Resumo Técnico: LiSA (Adaptação de Segurança Contínua via Indução Conservadora de Políticas)

1. Declaração do Problema

À medida que os Modelos de Linguagem de Grande Escala (LLMs) transitam de interfaces de chat para agentes autônomos capazes de acessar dados privados, invocar ferramentas privilegiadas e executar fluxos de trabalho de múltiplos passos, o custo de falhas de segurança escala de erros menores de geração para danos concretos, como vazamentos de dados e ações não autorizadas. As barreiras de segurança existentes (por exemplo, classificadores, validadores baseados em regras e estratégias de prompting) dependem de definições estáticas de dano pré-implementação. No entanto, os limites de segurança e privacidade são frequentemente contextuais, moldados por normas organizacionais locais, expectativas de usuários em mudança e tolerâncias específicas a tarefas que são difíceis de enumerar com antecedência.

Isso cria uma lacuna prática: as barreiras de segurança devem adaptar-se aos seus ambientes operacionais específicos, mas o feedback de implantação é tipicamente limitado a falhas relatadas por usuários esparsas e ruidosas. O ajuste fino repetido de modelos base é frequentemente impraticável nesse regime. O artigo formula o problema da adaptação de barreiras de segurança no momento da implantação: melhorar uma barreira de segurança base fixa ao longo do tempo usando apenas correções de usuários esparsas e potencialmente ruidosas, sem re-treinamento repetido do modelo.

2. Metodologia: Framework LiSA

Os autores propõem o LiSA (Adaptação de Segurança Contínua), um framework de indução conservadora de políticas organizado como um loop online–offline. Em vez de ajustar finamente o modelo base, o LiSA melhora uma barreira de segurança fixa por meio de memória de políticas estruturada e reutilização consciente de evidências. O framework consiste em três mecanismos principais:

A. Memória de Políticas Estruturada (Abstração Ampla)

O LiSA converte relatórios de falha esparsos em abstrações de políticas reutilizáveis, em vez de armazenar casos isolados.

• Itens de Política Ampla: Induzidos a partir de relatórios de falha, estes são declarações de políticas em linguagem natural (por exemplo, "Compartilhar informações públicas gerais é apropriado") acompanhadas de metadados, incluindo contagens de suporte e contradição.
• Objetivo: Generalizar feedback esparsos para que uma única correção possa orientar decisões futuras em contextos relacionados.

B. Políticas Locais Conscientes de Conflito

Abstrações amplas podem supergeneralizar, colapsando contextos próximos com rótulos diferentes em uma única regra.

• Mecanismo: O LiSA identifica "regiões de rótulos mistos" onde casos semanticamente similares possuem relatórios de usuários conflitantes (por exemplo, compartilhar informações é apropriado em um contexto, mas inadequado em outro).
• Regras Locais: Nessas regiões, o LiSA induz itens de política mais estreitos e específicos de rótulo (regras locais) que atuam como sinais de refinamento. Diferentemente das políticas amplas, estas não estão sujeitas a controle de confiança; são apresentadas imediatamente para fornecer resolução de limites granular para o modelo de inferência.

C. Controle de Barreiras Online com Portão de Confiança

Para evitar que abstrações fracamente suportadas influenciem a inferência muito cedo (especialmente sob feedback ruidoso), o LiSA emprega uma estratégia de reutilização conservadora.

• Limite Inferior do Posterior: Para cada item de política ampla, o LiSA modela a confiabilidade de transferência ($\theta_m$) como uma variável de precisão latente com uma distribuição Beta posterior baseada nas contagens observadas de suporte ($s_m$) e contradição ($c_m$): $\theta_m | \text{dados} \sim \text{Beta}(1 + s_m, 1 + c_m)$.
• Regra de Portão: Um item amplo é apresentado apenas se sua confiança, definida como o quantil inferior $\delta$ do posterior, exceder um limiar específico de rótulo ($\tau_{recusa}$ ou $\tau_{permitir}$).
• Racional: Isso garante que políticas amplas devem acumular evidências suficientes antes de influenciar decisões, impedindo que regras frágeis derivadas de relatórios únicos causem supergeneralização.

