💻 ciência da computação

Confidential Pulse: Authorisation-Preserving Conversational Access to Federated Confidential Government Records

O Confidential Pulse é um sistema que possibilita o acesso conversacional seguro a registros governamentais federados ao reconstruir respostas a partir de cargas úteis autorizadas dentro de canais do Hyperledger Fabric, garantindo que, embora o sistema impeça a divulgação de dados fora do escopo, ele permaneça vulnerável ao vazamento de informações por meio da prosa gerada pelo modelo.

Autores originais: Khaled Almi'ani, Camille Zufferey, Salil S. Kanhere, Nur Siyam

Publicado 2026-10-14

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Khaled Almi'ani, Camille Zufferey, Salil S. Kanhere, Nur Siyam

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No mundo moderno, os governos funcionam com base em dados que fluem entre diferentes agências. A vida de um único cidadão toca registros mantidos pelo escritório de impostos, o registro de terras, o departamento de assistência social e o bureau de licenciamento. Cada uma dessas organizações detém informações sensíveis que não podem ser tornadas públicas, mas que frequentemente precisam compartilhá-las para fornecer serviços. As formas tradicionais de lidar com isso são falhas. Colocar todos os dados em um único e gigante armazém central cria um alvo de alto valor para hackers e força cada agência a confiar em um único operador central. Alternativamente, conectar cada agência diretamente a todas as outras cria uma teia emaranhada de milhares de conexões individuais, deixando sem um registro claro de quem compartilhou o quê com quem. O desafio é permitir que essas organizações compartilhem registros sensíveis estritamente com base na necessidade de saber, garantindo que os dados permaneçam confidenciais, não possam ser alterados secretamente e que cada acesso possa ser independentemente verificado.

Para resolver isso, pesquisadores desenvolveram um sistema chamado Confidential Pulse. Ele atua como uma ponte segura entre agências governamentais, permitindo que um oficial autorizado faça uma pergunta simples em linguagem natural e receba uma resposta que reúne registros de vários departamentos sem nunca expor dados que o oficial não tem permissão para ver. O sistema baseia-se em um tipo especial de registro digital, semelhante a um caderno compartilhado e imutável que todas as organizações participantes podem ler, mas que nenhuma delas pode editar sozinha. Este registro registra cada vez que uma informação é compartilhada, criando um histórico permanente e à prova de adulteração. Os detalhes sensíveis são mantidos em cofres privados que apenas as organizações específicas autorizadas a vê-los podem acessar. Acima dessa fundação segura, reside uma hierarquia de agentes de software inteligentes. Esses agentes atuam como intérpretes, pegando uma pergunta humana, decompondo-a e reunindo os fatos relevantes dos diferentes cofres privados. Crucialmente, o sistema não apenas filtra as respostas depois que elas são escritas; ele reconstrói a resposta do zero usando apenas os dados autorizados, garantindo que nenhuma informação não autorizada possa passar despercebida.

Os pesquisadores testaram este sistema com uma série rigorosa de experimentos, incluindo vinte mil tentativas em que tentaram enganar o software para que vazasse segredos. No modo de operação mais seguro, o sistema foi completamente bem-sucedido. Em todas as vinte mil tentativas, nem sequer uma peça de informação foi divulgada que o oficial solicitante não tivesse o direito de ver. O sistema funcionou reconstruindo a resposta diretamente a partir dos registros autorizados, o que significa que o software gerador do texto não poderia acidentalmente ou maliciosamente inserir valores ocultos. No entanto, quando os pesquisadores testaram um modo mais flexível onde o software era permitido escrever suas próprias frases e depois filtrá-las, os resultados foram diferentes. Neste modo, o sistema falhou em detectar informações não autorizadas em 2.068 das 20.000 tentativas. Os vazamentos ocorreram principalmente quando o software tentava fazer comparações ou usar formas complexas de escrever números que as regras de filtragem não compreendiam totalmente. Essa descoberta levou os pesquisadores a concluir que o método de reconstrução estrita é a única maneira segura de lidar com dados governamentais sensíveis, enquanto o modo mais conversacional de escrita de prosa carrega um risco mensurável de divulgação acidental.

O estudo também observou como o sistema lida com a realidade complexa dos dados governamentais, onde combinar diferentes partes de informação pode, por vezes, revelar mais do que o pretendido. Por exemplo, embora um registro isolado sobre a habitação de uma pessoa possa ser anônimo, e um registro separado sobre sua renda também possa ser anônimo, combinar ambos poderia identificar um indivíduo específico. Os pesquisadores descobriram que, em uma população simulada de dez mil pessoas, combinar três tipos diferentes de registros poderia identificar cerca de 3,31 por cento delas. Eles também descobriram uma falha sutil em uma versão anterior de seu design: os "recibos" digitais que provavam a existência de um registro não foram salgados com um código secreto aleatório. Isso permitia que um atacante adivinhasse o conteúdo de registros ocultos tentando milhões de possibilidades em menos de dois segundos. Assim que os pesquisadores adicionaram esse código aleatório aos recibos, o ataque falhou completamente, recuperando zero registros. Esta correção destaca que a segurança do sistema depende de detalhes técnicos específicos serem implementados corretamente.

