Resumo Técnico: IDP-Bench

Declaração do Problema

À medida que os Grandes Modelos de Linguagem (LLMs) são cada vez mais implantados como assistentes de IA pessoais com acesso a dados sensíveis dos usuários, garantir a privacidade tornou-se um desafio de segurança crítico. Embora pesquisas anteriores tenham avaliado extensivamente os riscos de privacidade em nível individual, essas avaliações frequentemente negligenciam a Privacidade Interdependente (IDP). A IDP descreve cenários onde a privacidade de uma pessoa é contingente nas decisões de compartilhamento de dados de outros, o que significa que os dados pessoais são frequentemente co-propriedade, em vez de pertencerem a um único indivíduo.

Em sistemas sociotécnicos do mundo real, agentes de LLM frequentemente processam dados que envolvem múltiplos sujeitos (ex: notas de reunião, chats de grupo, listas de contatos, fotos compartilhadas). Benchmarks atuais, como CI-Bench e PrivacyLens, focam primariamente em cenários de sujeito único ou não distinguem formalmente entre múltiplos indivíduos envolvidos no mesmo fluxo de dados. Consequentemente, há uma lacuna na compreensão se os LLMs conseguem raciocinar sobre as complexas normas de privacidade exigidas quando os dados envolvem partes co-implicadas que podem não ter consentido ou sequer estar cientes do fluxo de dados.

Metodologia

Os autores introduzem o IDP-Bench, o primeiro benchmark especificamente projetado para avaliar a capacidade dos LLMs de raciocinar sobre cenários de privacidade interdependente. A metodologia é fundamentada no framework de Integridade Contextual (CI) e na teoria de IDP, estruturada em três componentes principais: um modelo de risco, um pipeline de geração de dados e um protocolo de avaliação de múltiplos níveis.

1. Modelo de Risco

O benchmark define um cenário de risco de privacidade envolvendo quatro componentes e um objeto de informação:

• Remetente de Dados ($u$): O indivíduo que inicia o compartilhamento.
• Destinatário de Dados ($r$): O alvo pretendido do compartilhamento.
• Sujeito de Dados Primário ($d_p$): O principal indivíduo a quem os dados dizem respeito.
• Sujeitos de Dados Secundários ($\{d_{s1}, \dots, d_{sk}\}$): Um conjunto não vazio de indivíduos adicionais cujas informações são simultaneamente expostas nos dados, mas que podem não ter consentido.
• Princípio de Transmissão ($tp$): O método de transmissão.

O desafio central é determinar se um LLM consegue identificar corretamente que o dado $D$ é de múltiplos sujeitos, reconhecer todos os co-implicados e julgar a adequação do fluxo de informação dada a ausência de consentimento dos sujeitos secundários.

2. Pipeline de Geração de Dados

O benchmark utiliza um pipeline sintético para gerar 100 cenários únicos (97 utilizados após filtragem), consistindo em:

• Extensão de Sementes (Seed Extension): Partindo de 493 sementes do PrivacyLens (5-tuplas), os autores usaram o Qwen2.5-72B-Instruct para estendê-las em sementes de IDP de 9 campos. Isso envolveu a adição de campos para sujeitos secundários, tipo de interdependência (co-propriedade, correlação, familiar, co-localização) e descrição da interdependência.
• Verificação: Um verificador de teste de unidade checa a validade estrutural e semântica, garantindo que os sujeitos secundários sejam distintos do sujeito primário e que o cenário reflita realisticamente contextos de IDP cotidianos (ex: redes sociais, chats de grupo) em vez de configurações profissionais especializadas.
• Geração de Vinhetas: As sementes verificadas são expandidas em narrativas de 7 frases. As seis primeiras frases estabelecem os atores e os dados conjuntos sem rótulos explícitos, enquanto a sétima frase (oculta durante a avaliação) declara explicitamente o vazamento de privacidade para os sujeitos secundários.
• Instruções Subespecificadas: Cada vinheta é pareada com uma instrução de compartilhamento de alto nível que omite detalhes específicos sobre o que compartilhar ou quem está envolvido, forçando o modelo a inferir as restrições de privacidade.

3. Protocolo de Avaliação

A avaliação testa oito LLMs de código aberto (famílias Qwen2.5 e Llama-3.1) através de três níveis progressivos de raciocínio usando dois juízes de LLM independentes (Llama-3.1-70B e Qwen2.5-72B):

• Nível 1: Compreensão de Contexto (Q1–Q7): Extração de parâmetros de CI (atributo de informação, sujeitos primários/secundários, remetente, destinatário, princípio de transmissão) e identificação de qual informação sobre os sujeitos secundários seria revelada.
• Nível 2: Reconhecimento de Co-propriedade (Q8): Determinação se os dados são co-propriedade de múltiplos indivíduos.
• Nível 3: Julgamento de Adequação (Q9): Decisão se o compartilhamento é apropriado e fornecimento de uma justificativa.

