Resumo Técnico: DiSan (Desentanglement Sanitization)

1. Definição do Problema

O artigo aborda o desafio crítico de privacidade na colaboração de agentes distribuídos entre organizações, especificamente dentro de sistemas de Geração Aumentada por Recuperação (RAG) e de perguntas e respostas multiagentes. Quando os agentes trocam evidências textuais através de fronteiras organizacionais, ocorre o vazamento de privacidade em dois níveis distintos:

1. Identificadores Explícitos: PII (Informações de Identificação Pessoal) tradicionais, como nomes, números de conta e endereços.
2. Assinaturas Distribuicionais: Vazamento implícito através de convenções de formatação, escolhas de vocabulário e padrões sintáticos que codificam as práticas internas da parte de origem (impressões digitais organizacionais).

Os autores argumentam que as soluções existentes são insuficientes porque tratam a privacidade como um problema de nível de identificador, em vez de um problema de nível de representação. O mascaramento baseado em regras remove o PII explícito, mas deixa as assinaturas distribuicionais intactas, enquanto a paráfrase baseada em LLM carece de mecanismos para garantir que a distribuição de saída seja estatisticamente invariante à fonte. Além disso, o Aprendizado Federado (FL) padrão descentraliza o treinamento do modelo, mas não resolve o problema de compartilhar os dados em si para tarefas downstream.

2. Metodologia: DiSan

A solução proposta, DiSan (Disentangled Sanitization), é um framework de preservação de privacidade integrado ao sistema operacional multiagente Intern-Shannon. Ele opera via uma abordagem de fatoração de papel-estilo (role–style factorization), separando a semântica relevante para a tarefa das variações vinculadas à fonte.

Arquitetura Central

• Codificador de Dois Fluxos (Two-Stream Encoder): O DiSan utiliza um codificador pré-treinado (LongT5-TGlobal-Base) que projeta o texto de entrada em dois subespaços ortogonais:
  • Subespaço de Papel ($Z_r$): Codifica a semântica da tarefa invariante à fonte (entidades, relações, eventos) destinada ao compartilhamento.
  • Subespaço de Estilo ($Z_s$): Codifica variações específicas do agente (fraseamento, formatação, estilo organizacional). Este fluxo permanece estritamente local e é descartado após a decodificação.
• Fusão e Decodificação: Os dois fluxos são fundidos localmente para gerar o texto sanitizado ($\tilde{d}$). O decodificador é treinado para preservar os fatos do papel enquanto suprime identificadores e vocabulário específico da fonte. Apenas o texto sanitizado $\tilde{d}$ atravessa a fronteira de privacidade.

Mecanismo de Treinamento Federado

Para treinar o sanitizador sem centralizar o texto bruto, o DiSan emprega uma estratégia de otimização federada com três componentes principais:

1. Alinhamento de Protótipos: Para evitar que os espaços de papel derivem entre agentes não-IID, os agentes trocam protótipos de papel compactos (EMA de centroides de lote do papel). Esses protótipos são alinhados em uma hiperesfera unitária para garantir consistência global sem compartilhar evidências brutas.
2. Regularização Adversária: Um discriminador com Camadas de Reversão de Gradiente (GRL) é aplicado aos protótipos carregados. Isso força as representações de papel a serem menos preditivas do agente de origem, suprimindo assinaturas distribuicionais persistentes além das tags de capacidade pública.
3. Restrição de Ortogonalidade: Um termo de perda ($L_{orth}$) impõe a ortogonalidade de cosseno entre os vetores de papel e estilo após o pooling médio, garantindo a separação da semântica da tarefa da identidade da fonte.

Implantação

Em um pipeline de RAG multiagente, um agente solicitante roteia consultas para agentes auxiliares com base em tags de capacidade pública. Os auxiliares recuperam trechos locais, sanitizam-nos via DiSan e transmitem o texto sanitizado. O solicitante agrega essa evidência sanitizada para gerar as respostas finais.

