Resumo Técnico: MINIM - Visão Mínima Consciente de Privacidade para Agentes via Sanitização Local Confiável

1. Declaração do Problema: Observação Semântica Sobreprivilegiada

Agentes autônomos modernos dependem cada vez mais de observações estruturadas (ex: árvores de acessibilidade, representações de DOM) para interagir com ambientes digitais. Embora essas interfaces estruturadas forneçam um contexto semântico rico para o ancoramento confiável de ações, os paradigmas de implantação atuais frequentemente seguem um design de "compartilhamento prioritário", transmitindo o estado completo da interface bruta para servidores de inferência remotos.

Os autores identificam um modo de falha específico denominado Observação Semântica Sobreprivilegiada. Nesse cenário, os agentes recebem não apenas os elementos necessários para a tarefa atual do usuário, mas também uma vasta quantidade de contexto irrelevante para a tarefa (ex: notificações na barra lateral, janelas de aplicativos em segundo plano, abas de navegador não relacionadas). Essa exposição leva ao vazamento de informações sensíveis, porém desnecessárias, como códigos de autenticação, notificações privadas e traços comportamentais, que podem ser explorados para perfilamento.

As soluções de privacidade existentes são inadequadas para este cenário:

• Filtragem agnóstica à tarefa (ex: redação de PII) corre o risco de remover contextos críticos para a tarefa ou de não detectar atributos sensíveis que não sejam PII.
• Privacidade Diferencial introduz ruído estocástico que pode distorcer as pistas semânticas precisas necessárias para a atuação confiável do agente.
• Métodos criptográficos (ex: FHE, MPC) protegem a computação, mas não impedem que o servidor remoto infira informações sensíveis a partir do estado divulgado, muitas vezes ao custo de uma latência proibitiva.

O desafio central é que os requisitos de privacidade são condicionados à tarefa: um elemento (ex: um código 2FA) pode ser crítico para uma tarefa, mas constituir um vazamento puro para outra.

2. Metodologia: Estrutura MINIM

Os autores propõem o MINIM, um mediador local confiável que realiza a minimização pré-divulgação no dispositivo do cliente. O MINIM atua como um gargalo estrutural, sanitizando a observação do agente antes que ela saça do dispositivo. A estrutura fundamenta-se na Integridade Contextual (CI), operacionalizando o princípio de que o fluxo de informação deve aderir às normas definidas pelo contexto, atores, atributos e princípios de transmissão.

2.1. Representação de Pontuação Dupla

O MINIM utiliza um modelo aprendido para prever dois escores escalares para cada elemento na observação estruturada (ex: um nó de árvore de acessibilidade):

1. Escore de Sensibilidade Inerente ($s$): Captura o risco de informação intrínseco do elemento, independente da tarefa atual.
2. Escore de Necessidade Condicionado à Tarefa ($n$): Captura a utilidade do elemento para completar a tarefa específica do usuário $T$.

2.2. Objetivo de Treinamento

O modelo é treinado usando um objetivo consciente de CI que minimiza a divulgação de informações contextualmente inapropriadas enquanto satisfaz uma restrição de utilidade da tarefa. A função de perda combina:

• Perda de Sensibilidade ($L_{sens}$): Minimiza o erro na previsão do risco inerente.
• Perda de Necessidade ($L_{nec}$): Minimiza o erro na previsão da necessidade da tarefa, mas ponderado pela sensibilidade. A perda é amplificada para nós que são altamente sensíveis, mas irrelevantes para a tarefa, penalizando severamente o modelo por falhar em identificar conteúdo de alto risco desnecessário.

2.3. Política de Divulgação Ternária

Na implantação, os escores previstos direcionam uma política determinística que mapeia cada nó para uma de três ações:

• Manter (K - Keep): Se o nó for necessário ($n \ge \tau_{nec}$) e de baixo risco ($s < \tau_{sens}$). O elemento é transmitido sem alterações.
• Abstrair (A - Abstract): Se o nó for necessário ($n \ge \tau_{nec}$), mas de alto risco ($s \ge \tau_{sens}$). Atributos sensíveis são substituídos por marcadores (ex: [REDACTED]) enquanto preservam o papel estrutural (ex: mantendo a estrutura do botão, mas mascarando o valor do código 2FA).
• Remover (R - Remove): Se o nó for desnecessário ($n < \tau_{nec}$). O elemento é podado inteiramente.