A avaliação utiliza cinco variantes de prompt por pergunta para medir a sensibilidade à formulação e emprega uma abordagem de LLM-como-juiz com prompts específicos para correspondência semântica, crédito parcial e correspondência exata estrita.

Principais Contribuições

1. Extensão das Sementes de CI: Os autores formalizaram a transição de sementes de sujeito único para múltiplas sidades ao estender o formato de 5-tuplas do PrivacyLens para incluir sujeitos secundários e descritores de interdependência.
2. Construção do IDP-Bench: Um benchmark sintético de 100 cenários de IDP cobrindo diversos tipos de dados de múltiplos sujeitos (notas de reunião, fotos de grupo, listas de contatos, etc.) ancorados em plataformas digitais realistas.
3. Avaliação Abrangente: Uma avaliação de múltiplos níveis de LLMs de código aberto em compreensão de contexto, reconhecimento de co-propriedade e julgamento de adequação, comparando o desempenho entre escalas e famílias de modelos.

Resultados

A avaliação de oito modelos (variando de 1.5B a 72B de parâmetros) gerou as seguintes descobertas:

• Reconhecimento de Co-propriedade (Nível 2): Os modelos performam fortemente aqui. Seis de oito modelos pontuaram acima de 90% em Q8, com modelos maiores (ex: Llama-3.1-70B, Qwen2.5-72B) atingindo um desempenho próximo ao teto. Isso sugere que os modelos podem identificar de forma confiável a presença de co-propriedade quando explicitamente instigados.
• Compreensão de Contexto (Nível 1): O desempenho é misto e geralmente inferior.
  • Identificação de Remetente/Destinatário: Geralmente alta para modelos maiores (70–90%), mas modelos menores (ex: Qwen2.5-1.5B) enfrentam dificuldades significativas (38–40%).
  • Identificação de Sujeito Primário/Secundário: Isso permanece um desafio significativo. Embora a identificação do sujeito primário (Q2) melhore com a escala, a identificação do sujeito secundário (Q3) mostra uma escalabilidade inconsistente; por exemplo, o Qwen2.5-14B superou o Qwen2.5-72B em algumas configurações de juiz.
  • Atributo de Informação (Q1): Todos os modelos pontuaram abaixo de 76%, indicando dificuldade em classificar o tipo central de dado.
• Julgamento de Adequação (Nível 3): O desempenho melhora com a escala do modelo. Os dois maiores modelos Qwen (32B, 72B) alcançaram 91–96% de precisão, enquanto modelos menores (1.5B, 3B, 7B) permaneceram na faixa de 60–71%. Notavelmente, modelos grandes frequentemente alcançam a conclusão normativa correta (compartilhamento é inapropriado) mesmo quando falham em identificar corretamente os sujeitos secundários específicos ou os atributos de informação subjacentes a essa conclusão.
• Sensibilidade ao Prompt: O desempenho varia significamente entre as variantes de prompt, particularmente para perguntas específicas de IDP, destacando uma falta de robustez no raciocínio sobre esses cenários.

Significância e Alegações

O artigo afirma que o IDP-Bench revela uma lacuna crítica nas capacidades de privacidade dos LLMs atuais: embora os modelos possam reconhecer que os dados são de co-propriedade, eles têm dificuldade com o raciocínio mais refinado necessário para identificar quem está implicado e qual informação específica está em risco.

Os autores enfatizam que:

• Escala não é uma panaceia: Embora o julgamento de adequação melhore com o tamanho do modelo, modelos menores e até alguns maiores falham em resolver consistentemente os parâmetros detalhados de IDP (sujeitos secundários) necessários para uma proteção de privacidade robusta.
• Benchmarks atuais são insuficientes: Benchmarks de privacidade existentes que focam em cenários de sujeito único falham em capturar a natureza relacional dos dados do mundo real, potencialmente levando a uma falsa sensação de segurança em relação à privacidade dos LLMs.
• Direções Futuras: O trabalho ressalta a necessidade de um estudo mais direcionado de IDP na pesquisa de privacidade de LLMs, incluindo a extensão das avaliações para ambientes agênticos onde os modelos realizam ações em vez de apenas responder perguntas, e o desenvolvimento de objetivos de treinamento que levem em conta a natureza de múltiplos sujeitos dos dados.

Os autores mantêm a modéstia, observando que sua avaliação atual é baseada em raciocínio e ainda não inclui configurações baseadas em ação, onde os modelos usam ferramentas para executar ações que violam a privacidade, o que identificam como uma extensão futura necessária.