'Autorização antes do contexto' propõe bloquear vazamento de memória entre públicos diferentes em agentes de IA
Um pesquisador propõe aplicar uma regra de autorização de audiência diretamente no momento em que a memória de um agente de IA pessoal é convertida em contexto de prompt, impedindo que um fato aprendido em uma conversa vaze para um público não autorizado em outra conversa. A defesa funciona por exclusão determinística, não por confiar que o modelo se recuse a repetir a informação, e em testes sintéticos nenhum fato proibido chegou a entrar no contexto montado.
O trabalho, de autoria única (Sibo Liu), aceito para o workshop AdvML-Frontiers x CoTMA na COLM 2026, ataca uma falha de segurança específica da memória de agentes LLM pessoais: um fato aprendido em uma audiência ou canal de conversa pode, mais tarde, ser incluído sem querer no contexto montado para uma audiência diferente e não autorizada, por exemplo um agente que aprende algo em uma conversa de trabalho e depois deixa isso escapar em uma conversa com outra pessoa.
A proposta, chamada 'autorização antes do contexto', é uma regra única e anti-monótona de pertencimento de audiência, aplicada exatamente na etapa de montagem de memória para contexto, não na geração da resposta. Cada item de memória carrega a audiência presente no momento em que foi registrado; o conjunto de espectadores atuais vem de metadados do canal, com fallback para 'público' em caso de ambiguidade; e um item de memória só é admitido no contexto montado se todo espectador atual já pertencia à audiência original do item. É uma fronteira baseada em exclusão e independente do modelo: o fato proibido nunca chega a ser colocado no prompt, em vez de depender de que o modelo, já tendo visto o dado, decida corretamente não repeti-lo.
Em um benchmark sintético de integridade contextual, nenhum fato proibido entrou no contexto montado sob essa regra, enquanto baselines sem esse escopo vazaram esses fatos por construção; os autores também auditam que todo caminho de leitura de memória falha de forma fechada (nega acesso por padrão em caso de dúvida). O próprio autor classifica a evidência como preliminar e sintética, sem validação em implantação real.
O trabalho mira uma lacuna estrutural presente na maioria dos designs atuais de memória de agentes, que costumam ter um único repositório compartilhado por usuário ou agente, sem particionamento por audiência, o que torna qualquer fato aprendido em qualquer contexto tecnicamente recuperável em qualquer outro contexto, a menos que se confie no próprio modelo para raciocinar sobre quem está ouvindo no momento, algo pouco confiável, já que é um julgamento que o modelo pode errar ou ser manipulado a errar. Aplicar a fronteira como uma exclusão rígida antes da montagem do prompt, em vez de uma instrução que o modelo deve obedecer, é uma postura de segurança materialmente mais forte, o mesmo princípio de controle de acesso de privilégio mínimo aplicado à janela de contexto de um LLM, e é diretamente relevante para qualquer produto que construa assistentes de IA persistentes e multicanal, que conversam com familiares, colegas de trabalho e o público por canais diferentes.