Resumo Técnico: Chamadas de Ferramentas Fantasmas: Privacidade no Momento da Emissão para Ferramentas de Agentes Especulativos

1. Declaração do Problema

Agentes de linguagem aumentados por ferramentas empregam cada vez mais a execução especulativa para reduzir a latência. Neste paradigma, um tempo de execução de agente prevê chamadas de ferramentas prováveis no futuro e as despacha em paralelo enquanto o planejador ainda está decidindo qual ramo de execução deve consolidar. Embora isso melhore o desempenho, introduz um novo modo de falha de privacidade que os autores denominam Chamadas de Ferramentas Fantasmas (Ghost Tool Calls).

Uma chamada de ferramenta fantasma é uma invocação especulativa abandonada que foi despachada para um observador externo (ex: um provedor de busca, endpoint de API ou monitor de rede), mas que nunca foi promovida ao plano final e consolidado do agente. Como essas chamadas são emitidas antes que o agente se comprometa com um fluxo de trabalho específico, elas vazam a intenção inferida do usuário (tópicos, entidades e potenciações de ações de acompanhamento) para serviços externos.

O problema central é temporal: uma vez que um observador externo recebe uma chamada especulativa, a informação é retida em logs de provedores, caches ou rastros de rede. Os mecanismos de privacidade padrão falham em abordar isso porque:

• A limpeza no momento da consolidação (Commit-time cleanup) é ineficaz; o observador já detém os dados.
• Restrições de apenas leitura (ex: permitir apenas a especulação para ferramentas de leitura) não impedem o vazamento de intenção via argumentos ou endpoints de destino.
• Listas de permissões de controle de acesso permitem a chamada se a ferramenta for autorizada, independentemente de o ramo ser posteriormente abandonado.

Os autores argumentam que a privacidade para agentes especulativos requer uma decisão de política no momento da emissão (issue-time), feita antes que a chamada saia do limite do tempo de execução confiável, em vez de uma decisão no momento da consolidação.

2. Metodologia e Estrutura

O Modelo de Rastro

Os autores formalizam a lacuna de privacidade usando um modelo de rastro comparando duas sequências:

• Rastro Emitido ($S$): O log ordenado de todos os eventos de ferramenta despachados, incluindo os especulativos.
• Rastro Consolidado ($C$): A subsequência ordenada de eventos que o agente efetivamente utiliza.
• Chamadas Fantasmas: Eventos em $S \setminus C$.
• Exposição Marginal ($\Delta_i$): A diferença entre o que um observador $i$ vê no rastro especulativo ($O_i(S)$) versus o contrafactual de apenas consolidação ($O_i(C)$). Isso representa a informação adicional vazada exclusivamente devido à especulação.

O modelo identifica três canais de divulgação:

1. Argumentos: O payload literal (ex: consultas de busca).
2. Destino: O endpoint ou coleção acessada (ex: uma API de licença de RH vs. uma busca geral).
3. Metadados: Tempo, ordem, contagens de tentativa e estados de cache.

Contratos de Privacidade de Ferramentas Especulativas

Para impor a privacidade na fronteira do momento da emissão, o artigo propõe Contratos de Privacidade de Ferramentas Especulativas. Este é uma abstração de tempo de execução que trata a "observação antes da consolidação" como um efeito de primeira classe, distinto da mutação de estado.

Componentes Principais:

• Rótulos (Labels): Cada evento especulativo é rotulado com modo de execução, classe de efeito, classe de observador, sensibilidade de argumento, sensibilidade de destino e confiança do ramo.
• O Monitor: Um componente confiável situado entre o planejador e os caminhos de I/O externos. Ele avalia cada evento especulativo antes do despacho.
• Função de Decisão: O monitor mapeia eventos para uma de cinco ações:
  1. PERMITIR (ALLOW): Despacha sem alterações.
  2. REESCREVER (REWRITE): Transforma argumentos sensíveis em equivalentes genéricos antes do despacho.
  3. SOMBRAR (SHADOW): Executa um substituto local confiável em vez da chamada externa; o resultado é usado se o ramo for promovido, mas o observador externo nunca vê a requisição original.
  4. ADIAR (DEFER): Enfileira o evento para reavaliação apenas se o ramo for promovido ao plano consolidado.
  5. BLOQUEAR (BLOCK): Descarta o evento inteiramente.

Invariante de Solidez: Sob a suposição de mediação completa (sem vazamentos de dados brutos antes do monitor) e rotulagem correta, o monitor impede que qualquer campo proibido entre na exposição marginal ($\Delta_i$) do observador, independentemente de o evento ser posteriormente consolidado ou abandonado.

