Quando um agente de IA usa ferramentas externas, ele deixa um rastro: quais ferramentas acionou, com quais argumentos e o que recebeu de volta. Segundo um estudo publicado no arXiv, esse rastro pode dizer bastante sobre quem é o usuário, mesmo quando o observador não tem acesso às conversas.

O que são os rastros de chamadas

De acordo com os autores, agentes baseados em modelos de linguagem interagem com ferramentas externas por meio de protocolos como o Model Context Protocol (MCP), e isso gera os chamados "rastros de chamadas de ferramentas". A pergunta central do trabalho é se um observador consegue deduzir atributos do usuário apenas a partir dessas interações, que são válidas do ponto de vista do protocolo.

Como o estudo foi feito

Os pesquisadores criaram o PrivacyTrace, um benchmark com 1.000 perfis de usuários sintéticos e 4.000 trajetórias de agentes, distribuídas em quatro domínios. As trajetórias foram geradas com ferramentas MCP reais de 25 servidores. Quatro LLMs classificados pelos autores como "mainstream" fizeram o papel de atacantes, tentando inferir o perfil de cada usuário.

Os números principais

  • Com os rastros de chamadas, a taxa de sucesso na inferência de perfil foi de 26,25%.
  • Sem os rastros, apenas com adivinhação baseada em conhecimento prévio, a taxa foi de 17,97%.

A diferença é de cerca de 8,3 pontos percentuais a favor dos rastros.

Onde está a informação mais reveladora

Segundo a análise dos autores, os argumentos enviados às ferramentas e os resultados que elas devolvem são a principal evidência extraída dos rastros. Além disso, relacionar rastros de sessões diferentes aumenta ainda mais o risco de perfilamento.

O que muda para quem usa agentes

Para os autores, esses rastros podem funcionar como "canais laterais comportamentais" para criar perfis de usuários. Eles defendem o desenvolvimento de mecanismos de privacidade voltados à interação entre agentes e ferramentas. Na prática, o dado sensível pode estar menos na conversa e mais no histórico técnico de chamadas.

O resumo não informa quais são os quatro domínios, quais modelos atuaram como atacantes nem quais atributos foram inferidos. Código e dados estão disponíveis no repositório indicado pelos autores.