TwinGuard-Lite propoe gateway de admissao baseado em regras para proteger gemeos digitais de pacientes contra atualizacoes maliciosas
Pesquisadores apresentaram o TwinGuard-Lite, um gateway que decide se uma atualizacao proposta ao estado persistente de um 'gemeo digital' de paciente -- um sistema que combinaria prontuarios longitudinais com agentes de LLM e memoria entre sessoes -- deve ser admitida, com base em verificacao de proveniencia, deteccao de contradicao com o registro existente e verificacao de namespace para impedir que dados de um paciente vazem para o gemeo de outro. Em simulacoes com dados semi-sinteticos derivados do banco eICU, o gateway completo atingiu 99,1% de precisao e 90,5% de revocacao contra tres familias de ataque, superando filtros de palavra-chave, detectores de anomalia e verificacao de proveniencia isolada.
O cenario de ameaca que motiva o trabalho e especifico e ainda pouco explorado: gemeos digitais de pacientes sao sistemas hipoteticos que manteriam um modelo continuamente atualizado do estado de saude de uma pessoa, combinando historico clinico com agentes de LLM capazes de reter informacao entre sessoes de interacao. O problema de seguranca central e que o texto de uma atualizacao proposta -- por exemplo, 'o paciente relatou dor no peito ontem' -- nao traz em si nenhuma informacao verificavel sobre se veio de uma fonte autorizada, se contradiz o que ja esta registrado, ou se pertence de fato aquele paciente e nao a outro. Um agente de LLM que apenas processa linguagem natural nao tem como distinguir essas situacoes sem um mecanismo externo de controle de admissao.
O TwinGuard-Lite resolve isso aproximando duas propriedades de integridade por checagens computacionalmente simples e deterministicas, deliberadamente evitando qualquer componente de IA no proprio mecanismo de decisao. A primeira propriedade, consistencia fundamentada de estado (GSC), e aproximada por duas checagens: uma de proveniencia (a atualizacao vem de uma fonte autorizada, segundo metadados de transporte confiaveis?) e uma de contradicao (a nova informacao conflita logicamente com o que ja esta no registro do paciente?). A segunda propriedade, nao-interferencia entre pacientes (CPN), e aproximada por uma checagem de namespace que verifica se os metadados de transporte confiaveis realmente associam a atualizacao ao paciente correto, impedindo que uma atualizacao destinada ou originada de um paciente seja admitida no gemeo de outro.
A avaliacao, feita sobre 20 divisoes de dados por pessoa derivadas do banco publico eICU (com uma media de mais de 29 mil atualizacoes candidatas por divisao), testou tres familias de ataque e comparou o gateway completo com alternativas mais simples: um filtro de palavras-chave detectou apenas 16% dos ataques, um detector de anomalia 24%, e usar somente a checagem de proveniencia (sem a de contradicao ou namespace) chegou a 59,9% mas deixou passar literalmente todos os ataques entre pacientes diferentes -- evidenciando que proveniencia isolada nao cobre o vetor de interferencia cruzada. A combinacao completa de GSC e CPN atingiu 99,1% de precisao, 90,5% de revocacao, F1 de 94,6% e taxa de falsos positivos de apenas 0,033%. Um detalhe tecnico relevante: todo ataque que o gateway completo admitiu indevidamente alegava falsamente vir de uma fonte confiavel, e quando o canal de recuperacao (retrieval) de informacao fazia essa alegacao falsa, 92,9% desses ataques especificos de retrieval ainda conseguiam passar -- um ponto fraco residual que os proprios autores identificam.
Os autores sao explicitos sobre o escopo do trabalho: nenhum modelo de linguagem, agente ou sistema de retrieval real foi executado no experimento -- trata-se de uma prova de conceito em nivel de mecanismo, nao um salvaguarda clinico pronto para uso. Isso e importante porque sistemas de saude que eventualmente considerem implementar gemeos digitais de pacientes com componentes de LLM precisarao validar esse tipo de gateway contra ataques reais, incluindo a lacuna de retrieval identificada, antes de qualquer uso clinico -- mas o trabalho ja oferece um argumento concreto a favor de ingestao de dados autenticada e vinculada ao paciente como requisito de design desde o inicio, em vez de adicionada posteriormente.