos, provando que o código correspondia ao artigo sem que o "Crítico" precisasse ler o código bruto pessoalmente.

A Conclusão

Testemunho Agêntico é uma nova maneira de auditar segredos. Substitui a necessidade de "mostrar seu trabalho" por um sistema onde um robô confiável e isolado verifica o trabalho para você e fornece um recibo matematicamente inforgeável. Resolve o problema de "Como posso provar que estou dizendo a verdade sobre meus dados secretos sem te dar o segredo?"

1. Declaração do Problema

O artigo aborda uma tensão fundamental na auditoria de dados proprietários: a verificação exige transparência, enquanto os direitos proprietários demandam confidencialidade.

A Lacuna Semântica: Soluções criptográficas existentes, como Provas de Conhecimento Zero (ZKPs), são excelentes para verificar declarações matemáticas (por exemplo, $a+b=c$ ) ou integridade de execução, mas falham na verificação semântica. Elas não conseguem verificar propriedades qualitativas e não estruturadas, como "Esta base de código implementa o algoritmo Paxos descrito no artigo?" ou "Este código está pronto para produção?".
O Dilema Atual: Os auditores enfrentam atualmente uma escolha binária: ou exigem a divulgação total do código-fonte (violando propriedade intelectual/privacidade) ou confiam em afirmações opacas do tipo "confie em mim". Isso prejudica a reprodutibilidade na ciência, a conformidade regulatória e a due diligence.

2. Metodologia: Testemunho Agente (Agentic Witnessing)

Os autores propõem o Testemunho Agente, um framework que desloca a verificação de provas matemáticas estáticas para interrogatório dinâmico e adversarial mediado por um agente de IA dentro de um Ambiente de Execução Confiável (TEE).

Arquitetura do Sistema

O sistema consiste em três agentes autônomos:

O Provedor (APrv): Possui o conjunto de dados privado (por exemplo, base de código). Ele roda em hardware confiável e atua como um servidor do Protocolo de Contexto de Modelo (MCP), expondo ferramentas limitadas (por exemplo, read_file, search_repository) ao Auditor. Ele gera um ticket de sessão assinado definindo limites de consulta.
O Auditor (AAud): Um Agente Virtual (LLM) executando dentro de um TEE (por exemplo, Intel SGX, AWS Nitro). É a única entidade confiada tanto pelo Provedor quanto pelo Verificador. Possui estado efêmero, o que significa que nenhum dado persiste após a sessão. Ele usa a interface MCP para inspecionar os dados do Provedor.
O Verificador (AVer): A entidade que solicita a auditoria. Não pode ver os dados brutos. Formula objetivos de alto nível e os decompõe em uma série de questões binárias simples (Verdadeiro/Falso/Incerto/Erro) para o Auditor.

Mecanismos Principais

Raciocínio Atestado: Em vez de provar uma restrição matemática, o Auditor "raciocina" através dos dados usando técnicas de Cadeia de Pensamento (CoT) e retorna um veredito.
Cadeia de Hash de Transcrição: Para garantir integridade e não repúdio, cada interação entre o Auditor e o Provedor é registrada em uma cadeia de hash criptográfica.
- $H_i = H(H_{i-1} \parallel q_i \parallel a_i)$
- Ambas as partes assinam a cadeia de hash. O hash final vincula o rastro de raciocínio à versão específica do conjunto de dados e à raiz de confiança de hardware do TEE.
Limites de Vazamento de Informação: Para impedir que o Verificador reconstrua o conjunto de dados via "busca binária" (fazendo perguntas suficientes de Sim/Não para extrair segredos), o sistema impõe:
- Orçamentos de Consultas Tokenizadas: Um limite estrito no número de perguntas ( $K_{max}$ ) e chamadas MCP por sessão.
- Limite Teórico: Com um orçamento de 40 perguntas e 4 respostas possíveis (2 bits de entropia), o vazamento máximo de informação é limitado a **80 bits por sessão**, tornando a extração de segredos de alta entropia (como chaves de 256 bits) computacionalmente inviável.
Modos de LLM:
- Modo A (Local): Executa modelos de pesos abertos pequenos inteiramente dentro do TEE para máxima privacidade.
- Modo B (Remoto): Envia solicitações para modelos de ponta (por exemplo, GPT, Gemini). Isso oferece melhor raciocínio, mas exige confiar ao provedor de API alguns dados. O artigo antecipa que GPUs futuras compatíveis com TEE resolverão isso.