3. Principais Contribuições

O artigo delineia quatro contribuições primárias:

1. Formulação de Sanitização Desentangled: Reenquadra a sanitização de texto cross-agent como um problema de fatoração de papel-estilo, separando a semântica da tarefa da variação vinculada à fonte.
2. Alinhamento de Papel Federado: Introduz o alinhamento de protótipo leve para estabilizar os espaços de papel entre agentes não-IID sem centralizar o texto bruto, aliado ao treinamento adversário para remover assinaturas de protótipos específicas da fonte.
3. Diagnóstico de Privacidade: Avalia a privacidade em três superfícies: texto de saída (estilometria), representações aprendidas (atribuição de embedding) e protótipos carregados, distinguindo o vazamento em estágio de aplicação de artefatos de treinamento.
4. Validação Empírica: Demonstra que o DiSan supera significativamente o mascaramento de nível de identificador e a paráfrase de LLM na redução da atribuição de origem, mantendo alta utilidade.

4. Resultados Experimentais

Experimentos foram conduzidos em um corpus financeiro multilíngue sintético (simulando 7 tipos de agentes distintos) e no corpus de e-mails da Enron para validação estilométrica.

• Desempenho de Privacidade:

  • Exposição de PII: O DiSan reduziu a exposição de PII ao nível de resposta em 20× em comparação ao compartilhamento desprotegido (0,6% vs. 11,8%).
  • Atribuição Estilométrica: No dataset Enron, o DiSan reduziu a atribuição estilométrica TF-IDF em 73,2% e a atribuição por sonda neural em 70,6%. Em contraste, o mascaramento de 19,2% dos tokens (usando detectores de PII fortes) reduziu a atribuição TF-IDF em apenas 18,6%.
  • Vazamento de Protótipo: Os protótipos carregados atingiram precisão de atribuição próxima ao acaso (F1 $\approx$ 0,09), indicando a supressão bem-sucedida de impressões digitais da fonte.

• Desempenho de Utilidade:

  • Fidelidade (Faithfulness): O DiSan manteve 83,17% de fidelidade da resposta no benchmark de RAG distribuído, próximo aos 86,10% da linha de base de compartilhamento desprotegido.
  • Comparação: O DiSan alcançou o melhor equilíbrio entre privacidade e utilidade entre todos os baselines, incluindo mascaramento por placeholder, paráfrase de LLM e gating de política.

• Estudos de Ablação:

  • A remoção das restrições de ortogonalidade ($L_{orth}$) aumentou a exposição de PII em 7,3×, confirmando que o isolamento de estilo é crítico para a privacidade.
  • A remoção do alinhamento de protótipo causou o desvio do espaço de papel, degradando tanto a utilidade (ChunkHit@3 caiu 3,6pp) quanto a privacidade.

5. Significância e Alegações

O artigo alega que a anonimização de nível de identificador é insuficiente para o compartilhamento de texto invariante à fonte, pois a informação organizacional privada é frequentemente uma propriedade distribuicional do texto, e não um conjunto de identificadores localizados.

• Caminho Prático: O DiSan fornece um caminho prático para um compartilhamento de texto mais seguro ao impor a ortogonalidade papel-estilo e o alinhamento de papel federado. Ele permite que os agentes compartilhem evidências relevantes para a tarefa sem revelar as "impressões digitais organizacionais" que poderiam vazar práticas internas ou estruturas de documentos proprietários.
• Limitações e Escopo: Os autores afirmam explicitamente que o DiSan não fornece garantias formais de privacidade diferencial (DP). Eles argumentam que aplicar DP à geração de sequência-para-sequência acarreta custos de utilidade proibitivos (perda de coerência de 30–50%) e que sua abordagem depende de validação empírica contra adversários honestos-mas-curiosos. O modelo de ameaça exclui servidores maliciosos, envenenamento (poisoning) e colusão.
• Trabalhos Futuros: O artigo sugere direções futuras que incluem o estudo de adversários adaptativos mais fortes, configurações de consultas repetidas e implementações em domínios mais amplos.

Em resumo, o DiSan representa uma mudança do mascaramento de superfície para o desentanglement de representação, permitindo a colaboração multiagente onde a utilidade dos dados é preservada enquanto as assinaturas distribuicionais específicas da fonte são efetivamente suprimidas.