CROSS-MAP propõe desacoplar semântica e estrutura para blindar a privacidade em chamadas a APIs de LLM de terceiros
O CROSS-MAP é um framework bidirecional que protege a privacidade de dados enviados a APIs de LLM substituindo o conteúdo semântico original por conteúdo alternativo, mas preservando a estrutura de que o modelo precisa para raciocinar, e depois reconstrói a resposta correspondente ao pedido real do usuário. Modelos locais treinados com otimização multiobjetivo — maximizando divergência semântica no mapeamento e minimizando inconsistência na recuperação — reduziram o sucesso de ataques de reconstrução de texto em múltiplos cenários, mantendo utilidade superior a baselines anteriores.
O problema de privacidade que o artigo ataca é específico de fluxos que dependem de APIs de LLM hospedadas por terceiros: técnicas de anonimização anteriores tendem a preservar boa parte da semântica do texto original para não perder desempenho na tarefa, mas isso deixa pistas suficientes para que alguém com acesso à saída, aos logs ou à própria API reconstrua o conteúdo privado original — um risco crescente à medida que texto sensível de áreas como jurídico, saúde e RH passa por provedores externos de LLM.
A proposta técnica, batizada de CROSS-MAP, treina modelos locais — rodando do lado do usuário, antes de qualquer chamada à API externa — com um objetivo duplo em duas fases. Na fase de mapeamento, o modelo maximiza a divergência semântica entre o texto original e o texto que de fato é enviado à API remota, efetivamente disfarçando o conteúdo real por trás de uma estrutura sintática equivalente. Na fase de recuperação, um segundo modelo local minimiza a inconsistência semântica entre a resposta recebida da API e o que o usuário realmente pediu, reconstruindo uma resposta útil a partir da saída obtida sobre o texto disfarçado.
Isso importa porque oferece um meio-termo mais barato que alternativas como computação homomórfica ou simplesmente evitar LLMs de terceiros para dados sensíveis: os experimentos reportados mostram redução do sucesso de ataques de reconstrução em múltiplos cenários testados, com utilidade da tarefa mantida acima de baselines anteriores de anonimização — ou seja, dá para preservar mais privacidade sem abandonar por completo a qualidade da tarefa original.
A ressalva importante é que o material disponível não detalha se a defesa foi avaliada contra classes de ataque mais fortes, como inferência de associação (membership inference) ou um adversário que conhece o mecanismo do CROSS-MAP e adapta sua estratégia de reconstrução a essa defesa especificamente — o que é uma lacuna comum em trabalhos iniciais de anonimização e um ponto que avaliação independente precisaria fechar antes de tratar a técnica como pronta para uso em produção com dados realmente sensíveis.