Além do código, o sistema introduz uma nova forma de pensar sobre a confiança. Em vez de confiar na honestidade dos agentes de software que reúnem os dados, o sistema força cada agente a provar seu trabalho contra o registro compartilhado. Se um agente tentar alegar que encontrou um registro que o oficial tem permissão para ver, o sistema verifica o registro oficial para confirmar que o registro realmente existe e que o oficial possui de fato permissão para visualizá-lo. Se o agente tentar introduzir furtivamente um valor de um registro que o oficial não pode ver, o sistema descarta o texto do agente e reconstrói a frase usando apenas os dados brutos do registro. Este processo garante que, mesmo que o software seja comprometido ou enganado por um usuário malicioso, a resposta final permaneça segura. Os pesquisadores também mediram a velocidade com que o sistema opera em diferentes regiões de nuvem. Eles descobriram que, ao permitir que o sistema consulte várias agências simultaneamente em vez de uma após a outra, poderiam reduzir o tempo de espera por uma resposta complexa quase pela metade, mesmo quando as agências estavam localizadas em diferentes partes do mundo.

O trabalho conclui que, embora a tecnologia esteja pronta para uso, ela requer uma estrutura de governança específica para ser eficaz. O sistema é projetado para uma federação de organizações que não confiam plenamente umas nas outras, mas que precisam cooperar. Ele não substitui a necessidade de supervisão humana; em vez disso, fornece um log claro e imutável de cada pergunta feita e cada registro acessado, permitindo que auditores verifiquem se as regras foram seguidas. Os pesquisadores enfatizam que o sistema não é uma solução mágica que remove todo o risco, mas fornece um nível de segurança e transparência que era anteriormente impossível. Ao vincular a resposta aos dados autorizados no momento da liberação, em vez de tentar filtrar um texto finalizado, o sistema cria uma barreira matematicamente difícil de quebrar. As descobertas sugerem que, para que as agências governamentais compartilhem dados sensíveis com segurança no futuro, elas devem se afastar de lagos de dados centrais e avançar para este tipo de abordagem distribuída e verificada, aceitando que as respostas mais seguras virão de um processo que reconstrói a verdade a partir da fonte, em vez de apenas polir um rascunho.

Resumo Técnico: Confidential Pulse

1. Declaração do Problema

Os governos modernos exigem o compartilhamento seguro de registros sensíveis entre organizações (ex: terras, impostos, assistência social) para permitir serviços integrados. As soluções existentes enfrentam uma dicotomia:

Lagos de Dados Centralizados: Concentram dados em um único alvo de alto valor, exigindo confiança em um operador central e criando um ponto único de falha.
Integrações Ponto a Ponto: Mantêm os dados no local, mas resultam em uma explosão $O(n^2)$ de conectores, carecem de uma trilha de auditoria compartilhada e à prova de adulteração, e não oferecem uma visão holística.
Dados Governamentais Abertos: Adequados para divulgação pública, mas não atendem à necessidade de fluxos de dados confidenciais e interorganizacionais.

O desafio central é permitir o acesso conversacional a registros governamentais federados, confidenciais, que sejam confidenciais, à prova de adulteração e independentemente verificáveis, sem exceder a autorização específica de um funcionário ou permitir que um modelo de linguagem fabrique alegações sem suporte.

2. Metodologia e Arquitetura

O Confidential Pulse propõe uma arquitetura de referência construída sobre três camadas, regida por uma regra assimétrica: dados e verificabilidade fluem para cima, enquanto autoridade e acesso de escrita nunca fluem para baixo.

A. Espinha Dorsal do Ledger (Hyperledger Fabric)

Ledger Permissionado: As organizações atuam como membros com suas próprias Autoridades de Certificação e pares (peers).
Aplicação do Princípio do Necessário Saber (Need-to-Know): Os payloads sensíveis são armazenados em Coleções de Dados Privados dentro de canais, disseminados apenas para membros autorizados. O registro do canal compartilhado armazena apenas um âncoras de hash (compromisso) e metadados.
Integridade: Um log imutável e vinculado por hash registra cada evento de compartilhamento. Um design corrigido utiliza um hash com sal (salted hash) para o âncora para evitar ataques de dicionário offline em payloads de baixa entropia.

B. Hierarquia de Agentes

Um sistema multi-agente reside acima do ledger para interpretar registros dispersos:

Agentes Folha (Leaf Agents): Leem registros dentro do escopo de uma única organização.
Agentes de Setor/Domínio: Agregam relatórios de seus filhos, preservando a procedência.
Agente Mestre: Analisa perguntas em linguagem natural para criar um plano de roteamento, vincula o principal do funcionário e renderiza a resposta final.
Restrição: Os agentes rodam localmente (on-premises) dentro do limite de confiança; nenhum payload de registro é enviado para modelos externos.

