Resumo Técnico: LCGuard

Declaração do Problema

Sistemas multiagente (MAS) baseados em Modelos de Linguagem de Grande Escala (LLM) estão adotando cada vez mais a comunicação latente por meio de caches Chave-Valor (KV) de Transformers para melhorar a eficiência e preservar estruturas semânticas mais ricas em comparação com trocas baseadas em texto tradicionais. No entanto, essa mudança introduz uma vulnerabilidade de segurança crítica e pouco explorada: vazamento de informações em nível de representação.

Diferentemente do texto discreto e inspecionável, os caches KV são representações de alta dimensão e semanticamente densas que codificam entradas contextuais, estados de raciocínio intermediários e estruturas de atenção. Quando os agentes compartilham esses caches, entradas específicas do agente e sensíveis (por exemplo, contexto do usuário, documentos privados) podem ser implicitamente embutidas dentro dos artefatos latentes. O artigo postula que um adversário com acesso aos caches compartilhados (por meio de agentes comprometidos, registros de log ou modelos auxiliares) pode treinar um decodificador para reconstruir essas entradas sensíveis a partir das representações KV compartilhadas. Mecanismos de segurança existentes, que geralmente operam sobre saídas de texto geradas ou ações de ferramentas, falham em restringir o que é transmitido por meio desses canais latentes.

Metodologia: LCGuard

Para abordar isso, os autores introduzem o LCGuard (Latent Communication Guard), um framework projetado para regular o fluxo de informações sensíveis na comunicação latente baseada em KV.

Conceito Central

O LCGuard trata os caches KV compartilhados como memória de trabalho latente e aprende transformações em nível de representação ($g_{ij}$) aplicadas aos artefatos KV antes que sejam transmitidos entre agentes. O objetivo é preservar semânticas relevantes para a tarefa, tornando as entradas sensíveis específicas do agente ($s_i$) irrecuperáveis.

Modelo de Ameaça e Definição de Vazamento

O artigo formaliza o vazamento operacionalmente por meio de reconstrução:

• Adversário: Uma entidade que observa os artefatos comunicados ($M_{obs}$) e tenta reconstruir entradas sensíveis ($s_i$) usando um decodificador aprendido ($D_i$).
• Métrica de Vazamento: O vazamento é quantificado pela lacuna entre a perda de reconstrução a priori (reconstruir $s_i$ sem acesso aos artefatos) e a perda de reconstrução (reconstruir $s_i$ dado os artefatos). Uma lacuna menor indica vazamento bem-sucedido; uma lacuna maior (aproximando-se da perda a priori) indica preservação da privacidade.

Otimização Adversarial

O LCGuard formula a comunicação latente segura como um problema de otimização minimax:
$$\min_{\{\phi_i\}} \max_{\{\psi_i\}} \beta \sum_{i=1}^{N} L^{(i)}_{rec}(M_{obs}) + L_{task}(M)$$

• Adversário ($\psi_i$): Treinado para minimizar a perda de reconstrução ($L_{rec}$), tentando extrair informações sensíveis dos artefatos transformados.
• Função de Comunicação ($\phi_i$): Treinada para maximizar a perda de reconstrução (tornando $s_i$ difícil de recuperar) enquanto minimiza a perda da tarefa ($L_{task}$) para preservar a utilidade downstream.
• Parâmetro de Tradeoff ($\beta$): Controla o equilíbrio entre supressão de privacidade e desempenho da tarefa.

O framework suporta duas variantes:

1. LCGuard por Agente: Agentes otimizam transformações localmente com base em links de comunicação individuais.
2. LCGuard de Sistema Completo: Uma otimização conjunta em todo o sistema para contabilizar o vazamento composicional, onde informações sensíveis podem reemergir após agregação através de múltiplos agentes.

