HE-Guardrail tenta resolver o dilema de moderar prompts sem nunca vê-los, usando criptografia homomórfica

A promessa central de inferência de LLM com criptografia homomórfica é permitir que um cliente envie um prompt cifrado, o servidor compute a resposta do modelo sem nunca descriptografar nada, e devolva um resultado igualmente cifrado que só o cliente consegue abrir. Isso é excelente para cenários onde o conteúdo do prompt é sensível (saúde, jurídico, dados corporativos), mas o paper identifica o efeito colateral óbvio: a mesma confidencialidade que protege o cliente legítimo também protege um cliente malicioso, porque o servidor não tem como aplicar um guardrail de segurança tradicional — ele simplesmente não enxerga o que está processando. Um jailbreak enviado por esse canal fica, na prática, invisível para o operador do serviço.

A solução técnica proposta não tenta quebrar a confidencialidade: ela move o próprio guardrail para dentro do domínio homomórfico. Em vez de o servidor ler o prompt em texto claro para decidir se deve bloqueá-lo, o guardrail é reimplementado como um circuito que opera diretamente sobre o texto cifrado e produz, também cifrado, um veredito sobre se a resposta do modelo-alvo deve ou não ser liberada para o cliente. Os autores instanciaram essa ideia com três guardrails de naturezas diferentes — Llama Guard (classificador de segurança treinado), JBShield (defesa específica contra jailbreak) e GradSafe (baseado em análise de gradiente) — o que dá ao resultado alguma generalidade, já que não depende de um único tipo de mecanismo de defesa.

O resultado relatado é que as decisões do HE-Guardrail no domínio cifrado reproduzem de perto as decisões dos mesmos guardrails rodando em texto claro, com diferentes trade-offs de segurança, eficiência e utilidade dependendo de qual guardrail é escolhido — ou seja, existe um custo computacional real (operações homomórficas são ordens de grandeza mais caras que operações em texto claro) e esse custo varia bastante conforme a complexidade do guardrail escolhido.

Na prática, isso é relevante para qualquer empresa que esteja avaliando ou já ofereça inferência de LLM com HE como diferencial de privacidade: sem um mecanismo como esse, a opção realista até agora era escolher entre privacidade forte (HE, sem moderação) ou moderação forte (servidor vê o conteúdo, sem privacidade forte). O trabalho é uma prova de conceito de que dá para ter as duas coisas ao mesmo tempo, ainda que o overhead de performance provavelmente limite, por ora, a aplicação a cenários de alto valor por transação em vez de tráfego de produção em massa.