Resumo Técnico: PAAC (Colaboração Dispositivo-Nuvem de Agente Consciente de Privacidade)

Declaração do Problema

Agentes de Modelos de Linguagem de Grande Escala (LLM) enfrentam uma tensão estrutural fundamental: agentes baseados em nuvem oferecem capacidades superiores de raciocínio e planejamento, mas exigem a transmissão de dados sensíveis do usuário (PII) para servidores remotos, criando riscos significativos de privacidade. Por outro lado, agentes no dispositivo preservam a privacidade através do isolamento local, mas sofrem com recursos computacionais limitados e capacidades de raciocínio reduzidas, frequentemente falhando em tarefas agênticas complexas e multi-etapa.

Os paradigmas existentes de colaboração dispositivo-nuvem tratam a fronteira entre dispositivo e nuvem principalmente como uma divisão de computação (por exemplo, roteamento ou pipelines fixos) em vez de uma fronteira de confiança adequada para cargas de trabalho agênticas. Além disso, os métodos atuais de sanitização de privacidade forçam um compromisso entre flexibilidade e fidelidade estrutural:

• Métodos baseados em regras (por exemplo, NER + regex) são confiáveis, mas limitados a taxonomias fixas, falhando em proteger entidades definidas pelo usuário ou específicas de domínio (por exemplo, IDs de pedidos, nomes de produtos personalizados).
• Métodos de reescrita orientados por LLM oferecem flexibilidade de política, mas frequentemente removem as pistas estruturais necessárias para que o agente na nuvem formule chamadas de ferramentas precisas, quebrando o fluxo de trabalho agêntico.

Isso leva a duas perguntas de pesquisa centrais:

1. Como o raciocínio e a execução devem ser particionados entre dispositivo e nuvem para que a capacidade da nuvem seja utilizada sem que dados sensíveis cruzem a fronteira?
2. Como podem ser identificadas faixas sensíveis sob políticas arbitrárias do usuário e abstraídas em tokens proxy que preservem tanto o papel semântico para o raciocínio na nuvem quanto a fidelidade estrutural para a execução de ferramentas no dispositivo?

Metodologia: O Framework PAAC

O PAAC (Colaboração Dispositivo-Nuvem de Agente Consciente de Privacidade) aborda esses desafios através de uma arquitetura desacoplada que alinha a especialização de papéis com a fronteira de confiança dispositivo-nuvem.

1. Arquitetura Alinhada à Fronteira de Confiança

O PAAC adota um paradigma Raciocinar e Planejar na Nuvem, Executar e Julgar no Dispositivo:

• Agente na Nuvem (Raciocinador): Opera exclusivamente sobre representações sanitizadas. Ele recebe a descrição da tarefa e os conjuntos de ferramentas com valores sensíveis substituídos por tokens placeholder tipados (por exemplo, {SALDO: 1234} torna-se {SALDO: TOKEN_1}). A nuvem raciocina sobre esses tokens para gerar planos e chamadas de ferramentas sem nunca ver os valores subjacentes.
• Agente no Dispositivo (Sanitizador, Julgador, Gerador de Resposta Final):
  • Sanitização: Identifica faixas sensíveis com base em políticas definidas pelo usuário e propõe substituições candidatas.
  • Execução: Restaura valores reais localmente para executar chamadas de ferramentas (por exemplo, consultar um banco de dados local ou API).
  • Julgador: Avalia o resultado da execução e o destila em principais descobertas compactas (por exemplo, "Saldo é suficiente") em vez de transmitir logs de execução brutos. Isso impede o acúmulo de longos rastros de raciocínio sensíveis no dispositivo.
  • Resposta Final: Sintetiza a resposta final usando a entrada original do usuário, as principais descobertas destiladas e as sugestões da nuvem dessanitizadas.

Terminação por Consenso: Para lidar com a assimetria onde a nuvem vê o plano completo, mas não os resultados reais, e o dispositivo vê os resultados reais, mas não o plano completo, o PAAC exige terminação por consenso. Ambos os agentes devem sinalizar conclusão; se discordarem, o feedback do dispositivo orienta a revisão da nuvem.

2. Sanitização Propositor–Verificador–Registro

Para resolver o compromisso entre flexibilidade e fidelidade, o PAAC reenquadra o papel do LLM no dispositivo de um sanitizador completo para um propositor:

• Propositor: O LLM no dispositivo identifica faixas sensíveis e propõe um mapeamento para tokens proxy semânticos (por exemplo, {NOME_PRIMEIRO_1}).
• Verificador: Uma verificação de alinhamento confirma se o texto sanitizado proposto pode ser perfeitamente revertido para a entrada original. Se o LLM alucinar ou desalinhar, o sistema recua para um subconjunto seguro de mapeamentos verificáveis.
• Registro Determinístico: Um registro baseado em regex, apenas de adição, gerencia todas as substituições e reversões reais. Este registro é inicializado na primeira rodada e persiste durante a sessão.
  • Fidelidade Estrutural: Como a substituição é determinística e baseada em regex, o agente na nuvem recebe chamadas de ferramentas estruturalmente válidas (por exemplo, subtrair(SALDO_TOKEN, ALUGUEL_TOKEN)), garantindo que a nuvem possa raciocinar corretamente.
  • Garantia de Privacidade: O registro garante que, uma vez que uma entidade seja mascarada na primeira rodada, ela permaneça mascarada mesmo se o LLM no dispositivo for posteriormente comprometido. O LLM apenas propõe; o registro aplica.