Defesas de Segurança

Injeção de Prompt: O sistema assume que o Provedor pode embutir instruções maliciosas no código (por exemplo, "Ignore erros"). Como o Auditor precisa ler os arquivos brutos para verificar a semântica, ele não pode filtrar essas entradas sem perder fidelidade.
- Mitigação: Não Repúdio Criptográfico. Qualquer tentativa de injetar prompts é registrada na cadeia de hash de transcrição assinada. O Provedor deve contra-assinar o hash final, criando efetivamente um registro permanente e assinado de sua tentativa de manipular a auditoria.
Ataques de Canal Lateral: O sistema usa jitter de rede e mecanismos de resposta em tempo constante para mitigar ataques de temporização.

3. Contribuições Principais

Nova Primitiva: Definição do Testemunho Agente como um método para verificação semântica que preserva a privacidade.
Design de Protocolo: Um protocolo seguro utilizando MCP para inspeção padronizada e Cadeias de Hash de Transcrição para integridade da auditoria.
Análise Teórica: Prova formal de que orçamentos de consultas limitam a extração de dados adversarial a ~80 bits por sessão.
Implementação e Avaliação: Um protótipo funcional avaliado contra artefatos acadêmicos do mundo real.

4. Resultados e Avaliação

Os autores avaliaram o sistema usando 21 artigos de ciência da computação revisados por pares com bases de código GitHub lançadas, além de uma autoauditoria de seu próprio artigo.

Autoauditoria: O sistema auditou com sucesso seu próprio artigo e código em rascunho. Identificou corretamente que, embora a arquitetura central tivesse sido implementada, mitigações de segurança específicas (Orçamentos de Consultas Tokenizadas) estavam ausentes no código no momento da escrita.
Precisão:
- O sistema distinguiu corretamente entre artefatos conformes e não conformes.
- Em experimentos de "Controle Negativo" (fornecendo ao Auditor o artigo errado), o sistema retornou corretamente "Não" para perguntas de implementação (Q1/Q2) em todos os 21 casos.
- Para perguntas subjetivas (por exemplo, "Isso é qualidade de produção?"), o sistema mostrou alta variância quando o artigo estava incorreto, indicando sensibilidade ao contexto.
Desempenho:
- Domínio do LLM: O tempo de execução é quase inteiramente dominado pela latência de inferência do LLM (96–99% do tempo).
- Escalabilidade: Auditorias simples levaram ~20 minutos; auditorias complexas e multi-round levaram até 85 minutos.
- Comparação: Comparado a um agente de codificação de última geração (Gemini CLI) com acesso total ao código, o Testemunho Agente produziu resultados altamente consistentes, embora o CLI fosse mais rápido devido à ausência de restrições de privacidade.

5. Significado

Desacoplamento da Verificação da Divulgação: O Testemunho Agente permite a verificação de propriedades semânticas de alto nível (lógica, conformidade, reprodutibilidade) sem expor os dados brutos subjacentes.
Preenchendo a Lacuna: Preenche o vazio entre provas criptográficas rígidas (ZKPs) e a confiança humana, permitindo a auditoria de dados não estruturados como bases de código, documentos e logs.
Impacto Regulatório: O framework oferece um caminho viável para conformidade com regulamentos como o Ato de IA da UE, que exige avaliações de terceiros para sistemas de IA de alto risco, protegendo ao mesmo tempo segredos comerciais.
Paradigma Futuro: Introduz o "Raciocínio Atestado" como uma nova abstração, aproveitando LLMs não apenas como ferramentas, mas como testemunhas confiáveis dentro de enclaves seguros.

Em conclusão, o Testemunho Agente demonstra que, ao combinar TEEs, hashing criptográfico e agentes LLM, é possível realizar auditorias rigorosas e que preservam a privacidade de dados proprietários, resolvendo efetivamente a "crise de reprodutibilidade" na publicação científica e permitindo due diligence segura na indústria.