3. Principais Contribuições

1. Conceito de Chamada de Ferramenta Fantasma: A formalização de invocações especulativas abandonadas como uma ameaça de privacidade distinta, diferenciando a divulgação no momento da emissão da mutação de estado no momento da consolidação.
2. Contratos de Privacidade de Ferramentas Especulativas: Uma abstração de tempo de execução com rótulos concretos, um pipeline de decisão de cinco ações e uma invariante de solidez que trata a observação pré-consolidação como um efeito distinto.
3. Avaliação Empírica: Uma avaliação abrangente de 12 políticas sobre três corpora gerados (estático de 30 tarefas, pareado de 150 tarefas e AgentDojo de 66 tarefas) e um estudo de provedor real (Brave Search/DuckDuckGo). A avaliação utiliza múltiplos modelos de adversário (LLMs, correspondência de palavras-chave, TF-IDF) para medir a recuperação de rótulos sensíveis ocultos.

4. Resultados

A avaliação compara as políticas com base na recuperação adversarial (a probabilidade de um adversário inferir corretamente um rótulo sensível a partir da projeção do observador) e no sucesso da tarefa.

• Confirmação de Vazamento: Rastros especulativos aumentam significamente o vazamento. Em um benchmark de plano estático, as taxas de recuperação saltaram de 0,44 (Sem Especulação) para 0,97 (Especulação Ingênua).
• Ineficácia de Controles Pós-Hoc: Políticas que atuam após o despacho ou que dependem de restrições de apenas leitura falham em reduzir o vazamento:
  • Late-Scrub, ACL e SIA (Agentes de Interação Especulativa): Estas políticas deixam a exposição marginal intacta. A política SIA, que restringe a especulação a ferramentas de apenas leitura, apresenta desempenho tão ruim quanto a linha de base Ingênua, pois chamadas de apenas leitura ainda revelam a intenção através de argumentos e destinos.
  • Pre-Scrub: A redação de texto livre de argumentos antes do despacho é insuficiente se os campos estruturados ou destinos permanecerem intocados.
• Eficácia de Transformações no Momento da Emissão: Apenas políticas que transformam a projeção antes do despacho reduzem o vazamento:
  • Rewrite (Reescrever): Parafrasear argumentos sensíveis em equivalentes genéricos reduziu a recuperação para níveis próximos ao piso (ex: 0,04 em cenários de planejador real).
  • Shadow (Sombrear): Rotear chamadas para substitutos locais reduziu a recuperação para 0,00 em vários benchmarks.
  • Gate (Portão): Adiar chamadas de baixa confiança até a promoção do ramo reduziu o vazamento, embora com um compromisso de utilidade se o limiar for muito rigoroso.
• Sinal Residual: Os principais portadores de vazamento são campos de argumentos estruturados e URLs de destino. Mascarar nomes de ferramentas ou usar redação de texto livre não impede o vazamento se o destino ou os argumentos estruturados revelarem o tópico.
• Utilidade vs. Privacidade: O sucesso da tarefa permaneceu alto na maioria das políticas (0,77–0,83). As políticas Shadow e Rewrite alcançaram quase zero de vazamento com impacto negligenciável no sucesso da tarefa, enquanto filtros pós-hoc não ofereceram benefício de privacidade.
• Latência: O mecanismo de aplicação do contrato não se tornou um gargalo de latência. Em cargas de trabalho assíncronas de múltiplas ferramentas, as políticas de preservação de privacidade (Rewrite, Gate) mantiveram vantagens de latência similares à linha de base Ingênua.

5. Significância e Alegações

O artigo alega que a especulaçãoção cria uma falha de privacidade no momento da emissão que não pode ser resolvida por autorização tradicional ou limpeza no momento da consolidação. A significância do trabalho reside em:

• Mudança do Limite de Privacidade: Mover o ponto de decisão de privacidade de "quando o agente consolida" para "quando o agente emite". Os autores argumentam que, uma vez que um observador detém uma chamada especulativa, o dano está feito; portanto, o tempo de execução deve decidir o que enviar antes de enviar.
• Redefinição de "Especulação Segura": O artigo demonstra que restringir a especulação a ferramentas de "apenas leitura" (um padrão comum de segurança) é insuficiente para a privacidade, pois chamadas de apenas leitura ainda vazam a intenção. A verdadeira privacidade requer transformar ou suprimir a projeção observável.
• Abstração Prática: Os contratos propostos fornecem um framework concreto e implementável (Rewrite, Shadow, Defer) que permite aos sistemas de tempo de execução equilibrar os benefícios de latência da especulação com os requisitos de privacidade sem sacrificar a utilidade da tarefa.

Os autores concluem que, embora a especulação seja atraente para o desempenho, ela requer políticas no momento da emissão que alterem ou suprimam ativamente a projeção de argumento ou destino da chamada especulativa para evitar o vazamento da intenção inferida do usuário.