C. Invariantes de Segurança

O sistema impõe duas invariantes de tempo de execução no portão de liberação:

Preservação da Autorização: Todo item liberado deve ser algo que a organização do solicitante possa ler, e o solicitante deve pessoalmente possuir a autorização necessária. Crucialmente, o direito de acesso é rederivado do estado do ledger (âncoras e definições de coleções) no momento da liberação, não sendo confiado nos metadados declarados pelo agente.
Fundamentação (Grounding): Cada frase que afirma um fato sobre um registro deve resolver-se em um registro confirmado na rede (on-chain). O sistema utiliza o Modo de Reconstrução como o caminho primário de liberação: em vez de filtrar a prosa do modelo, o sistema descarta o texto gerado pelo modelo e reconstrói a resposta diretamente a partir dos bytes do payload autorizado. Isso garante que o modelo não contribua com nenhum caractere para a saída final.

D. Identidade e Auditoria

Identidade: Os funcionários estão vinculados a credenciais do Fabric com autorizações baseadas em atributos. A revogação é tratada via listas de números de série e rotação de chaves.
Plano de Auditoria: Uma camada de supervisão proposta consome apenas sinais de auditoria de metadados (sem payloads) para detectar violações de política, como junções excessivas entre domínios.

3. Principais Contribuições

Propriedade de Segurança Ponta a Ponta: Uma propriedade formal de não interferência estabelecendo que, no modo de reconstrução, duas execuções com os mesmos registros autorizados produzem a mesma resposta observável. Isso se mantém mesmo se o modelo de linguagem for malicioso ou um agente estiver comprometido.
Arquitetura e Realização em Fabric: Um mapeamento das necessidades organizacionais para canais/coleções do Fabric e um modelo de identidade preciso para os funcionários.
Reconstrução vs. Modos de Prosa:
- Modo de Reconstrução: O padrão recomendado. O modelo não contribui com texto; as respostas são modelos reconstruídos a partir dos dados do ledger. Este modo resultou em zero divulgações fora do escopo em testes adversariais.
- Modo de Prosa: O modelo escreve frases que são então filtradas. Este modo admitiu 2.068 divulgações em 20.000 testes, principalmente devido à incapacidade dos filtros sintáticos de capturar todas as notações numéricas (ex: algarismos romanos, respelhamento fonético) e asserções comparativas.
Avaliação e Baselines:
- Comparado a um lago de dados central e a uma malha ponto a ponto, o Confidential Pulse igualou o baseline de ledger apenas em confidencialidade (0 admissões hostis), mas adicionou Q&A unificado e atribuição por afirmação.
- Demonstrou que um baseline de registro assinado federado (sem um ledger) falha em detectar reescritas unilaterais post-hoc, enquanto o ledger detecta todas as 20.
- Mediu a latência em 5 regiões de nuvem, mostrando que o fan-out concorrente reduz significativamente a latência de consulta (ex: 404ms sequencial vs. 232ms concorrente para uma junção de 3 domínios).

4. Resultados e Avaliação

Testes Adversariais: Em 20.000 testes randomizados com renderizadores e parsers adversários, o Modo de Reconstrução alcançou zero vazamentos. O Modo de Prosa vazou em 2.068 testes, com 2.394 frases carregando valores retidos.
Riscos de Agregação: O sistema reconhece que, embora os registros individuais sejam autorizados, as junções entre domínios do agente mestre podem reidentificar indivíduos. Em uma população sintética de 10.000, uma junção de 3 vias reidentificou 3,31% dos sujeitos. O artigo propõe uma junção de fechamento de falha (fail-closed) e ruído calibrado como mitigações, mas observa que são políticas independentes, não integradas ao caminho conversacional.
Vulnerabilidade do Âncora: Na implementação avaliada (âncoras sem sal), um membro do canal poderia recuperar 10/10 payloads de baixa entropia em 1,9 segundos via tentativa e erro (guessing) offline. O design corrigido (âncoras com sal) recuperou 0/10.
Latência: O sistema escala linearmente com o número de organizações em um cenário de fan-out de pior caso.

5. Significância e Alegações

O artigo afirma fornecer uma arquitetura de referência para o compartilhamento de dados governamentais transversais que é confidencial por construção e à prova de adulteração. Sua significância reside em:

Mudança do Limite de Segurança: Mover a confiança do modelo ou do agente para a aplicação da segurança no portão de liberação via rederivação do ledger.
Acesso Conversacional: Permitir consultas em linguagem natural através de registros federados e confidenciais sem criar um armazém de dados central.
Resíduos Mensuráveis: Quantificar explicitamente os riscos da geração de prosa (2.068 vazamentos) e recomendar o modo de reconstrução como o padrão seguro.

Alegações Modestas e Limitações:

O artigo não afirma resolver o problema geral de agregação preservadora de privacidade (k-anonimato), mas fornece o log de auditoria necessário para tais políticas.
O plano de sinal de auditoria é uma proposta de design, não uma capacidade avaliada.
A avaliação distribuída é em escala de piloto (4 organizações, 5 regiões), não em escala governamental.
O benchmark de fundamentação é sintético; o sistema assegura a atribuição (vincular afirmações a registros), mas não garante a veracidade factual dos registros subjacentes.
O sistema assume a integridade do cluster local e a correção das definições iniciais de coleção; ele não protege contra um host comprometido ou um conselho de governança malicioso.