Resumo Técnico: 𝜋Creds: Credenciais Inferidas Privadamente

Declaração do Problema

Os sistemas de credenciais verificáveis descentralizadas têm sido historicamente limitados por sua dependência de provas de conhecimento zero (ZKPs) e dados estruturados. Embora eficazes para predicados simples (ex: "idade > 18"), esses sistemas têm dificuldade com dados não estruturados (ex: extratos bancários, registros médicos, postagens em redes sociais) e carecem do raciocínio semântico necessário para derivar alegações complexas como "especialidade em produto" ou "segurança de código" sem revelar os dados subjacentes. As soluções existentes exigem lógica codificada para cada fonte de dados e formato, o que as torna inflexíveis e incapazes de lidar com relações semânticas entre fontes de dados divergentes. Além disso, o uso de Modelos de Linguagem de Grande Escala (LLMs) para a emissão de credenciais introduz novas ameaças ao nível da aplicação: atores maliciosos poderiam manipular dados autenticados para gerar credenciais enganosas, ou provedores de modelos maliciosos poderiam codificar canais ocultos para vazar informações privadas através das saídas do modelo.

Metodologia

O artigo propõe o 𝜋Creds (Privately Inferred Credentials), um sistema que gera credenciais preservadoras de privacidade, compatíveis com sistemas legados e descentralizadas, via inferência de LLM confiável sobre dados autenticados.

Arquitetura do Sistema

O fluxo de trabalho principal opera dentro de um Ambiente de Execução Confiável (TEE) (especificamente Intel TDX com GPUs NVIDIA H100 no protótipo) para garantir a confidencialidade e integridade tanto da recuperação de dados quanto da inferência. O processo envolve quatro partes: o TEE, fontes de dados, um provador e um verificador.

1. Busca por Oracle: O TEE atua como um oracle, fazendo login em fontes de dados de usuários em listas brancas (ex: bancos, marketplaces) usando credenciais fornecidas pelo usuário para buscar documentos.
2. Inferência Privada: Um LLM processa os documentos buscados dentro do TEE usando um prompt específico para gerar uma alegação.
3. Atestação: O TEE assina a alegação resultante com uma chave baseada em hardware, incorporando uma atestação remota que verifica o código e a configuração utilizados.
4. Verificação: O verificador checa a atestação do TEE e a assinatura. Nenhuma interação com o TEE é necessária após a emissão.

Formalização de Segurança

Os autores identificam dois modelos de ameaça críticos de nível de aplicação, distintos da segurança padrão de nível de sistema:

1. Exemplo Adversário Restrito à Fonte (SCAE): Este modela um adversário que manipula fontes de dados autenticadas (ex: realizando compras estratégicas) para induzir uma saída de LLM enganosa. Diferente dos exemplos adversários padrão, a perturbação é limitada pelo custo real de modificar a fonte de dados e pelo requisito de que os dados permaneçam consistentes com a lógica de autenticação da fonte.
2. Envenenamento de Predicado Oculto Autenticado (ACPP): Este modela um adversário (um verificador ou provedor de modelo) que ajusta finamente um modelo para codificar informações sensíveis (ex: gênero, compras específicas) na saída da credencial. O ataque é limitado pelo requisito de que a saída permaneça uma alegação "válida" dentro do conjunto de verdade fundamental (ou seja, deve passar na auditoria do provador) e que os dados de ajuste fino pareçam legítimos.

Principais Contribuições

1. O Protocolo 𝜋Creds: Um fluxo completo de emissão e verificação combinando oráculos com inferência de LLM. O sistema é formalizado no framework de Componibilidade Universal, garantindo integridade (execução fiel) e privacidade (dados não expostos além da saída).
2. Modelagem de Ameaças: A formalização dos problemas SCAE e ACPP, fornecendo um framework para analisar a robustez contra manipulação estratégica de dados e vazamento de privacidade via seleção de modelos adversários.
3. Novas Aplicações: O artigo caracteriza aplicações para dados do usuário (ex: especialidade em produto, solvência financeira) e introduz uma nova classe de credenciais para software. Isso permite que um serviço ateste propriedades de seu código proprietário (ex: "não possui chaves de API codificadas") sem revelar o código-fonte, fazendo com que um LLM audite o código dentro de um TEE.
4. Avaliação Empírica: Uma implementação de protótipo suportando fontes financeiras, de saúde, de e-mail e de código. Os autores estudam empiricamente SCAE e ACPP em uma credencial de "especialidade em produto" usando dados reais de transações da Amazon.

Resultados

• Acurácia de Linha de Base: Usando modelos de código aberto (ex: Qwen2.5-7B-Instruct), o sistema alcança alta precisão em tarefas semânticas. Para especialidade em produto, o desvio absoluto médio em relação a uma verdade fundamental de "consenso de modelo de fronteira" foi de 0,45 pontos em uma escala de 10 pontos.
• Avaliação SCAE: A autenticação da fonte impõe um custo real aos adversários. Com um orçamento de \$20 (aprox. 5$100 (20% do gasto), o deslocamento foi de 1,75 pontos. Embora o ataque seja limitado pelo custo, um orçamento modesto ainda pode alterar significativamente a pontuação da credencial, indicando vulnerabilidade à manipulação motivada.
• Avaliação ACPP: O estudo testou canais ocultos usando paridade de pontuação (números pares/ímpares) para codificar predicados sensíveis (gênero, compra de um item específico).
  • Sem Restrições: Sem restrições de saída, o adversário alcançou uma recuperação quase perfeita do predicado oculto.
  • Com Restrições: Quando a saída foi forçada a permanecer dentro de uma faixa de tolerância válida (±5 pontos), a precisão de recuperação caiu para níveis próximos ao acaso (55–65% para demográfico, 45–55% para comportamental).
  • Conclusão: O requisito de que a saída permaneça uma alegação "válida" limita significativamente a capacidade de canais ocultos, embora credenciais mais expressivas (ex: justificativas de texto livre) seriam mais vulneráveis.

Significância e Alegações

O artigo afirma que o 𝜋Creds representa um passo significativo ao permitir o raciocínio semântico sobre dados não estruturados de maneira preservadora de privacidade, uma capacidade que falta nos sistemas atuais baseados em ZKP. Ao utilizar LLMs dentro de TEEs, o sistema suporta fontes de dados legadas sem exigir modificações em bancos ou marketplaces.

Os autores posicionam o trabalho como uma exploração inicial em vez de um veredito de segurança definitivo. Eles enfatizam que:

• A formalização de SCAE e ACPP fornece um ponto de partida para a análise sistemática de segurança de credenciais baseadas em LLM.
• Os resultados empíricos servem como uma demonstração de como essas ameaças podem ser operacionalizadas, mostrando que, embora a autenticação de fonte e as restrições de saída forneçam alguma defesa, adversários motivados ainda podem influenciar os resultados.
• A aplicação para auditoria de software proprietário oferece um caminho concreto para estabelecer confiança em agentes de código fechado (no contexto dos padrões ERC-8004) sem revelar o código-fonte.

O artigo conclui que, embora os LLMs introduzam novas superfícies de ataque, a combinação de TEEs, autenticação de fonte e espaços de saída restritos oferece uma base viável, embora imperfeita, para a próxima geração de credenciais descentralizadas e preservadoras de privacidade.