Resumo Técnico: MosaicLeaks: Riscos de Privacidade em Consultas em Aberto para Agentes de Pesquisa Profunda

Definição do Problema

Agentes de pesquisa profunda estão sendo cada vez mais implantados para sintetizar informações de documentos privados de empresas e ferramentas externas (ex: busca na web, APIs de nuvem). Embora essa capacidade melhore o desempenho das tarefas, ela introduz um risco crítico de privacidade: os agentes podem vazar informações internas sensíveis por meio de suas chamadas de ferramentas externas. Esse risco é exacerbado pelo efeito mosaico, um fenômeno onde consultas individuais parecem benignas isoladamente, mas revelam atributos sensíveis quando agregadas por um adversário ao longo do tempo.

Benchmarks e estratégias de mitigação existentes falham amplamente em abordar este contexto específico. O trabalho anterior foca em atributos pessoais ou tarefas de um único salto (single-hop), enquanto os benchmarks de pesquisa profunda tratam fontes de informação locais e externas como paralelas, em vez de interdependentes. Consequentemente, os agentes não são treinados para reconhecer que consultas externas dependentes de contexto local podem reconstruir dados privados.

Metodologia

1. O Benchmark MosaicLeaks

Os autores introduzem o MosaicLeaks, um benchmark composto por 1.001 tarefas de pesquisa profunda de múltiplos saltos (multi-hop) projetadas para forçar o vazamento de privacidade.

• Construção de Dados: O conjunto de dados intercala documentos empresariais locais (extraídos do DRBench) e conteúdo público da web (extraído do BrowseComp-Plus). As tarefas são estruturadas como cadeias de múltiplos saltos onde a resposta a uma subpergunta local serve como uma entidade crítica para a subsequente consulta web (ex: Local $\to$ Web $\to$ Local).
• Configuração Adversária: Um modelo adversário (StepFun-3.5-Flash) observa apenas a sequência cumulativa de consultas web geradas pelo agente. Ele não vê os documentos locais nem o raciocínio interno do agente.
• Métricas de Vazamento: O vazamento de privacidade é avaliado em três níveis crescentes de severidade:
  1. Vazamento de Intenção: O adversário consegue prever as perguntas de pesquisa específicas que o agente está perseguindo?
  2. Vazamento de Resposta: O adversário consegue responder a perguntas privadas específicas sobre os documentos da empresa dadas a sequência de consultas?
  3. Vazamento de Informação Total: O adversário consegue gerar afirmações factuais verdadeiras e verificáveis sobre os documentos da empresa sem ser provocado com perguntas específicas?

2. Avaliação de Linha de Base (Baseline)

Os autores avaliaram seis modelos de código aberto (incluindo Qwen3, StepFun, GPT-OSS e Gemma) no MosaicLeaks.

• Descobertas: Os modelos frequentemente vazaram informações em todos os três níveis.
• Limitações de Prompting: O prompting zero-shot ingênuo (instruindo os agentes a evitar vazamentos) reduziu o vazamento ligeiramente, mas não conseguiu eliminá-lo. Em alguns casos, apenas reduziu o número de consultas em vez de melhorar a privacidade do texto da consulta.
• Troca entre Desempenho e Privacidade: Treinar agentes exclusivamente para o desempenho da tarefa usando Aprendizado por Reforço (RL) melhorou a precisão, mas piorou significativamente o vazamento de privacidade, pois os agentes aprenderam a incluir detalhes mais específicos (e, portanto, mais vazáveis) em suas consultas para garantir o sucesso da recuperação.

3. Solução Proposta: Pesquisa Profunda com Consciência de Privacidade (PA-DR)

Para abordar a troca entre vazamento e desempenho, os autores propõem o PA-DR, um framework de Aprendizado por Reforço que otimiza tanto o sucesso da tarefa quanto a preservação da privacidade.

• Recompensas Situacionais: Ao contrário do RL padrão baseado em resultados, que fornece uma única recompensa ao final de uma trajetória, o PA-DR utiliza recompensas situacionais para fornecer atribuição de crédito densa. As recompensas são calculadas por salto e por estágio (Planejar, Escolher) com base em se o agente recuperou a fonte de documento correta ou selecionou o documento alvo (gold document).
• Penalidade de Privacidade: Um classificador binário leve (treinado em 26.734 exemplos rotulados) estima a probabilidade de vazamento dada uma leva (batch) de consultas web. A função de recompensa incorpora uma penalidade derivada deste classificador:
  • Vazamento Direto: Penaliza a atual leva de consultas se elas vazarem informações por si só.
  • Vazamento de Mosaico: Penaliza a atual leva com base em quanto ela contribui para o vazamento cumulativo de toda a trajetória.
  • A recompensa de privacidade final é definida como $r_{privacy} = -\max(c_{direct}, c_{mosaic})$, onde os custos são derivados da probabilidade de vazamento prevista pelo classificador.
• Treinamento: O framework treina o modelo Qwen3-4B-Instruct usando PipelineRL, otimizando conjuntamente as recompensas situacionais de tarefa e a penalidade de privacidade.

Principais Resultados

• Ganhos de Desempenho: O treinamento com PA-DR melhorou a taxa de sucesso de cadeia estrita do Qwen3-4B-Instruct de 48,7% (baseline) para 58,7%.
• Redução de Vazamento: O mesmo treinamento reduziu o Vazamento de Resposta e de Informação Total de 34,0% para 9,9%.
• Otimização Combinada: Quando combinado com um prompt consciente de privacidade, o modelo PA-DR alcançou 59,3% de precisão de cadeia com apenas 7,6% de vazamento.
• Análise Comportamental: Diferente do prompting, que reduzia o vazamento simplesmente realizando menos consultas, o PA-DR treinou os modelos para realizar mais consultas, porém com textos semanticamente menos reveladores. Os modelos aprenderam a recuperar os documentos necessários enquanto omitiam métricas específicas (ex: "15%") ou tipos de resposta no texto da consulta, quebrando o elo semântico necessário para um adversário reconstruir fatos privados.
• Comparação: O PA-DR empurra a fronteira de Pareto, alcançando maior precisão e menor vazamento simultaneamente em comparação com modelos treinados apenas para desempenho de tarefa ou que utilizam o RL padrão baseado em resultados.

Significância e Contribuições

O artigo apresenta três contribuições primárias:

1. Benchmark MosaicLeaks: Um novo framework de avaliação que testa explicitamente agentes de pesquisa profunda em perguntas de múltiplos saltos com fortes dependências de informação local-externa, capturando o efeito mosaico em ambientes empresariais.
2. Análise Empírica: Uma demonstração de que os agentes de pesquisa profunda padrão frequentemente vazam dados empresariais e que a otimização exclusiva para o desempenho da tarefa exacerba esse risco. Também mostra que intervenções baseadas em prompting são insuficientes para esta tarefa.
3. Framework PA-DR: Uma formulação principista do treinamento de agentes consciente de privacidade como um objetivo conjunto. Ao usar um classificador de privacidade aprendido para fornecer atribuição de crédito densa sobre o vazamento por consulta e nível de mosaico, os autores mostram que é possível treinar agentes que são simultaneamente altamente precisos e preservadores de privacidade.

Os autores concluem que, embora os agentes atuais sejam propensos ao vazamento de mosaico, o treinamento baseado em RL com recompensas de privacidade situacionais oferece um caminho viável para implantar agentes de pesquisa profunda em ambientes empresariais sensíveis sem comprometer a segurança dos dados.