Resumo Técnico: Não Mostre o Que Eles Não Podem Ver: Contexto de Esquema com Autorização Prioritária para Text-to-SQL Seguro

1. Declaração do Problema

Agentes de Text-to-SQL baseados em Large Language Models (LLMs) dependem de esquemas de banco de dados (tabelas, colunas e relações de junção) para compreender a intenção do usuário e gerar consultas. Em ambientes empresariais com controle de acesso granular, os próprios metadados do esquema podem ser sensíveis. Por exemplo, nomes de tabelas como employee_compensation ou nomes de colunas como fraud_score revelam processos de negócios internos e ativos de dados mesmo sem expor os registros de dados reais.

Os sistemas atuais de Text-to-SQL tipicamente fornecem o esquema completo ou recuperam objetos relevantes do espaço total do esquema antes de adicioná-los ao contexto do modelo. Este design assume que os metadados do esquema são universalmente visíveis, o que é inseguro em ambientes multi-inquilino ou de acesso restrito. O problema central abordado é a exposição de esquema em nível de processo:

• A Ameaça: Se um esquema completo ou parcialmente recuperado entra em um componente de menor confiança (por exemplo, um serviço de LLM externo, um módulo de reranking ou um componente vulnerável a prompt injection), identificadores e relações estruturais não autorizados são revelados.
• A Limitação das Defesas Existentes: A validação de SQL pós-geração e os controles de acesso do Sistema de Gerenciamento de Banco de Dados (DBMS) podem bloquear a execução de consultas não autorizadas, mas não podem revogar a informação de esquema que o modelo já observou. Uma vez que um objeto não autorizado entra no contexto, ele pode ser explorado via prompt injection, role-playing ou sondagem de múltiplos turnos para reconstruir estruturas de esquema sensíveis.
• A Lacuna: Há uma falta de mecanismos que imponham a autorização antes da recuperação de relevância, garantindo que objetos não autorizados nunca entrem no pipeline de menor confiança.

2. Metodologia: Framework de Autorização Prioritária

Os autores propõem um framework de Autorização Prioritária que constrói um contexto de esquema compacto e seguro, aplicando o controle de acesso antes que qualquer computação de relevância ocorra. O sistema opera sob um modelo de ameaça onde os componentes de recuperação, reranking e geração residem fora da fronteira de confiança.

2.1 Princípios Fundamentais

• Confidencialidade Pré-Geração: A autorização é tratada como um pré-requisito para que um objeto de esquema participe da recuperação. O sistema constrói um subespaço autorizado específico do usuário ($S_u$) antes de qualquer pontuação de relevância dependente da consulta.
• Herança Consciente de Proveniência: A segurança estende-se além dos objetos base (tabelas, colunas) para artefatos derivados (descrições semânticas, dicas de junção, demonstrações de SQL). Um artefato só é visível se todos os objetos base dos quais ele depende forem autorizados. Por exemplo, uma descrição de uma coluna autorizada não pode mencionar uma tabela não autorizada.
• Abstenção Não Reveladora: Se uma solicitação não puder ser atendida dentro do subespaço autorizado, o sistema recusa a solicitação com uma mensagem genérica ("A solicitação não pode ser concluída dentro do escopo de acesso atual") que é byte-identicamente igual, independentemente da causa. Isso evita que o comportamento de recusa atue como um oráculo de sondagem de esquema.

2.2 Pipeline do Sistema

O framework consiste em governança offline e inferência online:

1. Governança Offline: O esquema é atomizado e as descrições semânticas são geradas. Crucialmente, as descrições são geradas a partir do próprio objeto alvo e de sua própria tabela apenas, nunca a partir do esquema global, para evitar o vazamento de identificadores ocultos. Rótulos de proveniência são anexados a todos os artefatos.
2. Inferência Online:
   • Construção do Subespaço Autorizado: Antes de processar a pergunta do usuário, o sistema filtra o esquema para criar $S_u = \text{Authorize}(S, P(u))$, onde $P(u)$ é a política do usuário.
   • Recuperação Restrita: A recuperação de tabelas, seleção de colunas e seleção de relações ocorrem exclusivamente dentro de $S_u$. Objetos não autorizados estão ausentes do espaço de candidatos, não apenas com pontuação baixa.
   • Enriquecimento Semântico Seguro de Permissão: Para lidar com identificadores empresariais abreviados (ex: cust_rsk_scr), o sistema utiliza descrições semânticas como um fallback para a recuperação. Essas descrições são fundidas com o matching de identificadores, mas aderem estritamente às regras de proveniência.
   • Portão de Satisfatibilidade: O sistema verifica se $S_u$ (não apenas o top-K recuperado) cobre as entidades e operações necessárias. Se a cobertura for insuficiente, uma recusa genérica é emitida.
   • Montagem do Contexto: O contexto final é montado a partir de tabelas, colunas, relações e artefatos derivados autorizados.

