Resumo Técnico: Privacidade Consciente de Dependências para Agentes LLM de Múltiplas Rodadas

Declaração do Problema

A integração de agentes de Modelos de Linguagem de Grande Escala (LLM) em domínios sensíveis (saúde, finanças, jurídico) cria uma nova superfície de ataque à privacidade. Usuários delegam tarefas a agentes que interagem com múltiplos serviços externos por meio de protocolos como o Protocolo de Contexto de Modelo (MCP). Em fluxos de trabalho de múltiplas rodadas, um adversário pode combinar liberações de dados independentes para reconstruir atributos privados do usuário.

Métodos de sanitização existentes, como Prϵmpt e CAPE, dependem de privacidade diferencial métrica (mDP), mas tratam cada liberação de dados independentemente. Essa suposição de independência falha em cenários de múltiplas rodadas:

1. Vazamento Benigno: Redundância entre plataformas (enviar o mesmo valor raiz para dois serviços) ou redundância estrutural (enviar um valor raiz e um valor derivado separadamente) faz com que o orçamento de privacidade escale linearmente com o número de serviços ou funções derivadas.
2. Vazamento Adversarial: Um adversário pode forçar consultas repetidas para reduzir o ruído por média ($1/\sqrt{q}$) ou solicitar funções derivadas arbitrárias. Para funções não lineares comuns em fluxos de trabalho médicos e financeiros (por exemplo, IMC, FIB-4), a adição de ruído independente a um valor derivado amplifica a distinguibilidade da raiz subjacente pela constante de Lipschitz da função ($L$), potencialmente excedendo o parâmetro de privacidade nominal em ordens de grandeza.

O problema central é que, sem rastrear dependências entre liberações, cada interação adicional degrada a privacidade do usuário além do orçamento nominal, independentemente de o vazamento ser benigno ou malicioso.

Metodologia: RootGuard

Os autores propõem o RootGuard, um mecanismo de privacidade consciente de dependências projetado para interações agênticas de múltiplas rodadas. O princípio central é sanitizar valores "raiz" privados exatamente uma vez e calcular todas as liberações subsequentes de forma determinística a partir dessas raízes com ruído.

Arquitetura do Sistema

1. Inicialização: O agente do usuário identifica valores raiz sensíveis ($X$) e os sanitiza uma única vez usando um mecanismo de privacidade diferencial ($M_\epsilon$). Esses valores com ruído ($\hat{X}$) são armazenados em um cache sanitizado.
2. Operação por Rodada: Quando um adversário solicita um valor:
   • Se a solicitação for para uma raiz, o valor com ruído em cache é retornado.
   • Se a solicitação for para um valor derivado, ele é calculado de forma determinística a partir das raízes com ruído em cache.
   • Nenhum ruído fresco é gerado após a inicialização.
3. Limite de Confiança: O adversário interage apenas com o cache sanitizado. Pelo Teorema do Pós-Processamento da privacidade diferencial, a visão do adversário não é mais informativa do que a sanitização inicial da raiz, independentemente do número de rodadas ($t$) ou das funções ($f$) solicitadas.

Explorando Conhecimento Estrutural

O RootGuard utiliza conhecimento de domínio público para otimizar o compromisso entre privacidade e utilidade sem enfraquecer as garantias:

• Nível 1 (Dependências Inter-raiz): Se uma raiz declarada for uma função determinística de outras (por exemplo, IMC a partir de altura e peso), o agente identifica as raízes verdadeiramente independentes. Raízes dependentes são recalculadas a partir de pais com ruído, herdando privacidade a custo marginal zero (Teorema 3).
• Nível 2 (Sensibilidade do Alvo): Se a função alvo intermediária $g$ (por exemplo, uma fórmula clínica como FIB-4) for conhecida, o agente aloca o orçamento de privacidade $\epsilon_i$ às raízes com base em sua sensibilidade ao alvo. A alocação segue uma regra ponderada pela sensibilidade: $\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$, onde $h_i$ é a derivada parcial da função alvo em relação à raiz $i$, e $D_i$ é a largura do domínio. Isso minimiza o erro esperado na decisão clínica final.

Garantias Teóricas

• Teorema 1 (Garantia de Privacidade de DAG): A garantia de privacidade depende exclusivamente dos parâmetros de sanitização da raiz e é independente da escolha de funções do adversário ou do número de rodadas de interação.
• Teorema 2 (Amplificação de Distinguibilidade): Prova que a adição de ruído independente a um valor derivado amplifica a distinguibilidade da raiz pai pela constante de Lipschitz da função $L$.
• Teorema 3 (Privacidade Implícita): Prova que adicionar ruído às raízes e pós-processá-las para derivar valores fornece privacidade pelo menos tão forte quanto adicionar ruído diretamente aos valores derivados.

