Framework CIPL mede quanto de dado sensível um agente de IA realmente vaza para um atacante externo
Estudos de privacidade em agentes de LLM costumam avaliar memória, recuperação e uso de ferramentas isoladamente, o que dificulta saber quanto de exposição interna de dado sensível realmente vira informação recuperável por um observador externo. O CIPL propõe uma metodologia unificada, em seis estágios, para medir essa transição, e conclui que o rótulo de onde o dado está armazenado não prevê, sozinho, o risco real de vazamento.
Boa parte da literatura sobre privacidade em agentes de LLM testa cada componente isoladamente — memória de longo prazo, pipeline de recuperação (RAG), uso de ferramentas — sem uma metodologia comum que permita comparar o risco entre eles. Isso é um problema prático porque a pergunta que interessa a um time de segurança não é "esse dado está armazenado em algum componente do agente", e sim "um atacante de fora, com acesso só à interface do agente, consegue efetivamente extrair esse dado".
O CIPL (Channel Inversion for Privacy Leakage) modela esse problema como um pipeline de seis estágios — fonte sensível, seleção, montagem, execução, observação e extração — e avalia a transição entre "unidade de dado sensível selecionada internamente" e "saída recuperável por um atacante" sob um protocolo compartilhado e em regime de caixa-preta (black-box), ou seja, sem assumir acesso privilegiado ao funcionamento interno do agente, o que aproxima o teste de um cenário realista de ataque.
Os experimentos cobrem alvos baseados em memória, mediados por recuperação e mediados por uso de ferramentas, além de um estudo de caso com um agente real usando BrowserUse. O achado mais contraintuitivo é que alvos de memória formam um caso quase saturado — ou seja, dado guardado em memória de longo prazo tende a ser recuperável quase integralmente por um atacante determinado —, enquanto vazamento mediado por recuperação costuma ser só parcial, e vazamento mediado por ferramentas ou em agentes ao vivo varia muito, dependendo fortemente da superfície de observação disponível ao atacante, do alinhamento entre o prompt do atacante e o canal de vazamento, da profundidade de recuperação configurada e até do comportamento específico do provedor do modelo. Uma auditoria semântica estratificada, feita pelos autores, ainda identifica vazamentos úteis para um atacante que passam despercebidos por métodos de correspondência exata de texto, que são o que a maioria das ferramentas de DLP tradicionais usa.
A conclusão prática mais importante é que o rótulo de onde o dado está armazenado — "está na memória", "está no índice de RAG" — não é um bom proxy para o risco real de vazamento; times de segurança avaliando agentes de IA em produção precisam medir a recuperabilidade externa de ponta a ponta, e não confiar em controles de acesso aplicados só na camada de armazenamento.