D. Loop Online-Offline

• Fase Online: O sistema recupera políticas amplas e locais relevantes, filtra itens amplos por meio de portão de confiança e solicita a barreira de segurança base com o contexto sobrevivente. Se nenhuma política se aplicar, recorre-se à barreira de segurança base.
• Fase Offline: Periodicamente, relatórios de usuários acumulados são usados para reconstruir a memória. Isso envolve induzir novas políticas amplas, mesclar itens semanticamente sobrepostos, regenerar regras locais para regiões de rótulos mistos e atualizar estatísticas de confiança.

3. Contribuições Principais

1. Formulação do Problema: O artigo define o cenário de adaptação contínua de barreiras de segurança sob supervisão esparsa e ruidosa, distinguindo-o de atualizações supervisionadas padrão ou ajuste fino denso.
2. Framework LiSA: Um sistema de memória de políticas estruturada apresentando:
   • Abstração de política ampla para reutilização esparsa.
   • Refinamento local consciente de conflitos para lidar com regiões de rótulos mistos.
   • Reutilização conservadora com portão de confiança baseada em um limite inferior de posterior Beta para controlar a apresentação de políticas amplas.
3. Validação Empírica: Demonstrações em três benchmarks (PrivacyLens+, ConFaide+ e AgentHarm) mostrando que o LiSA:
   • Supera bases fortes baseadas em memória (por exemplo, ReasoningBank, Synapse, AGrail) sob feedback esparsos.
   • Permanece robusto a relatórios de usuários ruidosos (até 20% de taxas de inversão de rótulo), com o portão de confiança identificado como o fator estabilizador chave.
   • Melhora decisões sensíveis a limites através de refinamento local.
   • Empurra a fronteira latência–desempenho além do que é alcançável simplesmente escalando o tamanho do modelo base.

4. Resultados Experimentais

• Desempenho: Em PrivacyLens+, ConFaide+ e AgentHarm, o LiSA consistentemente alcançou pontuações macro-F1 mais altas do que barreiras de segurança base fixas e bases usando recuperação de casos (Synapse) ou apenas abstração de política ampla (ReasoningBank).
• Estudos de Ablação:
  • A remoção de regras locais causou a maior queda de desempenho, confirmando sua necessidade para resolver ambiguidades de limites.
  • A remoção do portão de confiança teve um efeito menor no desempenho médio, mas aumentou significativamente a variância e reduziu a robustez sob ruído.
• Robustez ao Ruído: Sob 20% de ruído de rótulo, o LiSA manteve alto desempenho (0,917 F1), enquanto bases como ReasoningBank caíram significativamente (0,857 F1). O portão de posterior Beta impediu efetivamente que políticas fracamente suportadas dominassem a inferência.
• Latência vs. Desempenho: O LiSA acoplado a um modelo leve (Gemini-3.1-flash-lite) superou backbones maiores e não adaptados (por exemplo, Flash, Pro) em termos de compensação F1-latência. O custo offline de atualização de memória é amortizado sobre muitas decisões, tornando a memória estruturada mais eficiente do que a escalabilidade do modelo para adaptação com feedback esparsos.

5. Significado e Alegações

O artigo alega que a adaptação eficaz para agentes de IA não requer ajuste fino ou modelos maiores, mas sim reutilização calibrada de experiências de implantação. O LiSA oferece um caminho prático para proteger agentes de IA contra a "cauda longa" imprevisível de riscos de borda do mundo real ao:

• Permitir que barreiras de segurança aprendam com seus ambientes operacionais sem re-treinamento repetido.
• Manter a estabilidade através de cautela conservadora e fundamentada em evidências.
• Fornecer uma rota mais eficiente para segurança aprimorada do que simplesmente escalar a capacidade do modelo base.

Os autores posicionam o LiSA como um "meio-termo prático" que evita a fragilidade de barreiras de segurança estáticas e os riscos de adaptação descontrolada, garantindo que as barreiras evoluam em resposta a normas locais enquanto preservam a segurança por meio de mecanismos calibrados por evidências.