3. Gerenciamento de Contexto

O PAAC evita o problema de "crescimento de contexto acoplado à trajetória", onde o comprimento do contexto explode a cada etapa. O agente no dispositivo processa apenas os resultados de execução da etapa atual, destilando-os em principais descobertas. O agente na nuvem mantém seu próprio contexto de raciocínio sobre tokens sanitizados. Isso mantém as entradas por etapa compactas para ambos os agentes.

Principais Contribuições

1. Arquitetura Agêntica Desacoplada: O PAAC alinha a decomposição planejador-executor com a fronteira de confiança dispositivo-nuvem. A nuvem raciocina sobre tokens proxy tipados, enquanto o dispositivo julga e destila resultados. Este design faz da própria especialização de papéis um mecanismo de privacidade e mantém as entradas do agente compactas.
2. Sanitização Propositor–Verificador–Registro: O framework confina o LLM no dispositivo a propor pares de sanitização, bloqueia commits via verificação de alinhamento e delega todas as substituições a um registro determinístico. Isso preserva a fidelidade estrutural das chamadas de ferramentas, garante consistência referencial entre rodadas e limita estruturalmente o impacto de qualquer comprometimento subsequente do LLM no dispositivo.
3. Validação Experimental: O PAAC foi avaliado em três benchmarks agênticos (τ2-Bench Airline, τ2-Bench Retail, GAIA) e 17 tarefas adicionais em 10 domínios (Matemática, Ciência, Finanças, etc.).

Resultados

Sob configurações de privacidade estritas, o PAAC domina a fronteira de Pareto de privacidade e precisão:

• Precisão: O PAAC melhora a precisão média em 15–36% em comparação com baselines estado da arte dispositivo-nuvem (por exemplo, PAPILLON, PRISM).
• Vazamento: Reduz o vazamento médio de privacidade em 2–6×.
• Robustez: O PAAC mantém alta precisão e custos de tokens estáveis mesmo à medida que as políticas de privacidade se tornam mais rigorosas (de P0 a P3). Em contraste, as baselines degradam significativamente a precisão ou sofrem alto vazamento.
• Generalização: O PAAC se destaca particularmente em categorias de vocabulário aberto (por exemplo, IDs de produtos personalizados, nomes não padrão) onde métodos de sanitização baseados em padrões falham. Ele alcança vazamento próximo de zero nessas categorias, mantendo a fidelidade das chamadas de ferramentas.
• Estudos de Ablação:
  • O ganho arquitetural (desacoplamento) sozinho melhora o desempenho mesmo sem sanitização.
  • O mecanismo de sanitização (propositor LLM + registro determinístico) supera significativamente métodos baseados em padrões em tarefas de vocabulário aberto.
  • O desempenho do PAAC é robusto em diferentes paradigmas de raciocínio na nuvem (ReAct, Plan-and-Solve, RecurrentGPT).

Significado e Alegações

O artigo afirma que o PAAC representa uma mudança de tratar a fronteira dispositivo-nuvem como uma mera partição de computação para tratá-la como uma fronteira de confiança onde a especialização de papéis inerentemente impõe privacidade.

• Privacidade Estrutural: Ao substituir valores sensíveis por tokens proxy tipados, o PAAC força estruturalmente o agente na nuvem a despachar computações para ferramentas em vez de raciocinar sobre números brutos no contexto, prevenindo ataques de inferência semântica.
• Flexibilidade de Política sem Perda de Fidelidade: Diferentemente de abordagens baseadas em reescrita que quebram estruturas de chamadas de ferramentas, o registro determinístico do PAAC garante que o agente na nuvem receba entradas semanticamente ricas o suficiente para planejamento, mas estruturalmente idênticas ao que um agente não sanitizado veria.
• Escalabilidade: A arquitetura desacoplada permite que o sistema escale com a complexidade da tarefa sem sobrecarregar o agente no dispositivo com comprimentos de contexto crescentes.

Os autores notam uma limitação: o PAAC pressupõe um ambiente de ferramentas no dispositivo suficientemente abrangente. Se uma tarefa exigir ferramentas externas (por exemplo, pesquisa na web) às quais a nuvem não pode acessar porque a consulta foi sanitizada, a nuvem não pode recorrer ao conhecimento paramétrico para essas entidades específicas. No entanto, dentro do escopo dos conjuntos de ferramentas definidos, o PAAC alcança um compromisso favorável entre privacidade e desempenho inatingível por baselines existentes de agente único ou dispositivo-nuvem.