3. Principais Contribuições

1. Formalização do Problema: O artigo identifica e formaliza a "Observação Semântica Sobreprivilegiada" como um risco de privacidade distinto em sistemas de agentes que dependem de entradas estruturadas, propondo a minimização pré-divulgação como solução.
2. Arquitetura MINIM: Os autores introduzem um mediador local confiável que desacopla a pontuação contextual da aplicação da política. Ele utiliza um mecanismo de pontuação dupla (sensibilidade e necessidade) treinado com um objetivo consciente de CI para aplicar uma regra de divulgação de "necessidade de saber".
3. Validação Empírica: A estrutura é avaliada em árvores de acessibilidade reais derivadas do WebArena, abrangendo os domínios de Shopping, Reddit e Gmail, demonstrando redução significativa de vazamento sem comprometer a execução das tarefas.

4. Resultados Experimentais

Os experimentos foram conduzidos em um conjunto de dados de 662 variantes de teste derivadas do WebArena, aumentadas com contextos sensíveis sintetizados (ex: códigos 2FA, senhas).

4.1. Métricas de Desempenho

• Preservação de Nós Críticos para a Tarefa (TCNP): O MINIM retém 94,91% do contexto crítico para a tarefa e 99,31% dos elementos interativos críticos para a tarefa (TCNP-I).
• Vazamento Sensível Irrelevante à Tarefa (TISL): O MINIM reduz o vazamento sensível para 0,101 (normalizado), o que é aproximadamente 10% do vazamento observado nas observações completas. Isso representa uma redução de 50% em comparação com um baseline de "Apenas Necessidade" (0,2032) e supera significativamente os baselines de "Apenas Sensibilidade" ou "Aleatório".

4.2. Comparação com Baselines de LLM

Os autores compararam o MINIM com vários Modelos de Linguagem de Grande Escala (LLMs) de pesos abertos atuando como pontuadores via prompt.

• Limitações dos LLMs: Embora os LLMs gerais tenham alcançado alta utilidade (TCNP-I $\approx$ 0,99), eles exibiram um vazamento significativamente maior (TISL variando de 0,194 a 0,312). Eles tendem a reter conteúdo sensível irrelevante para a tarefa junto com elementos úteis.
• Eficiência: O MINIM reteve apenas 12% dos nós (comparado a ~26–35% para LLMs) enquanto alcançou recall de ação comparável ou superior. Isso destaca que o ajuste fino de instrução geral não impõe inerentemente a minimização condicionada à tarefa.

4.3. Ablação e Robustez

• Valor da Abstração: Substituir a ação "Abstrair" (A) por "Remover" (R) causou uma queda no recall de ação (TCNP-I) de 0,9931 para 0,9650, demonstrando que preservar as affordances estruturais enquanto se mascara os valores é crucial para a execução da tarefa.
• Semântica da Tarefa: O modelo adaptou sua taxa de compressão com base no tipo de tarefa, retendo mais nós para tarefas "Sensíveis/Administrativas" (15,84%) em comparação com tarefas "Informativas" (8,66%) para garantir que os fluxos de segurança permanecessem funcionais.

5. Significância e Alegações

O artigo alega que o MINIM demonstra que garantias de privacidade fortes podem coexistir com uma atuação de agente confiável. Ao mudar de um paradigma de "compartilhamento prioritário" para um paradigma de "necessidade de saber" via sanitização local confiável, o MINIM aborda o "Gap de Julgamento-Ação de Privacidade", onde os agentes falham em proteger o contexto mesmo quando este é reconhecido como sensível.

Os autores enfatizam que sua abordagem é agnóstica à representação; embora avaliada em árvores de acessibilidade, o mecanismo de pontuação estrutural baseado em CI aplica-se a outros formatos de observação estruturada (DOM, grafos de cena, esquemas de ferramentas). Eles posicionam o MINIM não como uma solução de segurança completa contra adversários ativos, mas como um componente crítico de mitigação de privacidade para o canal de observação de agentes autônomos, permitindo a implantação segura em ambientes sensíveis à privacidade.