🤖 AI

PlanTwin: Privacy-Preserving Planning Abstractions for Cloud-Assisted LLM Agents

Die Arbeit stellt PlanTwin vor, eine Architektur, die durch die Projektion privater Umgebungen in schemabasierte, de-identifizierte digitale Zwillinge die Planung von Cloud-LLM-Agenten ermöglicht, ohne sensible lokale Daten preiszugeben, wobei ein lokaler Gatekeeper die Privatsphäre wahrt und gleichzeitig die Planungseffizienz erhalten bleibt.

Ursprüngliche Autoren: Guangsheng Yu, Qin Wang, Rui Lang, Shuai Su, Xu Wang

Veröffentlicht 2026-03-20

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Guangsheng Yu, Qin Wang, Rui Lang, Shuai Su, Xu Wang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben einen genialen, aber neugierigen Architekten, der in einem Wolkenkratzer wohnt (das ist die Cloud mit dem großen KI-Modell). Sie haben einen privaten, verwinkelten Keller in Ihrem eigenen Haus (Ihr lokaler Computer mit Ihren sensiblen Dateien, Passwörtern und Geheimnissen).

Sie wollen, dass der Architekt Ihnen hilft, den Keller umzubauen. Aber Sie dürfen ihm niemals den Schlüssel geben, damit er hineinschauen kann. Wenn er hineinschaut, könnte er Ihre Geheimnisse stehlen oder versehentlich etwas kaputt machen.

Bisherige Lösungen waren wie:

Alles zeigen: Sie öffnen die Tür und lassen ihn rein. (Gefährlich!)
Nur die Wände streichen: Sie verdecken die sensiblen Dinge mit einem Tuch, aber er sieht immer noch die Form des Raumes und kann raten, was dahinter ist. (Nicht sicher genug.)
Einen kleinen Helfer: Sie schicken einen kleinen, dummen Helfer in den Keller, der versucht, alles selbst zu planen. (Geht oft nicht gut, weil er nicht so klug ist wie der große Architekt.)

PlanTwin ist eine völlig neue Idee. Es ist wie ein magischer, privater 3D-Drucker, der eine perfekte, aber abstrakte Kopie Ihres Kellers erstellt – nennen wir es einen „Digitalen Zwilling".

Wie funktioniert PlanTwin? (Die 4 Schritte)

Stellen Sie sich den Prozess wie das Erstellen einer strikten Bauanleitung vor, die nur das Nötigste enthält:

Der Übersetzer (Extraktion): Ein kleiner, lokaler Roboter schaut sich Ihren echten Keller an. Er merkt sich nicht den Inhalt der Schubladen, sondern nur: „Hier ist ein Werkzeugkasten, dort ein alter Computer, und hier ist ein gefährlicher Stromkasten."
Der Zensor (Redaktion): Alles, was nach einem Geheimnis aussieht (Passwörter, echte Namen, IP-Adressen), wird sofort durch Fragezeichen oder Platzhalter ersetzt. „Passwort" wird zu „[GEPERLT]".
Der Verallgemeinerer (Generalisierung): Statt zu sagen „Dieser Computer hat 16 GB RAM und ist 3 Jahre alt", sagt er: „Dieser Computer ist 'mittelstark' und 'nicht mehr brandneu'." Die genauen Zahlen sind weg, aber die Eigenschaft bleibt.
Der Bauplan (Schema): Am Ende hat der Architekt in der Cloud nur noch einen sauberen, schematischen Graphen vor sich. Er sieht: „Es gibt einen Werkzeugkasten, der mit dem Computer verbunden ist." Er sieht nicht, was im Werkzeugkasten ist oder wie der Computer heißt.

Die Interaktion: Der „Türsteher"

Der Architekt in der Cloud denkt nun über diesen sauberen Plan nach und schlägt vor: „Ich würde gerne den Werkzeugkasten öffnen und den Computer prüfen."

Aber bevor er das tun darf, schaltet sich Ihr lokaler Türsteher (Gatekeeper) ein:

Ist das erlaubt? Ja, das Werkzeugkasten-Öffnen ist eine erlaubte Fähigkeit.
Wie oft haben wir das schon gesagt? Der Türsteher hat ein Budget. Wenn Sie dem Architekten schon zu viele Details über den Werkzeugkasten verraten haben, sagt er: „Nein, das Budget ist aufgebraucht. Ich zeige dir nichts mehr."
Ausführung: Der Türsteher öffnet den echten Werkzeugkasten in Ihrem Keller, macht die Arbeit und gibt dem Architekten nur das Ergebnis zurück – wieder in einer abstrakten, sicheren Form.

Warum ist das so cool?

Kein Datenleck: Der Architekt sieht nie Ihre echten Dateien. Er sieht nur die „Schatten" Ihrer Daten. Selbst wenn er sehr neugierig ist, kann er Ihre echten Geheimnisse nicht rekonstruieren.
Trotzdem klug: Da der Architekt immer noch die Struktur und die Zusammenhänge sieht (z. B. dass der Computer den Werkzeugkasten braucht), kann er immer noch sehr gute Pläne machen. Die Studie zeigt, dass die Pläne fast genauso gut sind wie wenn er alles gesehen hätte.
Sicherer als nur „Verstecken": Frühere Methoden haben nur versucht, bestimmte Wörter zu löschen (wie „Passwort"). PlanTwin ändert aber die ganze Sprache, in der der Architekt denkt. Er denkt gar nicht mehr in echten Dateien, sondern in abstrakten Objekten.

