Agent Mosaic: agentes de LLM vazam conclusões confidenciais ao combinar documentos individualmente inofensivos
O estudo quantifica o efeito mosaico em agentes de LLM: mesmo quando cada documento acessado é inofensivo isoladamente, o agente pode montar e revelar uma conclusão sensível ao combiná-los. O melhor modelo testado (GPT-5.6-Sol) revela composições proibidas em 7,08% das respostas mesmo sob consultas benignas, e esse índice sobe para 32,37% mesmo depois de aplicar salvaguardas como cabeçalhos de classificação visíveis.
Agentes de LLM que operam sobre múltiplos documentos (em cenários corporativos, médicos ou militares, por exemplo) costumam ter controle de acesso definido por documento: um usuário pode ter permissão para ver o documento A e o documento B separadamente, mas não a conclusão sensível que surge apenas quando A e B são combinados. Esse é o efeito mosaico clássico da segurança da informação, só que agora automatizado por um agente que tem acesso de leitura a tudo e sintetiza respostas sob demanda.
Os autores constroem 30 exemplos sintéticos nos domínios de cibersegurança, medicina e militar, gerando 10.800 respostas finais a partir de três agentes LLM em simulação controlada, além de 1.440 respostas de agentes reais rodando em dois harnesses open-source (ou seja, não só em ambiente de laboratório, mas em implementações de agente usadas na prática). O ponto crítico é que mesmo em consultas desenhadas para serem respondíveis a partir de um único documento — ou seja, sem necessidade aparente de cruzar fontes —, o agente ainda assim combina informação de múltiplos documentos e expõe a composição proibida em 7,08% das respostas do melhor modelo testado, em ambiente de simulação, com taxas piores nos harnesses reais.
Os pesquisadores testam uma salvaguarda intuitiva: adicionar cabeçalhos de classificação visíveis aos documentos e regras explícitas de agregação instruindo o agente a não combinar informações de níveis de sigilo distintos. Isso reduz a taxa de divulgação de forma substancial, mas não a elimina: divulgações inseguras persistem em 32,37% das respostas simuladas considerando todas as intenções de consulta testadas. Pior, os autores observam que um aumento na taxa de recusas não garante confidencialidade, porque recusas explicativas às vezes revelam a própria conclusão proibida ao justificar por que estão recusando.
Isso importa na prática porque mostra que controles de acesso por documento, o padrão hoje em sistemas de RAG e agentes corporativos, não bastam para evitar vazamento quando um agente tem capacidade de raciocínio combinatório sobre múltiplas fontes com níveis de sigilo distintos. Para ambientes com usuários de clearance misto (um cenário comum em empresas, saúde e defesa), isso exige controles que vão além de o que o documento permite para o que a combinação de documentos permite inferir — um problema estrutural, não apenas de prompt engineering.