Contribuições Principais

1. Identificação da Superfície de Ataque: O artigo identifica a comunicação KV latente como uma nova superfície de ataque onde a memória de trabalho compartilhada pode propagar implicitamente informações sensíveis, distinta do vazamento baseado em texto.
2. Framework LCGuard: Propõe um framework em nível de representação que transforma caches KV antes da transmissão para regular o fluxo de informações.
3. Conceito de Vazamento Baseado em Reconstrução: Introduz uma definição prática de vazamento baseada na recuperabilidade de entradas específicas do agente a partir de representações compartilhadas, indo além de restrições de saída em nível superficial.
4. Formulação Minimax: Formula o tradeoff privacidade-utilidade como um problema de otimização adversarial, equilibrando a utilidade da tarefa contra a exposição de informações.
5. Validação Empírica: Demonstra, por meio de experimentos extensivos, que o LCGuard alcança um tradeoff favorável entre privacidade e utilidade em múltiplas famílias de modelos (Qwen3, Gemma-2, LLaMA) e benchmarks.

Resultados Experimentais

Os autores avaliaram o LCGuard em benchmarks incluindo PrivacyLens, AgentLeak e MAGPIE através de vários tamanhos de modelo e topologias (sequencial, hierárquica e baseada em grafos).

• Privacidade vs. Utilidade: O "Compartilhamento KV Vanilla" (sem proteção) alcança a maior utilidade da tarefa, mas sofre de Taxas de Sucesso de Ataque (ASR) extremamente altas, frequentemente excedendo 0,87. Em contraste, o LCGuard reduz consistentemente a ASR em aproximadamente 65–75% (por exemplo, caindo de 0,871 para 0,216 em configurações sequenciais Qwen3-4B) enquanto mantém uma utilidade da tarefa competitiva.
• Comparação com Baselines:
  • ADAPT (Baseado em Ruído): Alcança baixa ASR, mas degrada significativamente a utilidade da tarefa (por exemplo, a utilidade cai para ~0,28), pois o ruído remove tanto informações sensíveis quanto informações relevantes para a tarefa.
  • PrivAct (Baseado em Política): Melhora as pontuações de privacidade em métricas de nível de saída, mas falha em reduzir a ASR, confirmando que restrições em nível de saída não previnem vazamento latente.
  • LCGuard: Supera ambos ao transformar diretamente as representações, alcançando o melhor equilíbrio.
• Nível de Sistema vs. Local: O "LCGuard de Sistema Completo" supera consistentemente o "LCGuard por Agente", indicando que o vazamento não é puramente local, mas se acumula através de transformações multi-hop e agregação. A otimização em nível de sistema é necessária para mitigar o vazamento composicional.
• Robustez: O LCGuard permanece eficaz em diferentes escalas de modelo (3B a 14B) e topologias de comunicação, embora modelos maiores codifiquem inerentemente mais informações recuperáveis, exigindo proteção mais forte.

Significado e Alegações

O artigo afirma que o LCGuard fornece um framework principiado para comunicação latente segura baseada em KV, abordando uma lacuna onde mecanismos de segurança existentes falham em restringir o fluxo de informações em nível de representação.

• Proteção em Tempo de Inferência: Diferentemente de defesas em tempo de treinamento, o LCGuard opera em tempo de inferência, regulando o que é transmitido sem exigir alterações nos pesos dos modelos de agente subjacentes.
• Tradeoff Prático: O framework demonstra que é possível reduzir significativamente a recuperabilidade de entradas sensíveis sem colapsar o desempenho da tarefa, um tradeoff que métodos baseados em ruído falham em alcançar.
• Direções Futuras: Os autores observam modestamente que o framework atualmente assume agentes homogêneos e espaços latentes apenas de texto. Eles sugerem que trabalhos futuros poderiam estender o LCGuard para sistemas multiagente heterogêneos, agentes multimodais e políticas de comunicação adaptativas.

O artigo conclui que, embora o LCGuard reduza o sucesso empírico de reconstrução, ele não fornece garantias formais de privacidade (por exemplo, privacidade diferencial) e deve ser implantado juntamente com controles de acesso e salvaguardas em nível de saída.