APrivacy-Preserving Architecture for On-Device Intelligent Computing Using a Small Language Model with Input and Output Guardrails: Prototype Implementation and Preliminary Evaluation

No mundo moderno, muitas vezes pedimos que os computadores pensem por nós, usando inteligência artificial poderosa para escrever e-mails, resolver problemas ou responder a perguntas. A maioria desses sistemas inteligentes vive na nuvem, o que significa que suas palavras viajam pela internet para um servidor distante para serem processadas. Embora isso funcione bem, levanta uma preocupação silenciosa: cada vez que você digita um detalhe pessoal, como um endereço de e-mail ou um número de telefone, essa informação deixa seu dispositivo e entra no sistema de outra pessoa. Para resolver isso, pesquisadores desenvolveram versões menores e mais compactas dessas máquinas pensantes que podem rodar diretamente no seu próprio computador ou telefone. Isso mantém seus dados exatamente onde eles pertencem, no seu dispositivo. No entanto, só porque um computador é local não significa que seja seguro. Um truque astuto conhecido como "injeção de prompt" ainda pode enganar a máquina para que ela ignore suas regras ou revele segredos, e a máquina pode acidentalmente cuspir informações privadas que deveria manter escondidas. O desafio, então, é construir um sistema que permaneça local, mas que também atue como um guarda vigilante, verificando o que entra e o que sai.

Um pesquisador chamado Harshal Gadekar, da Universidade Sanjivani, na Índia, construiu um protótipo funcional para testar exatamente essa ideia. Ele criou um assistente focado em privacidade que executa um modelo de linguagem pequeno chamado Phi-3 Mini inteiramente em um computador local, usando uma ferramenta chamada Ollama para gerenciar o processo. O sistema foi projetado com uma camada dupla de segurança, como um posto de controle que verifica os passageiros antes de embarcarem e novamente após chegarem. Antes mesmo de o computador pensar em uma resposta, um "guardião de entrada" (input guardrail) escaneia a mensagem do usuário. Ele procura sinais de que alguém está tentando enganar o sistema, como comandos para ignorar instruções anteriores ou para revelar as regras ocultas da máquina. Se encontrar tal truque, ele interrompe a solicitação imediatamente. Ele também escaneia por detalhes pessoais sensíveis, como endereços de e-mail, e os esconde antes que o computador os leia. Assim que o computador local gera uma resposta, um segundo "guardião de saída" (output guardrail) escaneia a resposta para garantir que nenhuma informação privada tenha escapado acidentalmente.

O pesquisador testou este sistema com um pequeno conjunto de perguntas cuidadosamente escolhidas para ver como ele se comportaria no mundo real. Quando questionado com uma pergunta simples e inofensiva como "O que é inteligência artificial?", o sistema funcionou perfeitamente. Ele processou a solicitação localmente, passou por todas as verificações de segurança e retornou uma resposta em pouco mais de três segundos. A tela mostrou que a entrada estava limpa, nenhum truque foi detectado e a resposta final estava segura para exibição. O sistema então enfrentou uma série de quatro tentativas diferentes de enganá-lo, onde usuários tentaram comandar a máquina para revelar suas instruções secretas ou ignorar suas regras de segurança. Em todos esses casos, o guardião de entrada detectou a tentativa. O sistema identificou o truque, bloqueou a solicitação e mostrou uma mensagem de aviso em vez de deixar o computador gerar uma resposta. Isso provou que, mesmo quando o computador está rodando na sua própria mesa, ele ainda precisa de um guarda para impedir que seja manipulado.

O teste também incluiu uma pergunta contendo dados pessoais falsos, especificamente um endereço de e-mail inventado e um número de telefone. Aqui, o sistema mostrou tanto sua força quanto uma fraqueza clara. Quando o usuário digitou o endereço de e-mail, o sistema o detectou, substituiu o texto por um marcador de posição que dizia "e-mail ocultado" (email redacted) e passou a mensagem para o computador. A resposta final mostrou o texto ocultado, o que significa que o e-mail foi protegido com sucesso. No entanto, o sistema falhou em detectar o número de telefone de oito dígitos. Ele deixou o número passar sem alterações, e a saída final exibiu o número de telefone completo como se nada tivesse acontecido. O guardião de saída também perdeu a detecção, relatando que nenhum dado sensível foi encontrado na resposta. Este resultado destaca que, embora a ideia de computação local e segura seja viável, as regras atuais para detectar informações privadas ainda não são perfeitas. O sistema bloqueou o truque com sucesso e detectou o e-mail, mas deixou o número de telefone exposto.

O estudo conclui que é possível combinar computação local com verificações de segurança em um pipeline leve e único. O sistema demonstrou que pode rodar em um dispositivo pessoal, bloquear tentativas comuns de enganar e ocultar alguns tipos de dados privados. No entanto, o pesquisador faz questão de notar que essas descobertas são preliminares. O conjunto de testes foi muito pequeno, consistindo em apenas algumas perguntas, e os resultados foram observados em uma única máquina, sem medir a frequência com que o sistema poderia cometer erros ou quão rápido ele seria sob carga pesada. A falha em detectar o número de telefone sugere que as regras de detecção precisam ser expandidas para cobrir mais formatos de dados pessoais. Antes que esta abordagem possa ser considerada totalmente confiável para o uso cotidiano, o sistema precisa ser testado em uma variedade muito maior de entradas, incluindo truques mais complexos e diferentes tipos de informações pessoais. Por enquanto, o trabalho permanece como uma prova de conceito promissora, mostrando que um assistente de IA seguro e privado está ao alcance, desde que os guardas de segurança sejam constantemente aprimorados.