El fallo del que trata el artículo
El efecto mosaico es un problema viejo en clasificación: varios datos divulgables por separado, juntos, producen una conclusión que no lo es. Un artículo enviado a arXiv el 21 de octubre, “Agent Mosaic: Recognizing Confidentiality Leaks in Agentic LLM Systems”, de Daniel Ruiz, Luca Luceri y Emilio Ferrara, comprueba si los agentes de recuperación lo reproducen.
El montaje es deliberadamente anodino. Las consultas son inocuas, y el artículo dice que cada una debería poder responderse con un solo documento. El agente recupera varios de todos modos, y la pregunta es si los combina en algo que no debía decir.
Las cifras
El estudio cubre 10.800 respuestas finales de tres agentes LLM en simulación controlada, más 1.440 respuestas de agentes en vivo ejecutándose en dos entornos de código abierto. Los escenarios son 30 ejemplos sintéticos en contextos de ciberseguridad, medicina y defensa.
El modelo con mejor desempeño en simulación, que el artículo identifica como GPT-5.6-Sol, reveló combinaciones prohibidas en el 7,08% de las respuestas ante consultas inocuas, con un intervalo de confianza del 95% entre 3,75% y 10,67%. Las tasas de fuga en los entornos en vivo fueron mayores que en simulación.
El resultado que más importa es lo que ocurrió con defensas puestas. Con cabeceras de clasificación en los documentos y reglas de agregación explícitas dadas al agente, las divulgaciones inseguras persistieron en el 32,37% de las respuestas simuladas, agregando todas las intenciones, con un intervalo de confianza entre 28,33% y 36,19%.
Eso es cerca de un tercio de las respuestas filtrando justo lo que las reglas pretendían impedir, y es más alto que la tasa sin protección del mejor modelo porque agrega todas las intenciones en vez de aislar el caso inocuo. Lo relevante es la dirección: etiquetar los documentos y enunciar la regla no cerró el hueco.
Negarse no es lo mismo que no revelar
El otro hallazgo del artículo es el más fácil de pasar por alto al construir un sistema. Las negativas no garantizan confidencialidad, porque algunas negativas siguen revelando la conclusión prohibida.
Es intuitivo una vez dicho. Un agente que se niega a responder explicando qué tendría que combinar, o qué inferencia concreta está evitando, ha publicado la inferencia. Una negativa que un entorno de evaluación cuenta como resultado seguro puede ser una salida insegura en la práctica, lo que significa que las mediciones de fuga que tratan la negativa como éxito subestiman el problema.
Por qué es difícil resolverlo por ingeniería
El control de acceso por documento asume que la sensibilidad vive en el documento. El efecto mosaico es justo el caso en que no: vive en la unión. Un sistema de permisos que comprueba cada recuperación por separado no puede ver una propiedad que solo existe en el conjunto, y la función entera de un agente de recuperación es armar conjuntos.
El artículo no pretende resolverlo. Ofrece una manera de reconocerlo, un conjunto de escenarios contra los que probar, y tasas que dan un suelo más que un techo: 30 ejemplos sintéticos en tres dominios es una muestra pequeña, y los autores describen su trabajo como evaluación, no como defensa. Es una preimpresión enviada a ACL Rolling Review y no ha pasado revisión por pares.
Lo que sí establece es que la fuga ocurre sin atacante. Aquí no hay jailbreak, ni prompt adversario, ni inyección de instrucciones: las consultas son inocuas y el agente se comporta como se diseñó. Para quien despliegue agentes de recuperación sobre corpus de sensibilidad mixta, esa es la parte incómoda. El modo de fallo no exige que nadie lo esté intentando.