Principais Contribuições

1. Formalização da Privacidade Agêntica de Múltiplas Rodadas: O artigo formaliza o jogo de privacidade para interações de múltiplas rodadas e prova que a garantia do RootGuard é invariante à contagem de consultas e às escolhas de funções do adversário.
2. Prova de Amplificação e Herança: Demonstra que a adição de ruído independente a valores derivados amplifica a perda de privacidade (Teorema 2), enquanto a adição coordenada de ruído às raízes permite que valores derivados herdem privacidade gratuitamente (Teorema 3).
3. Alocação Ponderada por Sensibilidade: Um método para alocação de orçamentos de privacidade baseado na sensibilidade da função alvo, minimizando o erro do alvo enquanto mantém garantias formais.
4. Validação Empírica: Experimentos extensivos em 8 modelos de diagnóstico médico (derivados de dados do NHANES) e uma implantação completa de ponta a ponta de LLM (GPT-5.4 nano) validando o mecanismo.

Resultados Experimentais

A avaliação compara configurações do RootGuard (M-Raízes, M-Otimizado) contra a adição de ruído independente (M-Todos) em três perguntas de pesquisa:

PQ1: Utilidade do Alvo

• Métrica: Erro Porcentual Absoluto Médio Ponderado (wMAPE) e Erro de Classe de Risco (RCE).
• Descobertas: O RootGuard supera significativamente a adição de ruído independente. Com $\epsilon = 0.1$ e um orçamento de $B = (2k+1)\epsilon$, o M-Otimizado alcança 2,6$\times$ menor wMAPE (7,8% vs. 20,3%) e 2,2$\times$ menor Erro de Classe de Risco (7,0% vs. 15,7%) em comparação com o M-Todos.
• Dupla Assimetria: À medida que o adversário força mais rodadas ($t$), a utilidade do RootGuard melhora (mais orçamento disponível por raiz), enquanto a privacidade do M-Todos degrada (acumulação de observações independentes).

PQ2: Ataques de Reconstrução

• Métrica: wMAPE de reconstrução sob um adversário de Máxima A Posteriori (MAP).
• Descobertas: Sob M-Todos, o erro de reconstrução diminui à medida que o número de consultas ($q$) aumenta (por exemplo, caindo de 10,2% para 3,2% quando $q$ vai de 1 para 16 em $\epsilon_r=0.1$). Sob RootGuard, o erro de reconstrução permanece invariante a $q$ porque consultas repetidas retornam o mesmo valor em cache.

PQ3: Análise Estrutural

• Descobertas: A vantagem do RootGuard é mais pronunciada para fórmulas "compressoras" (por exemplo, FIB-4, HOMA) onde a função alvo atenua o ruído da raiz. A alocação de orçamento segue a lei de potência prevista $\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$, confirmando a estratégia ponderada por sensibilidade.

PQ4: Implantação de Ponta a Ponta

• Configuração: Uma simulação do mundo real usando um agente GPT-5.4 nano em 21.600 sessões.
• Descobertas: As descobertas em nível de mecanismo transferem-se para a implantação do LLM. A ordem de desempenho (M-Otimizado > M-Raízes > M-Todos) mantém-se, e houve zero falhas de conformidade em nível de sessão (nenhum erro de análise ou resposta malformada).

Significado e Alegações

O artigo alega que o RootGuard muda fundamentalmente o compromisso entre privacidade e utilidade em interações de agentes de múltiplas rodadas. Ao mudar de uma sanitização sem estado e independente para uma abordagem com estado e consciente de dependências, o RootGuard garante que:

1. A Privacidade é Constante: O adversário não obtém informações adicionais, independentemente de quantas rodadas ele force ou quais funções ele calcule.
2. A Utilidade Melhora com as Rodadas: Rodadas de interação adicionais permitem que um orçamento de privacidade total maior seja distribuído entre as raízes, melhorando a precisão sem aumentar o risco de privacidade.
3. Robustez: A abordagem mantém-se mesmo sob injeção de prompt adversarial ou design malicioso de serviço, pois todas as liberações são pós-processamentos das raízes com ruído iniciais.

Os autores concluem que a adição de ruído independente é fundamentalmente insuficiente para fluxos de trabalho de múltiplas rodadas envolvendo valores privados correlacionados, e que a sanitização consciente de dependências é uma defesa necessária para implantar agentes LLM em domínios de alto risco. O trabalho assume um Reconhecimento de Entidades Nomeadas (NER) perfeito para identificação de raízes e foca em dados numéricos estruturados, deixando texto livre e integração de NER ruidoso como trabalho futuro.