3. Principais Contribuições

1. Framework de Confidencialidade de Esquema Pré-Geração: Os autores isolam a confidencialidade de esquema pré-geração como um objetivo distinto da autorização de SQL pós-geração. Eles definem um modelo de ameaça para processamento de esquema entre fronteiras e introduzem uma métrica de exposição em nível de processo. O mecanismo proposto garante que objetos não autorizados e seus artefatos derivados sejam removidos antes de qualquer computação de recuperação de relevância.
2. Evidência Empírica para Ordenação e Defesa em Profundidade: Através de experimentos controlados onde os prompts finais são byte-idênticos entre o método proposto e um baseline de "recuperar-então-mascarar", os autores provam que a eliminação do vazamento de nível de processo é atribuível unicamente à ordenação da autorização (pré-recuperação vs. pós-recuperação). Além disso, a análise de vazamento-proveniência demonstra que a minimização de contexto e a validação pós-geração mitigam riscos ortogonais: contextos de esquema total vazam via injeção direta, enquanto vazamentos residuais sob o framework proposto originam-se exclusivamente de alucinação do modelo.
3. Resultados Condicionais sobre Enriquecimento Semântico: O artigo estabelece que a opacidade de identificadores é uma precondição para o benefício do enriquecimento semântico. Enquanto o enriquecimento não traz ganhos mensuráveis em datasets padrão com identificadores em linguagem natural, ele melhora significativamente a recall de esquema e a precisão downstream em esquemas do tipo empresarial sistematicamente abreviados.

4. Resultados Experimentais

O framework foi avaliado em um benchmark Spider aumentado com controle de acesso, contendo 240 pares de pergunta-função em 20 bancos de dados e quatro níveis de permissão.

• Exposição de Nível de Processo: O framework reduziu a exposição de esquema de nível de processo de uma média de 35,5 objetos não autorizados por solicitação (em baselines de esquema total) para 0. Isso foi alcançado com custo de utilidade zero em comparação a um baseline "recuperar-então-mascarar" com orçamento equivalente.
• Vazamento de SQL: Referências de SQL não autorizadas foram reduzidas de 0,546 (Esquema total) para 0,115.
  • A redução de 0,546 para ~0,15 foi impulsionada pela minimização de contexto (tamanho de contexto menor).
  • A redução adicional para 0,115 foi impulsionada pelo portão de satisfatibilidade.
• Proveniência de Vazamento: A análise mostrou que, sob o framework proposto, 100% das referências de SQL não autorizadas que ocorreram originaram-se de alucinação do modelo (adivinhação de identificadores) em vez de contexto fornecido. Em contraste, sob baselines de esquema total, 100% dos vazamentos foram copiados diretamente do contexto.
• Resistência a Prompt Injection: Em um estudo de caso envolvendo ataques de enumeração direta e role-play, o framework reduziu a recuperação de tabelas não autorizadas de 40–55% (Esquema total) para 0,00% em configurações de esquema ofuscado.
• Impacto do Enriquecimento Semântico: Em esquemas ofuscados, o enriquecimento semântico melhorou o recall de recuperação em +11,5 pontos percentuais e o SchemaF1 em +6,6 pontos percentuais. Em esquemas de linguagem natural, não mostrou ganho mensurável.

5. Significância e Alegações

O artigo alega que a autorização deve preceder a recuperação para alcançar a confidencialidade de nível de processo em sistemas Text-to-SQL. Os autores argumentam que defesas pós-geração são insuficientes porque não podem revogar a informação já observada por componentes de menor confiança.

A significância do trabalho reside em:

• Mudança Arquitetural: Mover a fronteira de segurança da camada de execução de SQL para a camada de construção de contexto de esquema.
• Defesa em Profundidade: Demonstrar que a minimização de contexto (impedir que o modelo veja dados sensíveis) e a validação de SQL (impedir que o modelo execute consultas não autorizadas) abordam riscos ortogonais e devem ser usados em conjunto.
• Custo de Utilidade Zero: Provar que a autorização estrita pré-recuperação não degrada a utilidade de recuperação ou a precisão de geração quando comparada a um baseline que recupera a mesma quantidade de dados autorizados, mas o faz após visualizar o esquema total.

Os autores permanecem modestos quanto às limitações, observando que o framework não impede a inferência a partir de conhecimento público, mensagens de erro de banco de dados ou divulgação estatística. Eles também reconhecem que o portão de satisfatibilidade é um heurístico e que a avaliação depende de políticas sintéticas em vez de ambientes empresariais dinâmicos. O framework é apresentado como uma camada de minimização de informação que complementa, em vez de substituir, as existentes validações de SQL e controles de acesso de DBMS.