Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation

No mundo digital moderno, agentes de software autônomos agem em nome de pessoas e empresas, enviando e-mails, movimentando dinheiro e acessando registros confidenciais. Para manter esses agentes seguros e honestos, as organizações utilizam dois sistemas distintos que frequentemente trabalham em direções opostas. O primeiro é um guardião, um mecanismo de política que deve analisar os detalhes de uma ação para decidir se ela é permitida. Se um agente deseja enviar um e-mail a um destinatário, o guardião precisa ver o endereço para saber se essa pessoa está dentro ou fora da empresa. O segundo sistema é um registro permanente, um log imutável que anota cada decisão tomada, criando um rastro que auditores podem inspecionar anos depois para provar o que aconteceu. O problema surge porque ambos os sistemas tradicionalmente exigem a mesma coisa: os dados brutos e sem filtros. O guardião precisa dos detalhes completos para tomar uma decisão justa, e o registrador precisa dos detalhes completos para ser uma testemunha confiável. Mas isso cria um gargalo perigoso onde as informações mais privadas — nomes, endereços e detalhes médicos — ficam presas em um livro de registros permanente e inalterável, violando as próprias regras de privacidade que a organização está tentando seguir.

Uma equipe de pesquisadores da Aurite AI encontrou uma maneira de desvendar essas duas necessidades sem sacrificar a segurança ou a privacidade. Eles descobriram que o guardião e o registrador não precisam, na verdade, ver as mesmas coisas. O guardião só precisa conhecer a forma dos dados para tomar uma decisão baseada em regras, enquanto o registrador só precisa saber que uma decisão específica foi tomada sobre um conjunto específico de dados. Ao separar esses requisitos, os pesquisadores criaram um sistema onde os detalhes privados nunca deixam o computador do usuário, mas a organização ainda pode aplicar regras e manter um rastro de auditoria inquebrável.

O cerne de sua solução é um método chamado minimização de campos (field-tier minimization). Em vez de tratar toda uma ação, como "enviar um e-mail", como um único bloco de dados sensíveis, o sistema a decompõe em suas partes individuais, ou campos. Em seguida, classifica cada campo em uma de três categorias. A primeira categoria contém informações que são necessárias para as regras, mas que não identificam uma pessoa, como o tamanho de um anexo ou o número de arquivos. Esses dados têm permissão para passar em sua forma original. A segunda categoria contém informações que são necessárias para as regras, mas que também são identificáveis pessoalmente, como um endereço de e-mail. Para esses campos, o sistema não passa o endereço completo. Em vez disso, ele passa uma versão simplificada e não identificável, como apenas o domínio após o "@". Isso permite que o guardião verifique se o e-mail está indo para uma empresa externa sem revelar a pessoa específica. A terceira categoria contém informações que nunca são necessárias para as regras, como o assunto de um e-mail ou as notas de um pagamento. Esses dados permanecem inteiramente dentro do computador do usuário e nunca cruzam a fronteira para o mundo exterior.

A genialidade deste design reside em como ele lida com o registro permanente. Em muitas tentativas anteriores de proteger a privacidade, os sistemas tentavam esconder ou deletar dados sensíveis antes de escrevê-los no log. No entanto, isso cria um novo problema: se o log for alterado, um auditor não poderá saber o que foi removido ou se o registro é confiável. Os pesquisadores resolveram isso fazendo com que o computador computasse uma impressão digital digital única dos dados originais e inalterados antes de qualquer ocultação ou simplificação ocorrer. Essa impressão digital é então escrita no log permanente. Mais tarde, quando os dados simplificados são enviados ao guardião, o sistema ainda pode provar que a versão simplificada veio dos dados originais porque a impressão digital coincide. Isso significa que a organização pode alterar suas regras sobre o que ocultar dos dados a qualquer momento, mesmo anos depois, sem quebrar a integridade dos registros antigos. O log permanece uma testemunha sólida e imutável do evento original, enquanto o fluxo de informações para o guardião torna-se flexível e amigável à privacidade.

Para garantir que este sistema funcione corretamente, os pesquisadores tiveram que resolver uma questão complicada de confiança: quem tem o direito de dizer o que aconteceu? Como os dados sensíveis nunca deixam o computador do usuário, o computador do usuário é o único que pode computar a impressão digital dos dados originais. Os pesquisadores decidiram que o computador do usuário deve ser o responsável por criar essa impressão digital e relatá-la ao log. Eles argumentaram que, se um usuário tentasse mentir sobre a impressão digital, estaria forjando evidências contra si mesmo, o que é um forte dissuasor. No entanto, o computador do usuário não pode ser confiado para dizer quais regras foram usadas para simplificar os dados, pois ele poderia simplesmente alegar que usou um conjunto diferente de regras para esconder mais informações. Para evitar isso, o sistema exige que o computador do usuário envie uma impressão digital das regras que utilizou, e o servidor central verifica isso contra as regras oficiais. Se as duas impressões digitais não coincidirem, o sistema sabe que algo está errado e rejeita a ação. Isso cria um equilíbrio onde o usuário é confiado para relatar os dados que possui, mas o servidor é confiado para verificar as regras aplicadas.

Os pesquisadores testaram este sistema com cenários do mundo real, incluindo o envio de e-mails e o acesso a registros médicos. Eles descobriram que seu método impediu com sucesso que identificadores sensíveis deixassem o ambiente do usuário, permitindo ainda que o mecanismo de política tome decisões precisas. Em um teste específico, eles examinaram um caminho de recurso que incluía o número do registro de um paciente. A tentativa inicial de simplificar esse caminho falhou porque deixou o número visível no texto. Eles corrigiram isso alterando a regra para remover toda a parte final do caminho, em vez de apenas tentar limpar o texto, garantindo que nenhuma informação identificável escapasse. Sua análise mostrou que, para as ações que estudaram, quase metade dos campos de dados nunca cruzou a fronteira em sua forma bruta, e os campos restantes foram reduzidos a resumos não identificáveis.

A equipe reconhece que seu sistema não é um escudo perfeito contra todas as ameaças possíveis. Se o computador do usuário for hackeado, o invasor ainda poderá enviar quaisquer dados que desejar. O sistema é projetado para proteger os dados conforme eles se movem do usuário para a organização, não para proteger o computador do usuário de ser comprometido. Além disso, os pesquisadores observam que suas regras atuais são estáticas; elas não podem mudar facilmente com base em situações complexas, como decidir que um campo é sensível apenas se o destinatário estiver em outro país. Apesar desses limites, a abordagem oferece uma maneira prática e estrutural de lidar com a tensão entre privacidade e responsabilidade. Ela prova que você não precisa escolher entre um rastro de auditoria rigoroso e imutável e uma política flexível e respeitosa à privacidade. Ao computar o compromisso com os dados antes de simplificá-los, e ao atribuir cuidadosamente quem verifica o quê, o sistema permite que as organizações governem seus agentes de forma eficaz sem expor a vida privada de seus clientes ao registro permanente.