Framework PA-HDP propõe privacidade diferencial dinâmica e sensível à consulta para sistemas RAG
Pesquisadores apontam uma falha conceitual nos métodos atuais de proteção de privacidade em RAG: eles tratam o risco de vazamento como uma propriedade fixa de cada documento, ignorando que o risco real depende de qual pergunta o usuário faz. O framework proposto, PA-HDP, avalia o risco dinamicamente por consulta e aplica privacidade diferencial hierárquica apenas ao conteúdo que se torna sensível naquele contexto específico.
O artigo questiona uma premissa comum em proteção de privacidade para sistemas de retrieval-augmented generation (RAG): a de que cada documento tem um nível de sensibilidade fixo, calculado uma única vez e aplicado sempre da mesma forma. Os autores argumentam que essa é uma simplificação perigosa, já que o mesmo documento pode ser inofensivo diante de uma consulta e revelador diante de outra.
O PA-HDP primeiro constrói uma "hierarquia de risco sensível ao prompt", recalculando o risco de vazamento de privacidade toda vez que a consulta do usuário muda. Em seguida, aplica substituição adaptativa de entidades sensíveis e seleção de texto via mecanismo exponencial — uma técnica clássica de privacidade diferencial — apenas sobre o conteúdo que é sensível naquele contexto específico, em vez de mascarar o documento inteiro de forma estática e igual para todas as consultas.
Sistemas RAG corporativos frequentemente indexam bases de conhecimento com dados sensíveis, como contratos, dados de clientes ou código-fonte, e servem múltiplos usuários com intenções de consulta muito diferentes entre si. Uma proteção estática tende a superproteger, destruindo utilidade de busca, ou a subproteger, vazando dado sensível justamente quando a pergunta certa é feita por alguém sem autorização — o ajuste dinâmico por consulta ataca diretamente esse trade-off central entre privacidade e utilidade em sistemas RAG.
Os experimentos reportados mostram redução de vazamento de privacidade mantendo qualidade de recuperação superior à de métodos anteriores, mas a proposta ainda depende de estimar corretamente a sensibilidade de um trecho dado o contexto da consulta em tempo real — um problema em si mesmo difícil de generalizar de forma confiável para domínios muito distintos.