Framework de memória com rastreamento de origem busca impedir que agentes de IA corporativos vazem dados sensíveis via resultados derivados

Agentes de IA corporativos que compartilham uma memória comum (como MemGPT, Zep ou A-MEM) enfrentam um risco de vazamento sutil: um resultado em cache pode ser perfeitamente legítimo para quem o calculou originalmente, mas revelar indiretamente informação de uma coluna sensível (salário, dados de saúde, dados financeiros) para um segundo agente que não teria permissão para acessar essa coluna diretamente — simplesmente porque os sistemas de memória atuais controlam acesso por conteúdo, propriedade e papel (role), mas não por como aquele resultado foi derivado. Um segundo risco, correlato, é departamentos diferentes calcularem silenciosamente o mesmo indicador (KPI) com lógicas conflitantes e armazenarem ambos sob o mesmo nome na memória compartilhada, gerando inconsistência silenciosa.

A AMU ataca os dois problemas anexando a cada resultado em cache um grafo de derivação completo — a cadeia exata de colunas e operações que produziu aquele valor — e condicionando toda recuperação (retrieval) a uma política que só libera o resultado quando o solicitante tem autorização para cada coluna tocada por essa cadeia, não apenas para o resultado final em si. Os autores demonstram por construção que, assumindo que o registro de lineage seja completo, essa política bloqueia matematicamente a recuperação de qualquer resultado derivado de uma coluna fora da permissão do solicitante, com custo computacional O(n) no pior caso — uma garantia de design condicional à completude do registro, não uma garantia empírica incondicional. Na prática, os experimentos mostram que eliminar vazamentos residuais exigiu entre 75% e 90% de completude no registro de lineage, levando os autores a recomendar 90% como meta conservadora de implantação.

Em seis experimentos, o esquema de retenção baseado em lineage eliminou o vazamento entre departamentos de 18,8%–25,5% observado com controle de acesso tradicional baseado em conteúdo, preservando 81,5%–82,6% do reaproveitamento de memória (ou seja, sem descartar a maior parte do cache só por precaução) e um overhead de pior caso de apenas 13,8 microssegundos por consulta — uma latência irrelevante para a maioria das aplicações corporativas. Uma prova de conceito com geração de SQL por LLM real, rodando sobre nove interações consecutivas entre agentes, não registrou nenhum vazamento e capturou automaticamente dois conflitos de KPI entre departamentos.

Na prática, esse é um exemplo de uma lacuna de segurança bem real em sistemas de agentes corporativos que estão sendo adotados rapidamente: controle de acesso por role ou por dono do dado, que funciona bem para arquivos e tabelas, não é suficiente quando o que está sendo compartilhado é um resultado *computado* que pode encapsular informação sensível sem citar a fonte original — exatamente o tipo de vazamento indireto que escapa de ferramentas de DLP (data loss prevention) tradicionais. Os próprios autores são explícitos que seus resultados são uma demonstração de viabilidade, não evidência de robustez em produção, e que a garantia central depende inteiramente da completude do rastreamento de lineage — se o pipeline de geração de lineage falhar silenciosamente em registrar uma dependência, a garantia de bloqueio desaparece sem aviso.