Das Fazit in einem Satz

PlanTwin ist wie ein Übersetzer, der Ihre privaten Geheimnisse in eine abstrakte Bauanleitung verwandelt, damit ein superkluger KI-Architekt Ihnen helfen kann, ohne jemals Ihre echten Geheimnisse zu sehen oder zu kennen.

Es ist der perfekte Kompromiss: Sie bekommen die Intelligenz der Wolke, behalten aber die Kontrolle über Ihre Privatsphäre.

1. Problemstellung

In modernen Agentensystemen werden Large Language Models (LLMs) oft als Planer eingesetzt, die in der Cloud gehostet werden, um lokale Umgebungen (z. B. Code, Dateien, Logs, Credentials) zu analysieren und Ausführungspläne zu erstellen.

Das Dilemma: Um effektive Pläne zu erstellen, benötigen Cloud-LLMs Kontext. In vielen Szenarien ist dieser Kontext jedoch hochsensibel (Quellcode, Passwörter, interne Metadaten) und darf nicht an die Cloud übertragen werden.
Grenzen bestehender Lösungen:
- Sandboxing & Zugriffskontrolle: Schützen die Ausführung (was der Agent tun darf), aber nicht die Beobachtung (was der Cloud-Planer sieht). Innerhalb erlaubter Bereiche werden oft noch Rohdaten gesendet.
- PII-Redaktion: Entfernt bekannte Identifikatoren, verpasst aber domänenspezifische Geheimnisse und lässt strukturelle Metadaten zurück, die eine Re-Identifizierung ermöglichen.
- Lokale Inferenz: Vermeidet Cloud-Exposure, leidet aber unter begrenzter Rechenleistung und geringerer Planungsqualität im Vergleich zu Frontier-Modellen.
- Trusted Execution Environments (TEEs): Schützen Daten während der Berechnung, beantworten aber nicht die semantische Frage, wie viel Information der Planer überhaupt sehen muss.

Kernfrage: Wie kann ein lokaler Edge-Agent von der Planungsintelligenz einer Cloud profitieren, ohne den tatsächlichen lokalen Zustand (Rohdaten) preiszugeben?

2. Methodik: Die PlanTwin-Architektur

PlanTwin ist eine Middleware-Architektur, die eine Trennung zwischen Planung (Cloud) und Zugriff/Ausführung (Lokal) erzwingt. Der Cloud-Planer interagiert nie direkt mit den Rohdaten, sondern nur mit einem „digitalen Zwilling" (Digital Twin).

A. Vierstufige Projektions-Pipeline (Lokal)

Die lokale Seite transformiert die reale Umgebung $X_t$ in einen sanitisierten, planungsrelevanten digitalen Zwilling $Z_t$ durch folgende Stufen:

Typisierte Extraktion ( $\Pi_{extract}$ ): Ein lokales kleines Sprachmodell (SLM) oder Heuristiken extrahieren die Struktur (Objekttyp, semantische Rolle, Aufgabenfähigkeit). Rohdaten werden in Kategorien wie code_file, secret_container oder config übersetzt.
Redaktion sensibler Entitäten ( $\Pi_{redact}$ ): Deterministische Regex-Muster und Code-spezifische Regeln maskieren Namen, E-Mails, API-Keys, Pfade und Hostnamen.
Generalisierung und Bucketisierung ( $\Pi_{generalize}$ ): Exakte Werte werden durch grobe Kategorien ersetzt (z. B. Dateigröße: small/medium/large, Zeitstempel: today/recent/stale). Dies verhindert Inversion, behält aber planungsrelevante Unterscheidungen bei.
Schemaprojektion ( $\Pi_{schema}$ ): Das Ergebnis wird in ein festes JSON-Schema überführt. Der Planer sieht nur strukturierte Graphen-Knoten und -Kanten, keine freien Texte oder Dateinamen.

B. Deklarative Capability-Schnittstelle

Der Cloud-Planer operiert nicht auf Dateien, sondern auf einer begrenzten Menge an Fähigkeiten (Capabilities) wie security_audit, compare_objects oder extract_constraints.

Der Planer generiert einen deklarativen Plan $P_t$ als Graph von Aktionen über abstrakte Objekte.
Dies verhindert, dass der Planer direkten Zugriff auf Rohdaten fordert.

C. Lokaler Gatekeeper und Disclosure-Budgets

Ein lokaler Gatekeeper validiert jeden Schritt des Cloud-Plans:

Policy-Enforcement: Prüfung, ob die angeforderte Capability erlaubt ist.
Disclosure-Budget: Für jedes Objekt $o$ wird ein Budget $B(o)$ verfolgt, das die kumulative Offenlegung von Informationen über mehrere Interaktionen hinweg begrenzt.
Ausführungs-Validierung: Der Gatekeeper führt die Aktion auf den lokalen Rohdaten aus, saniert das Ergebnis (mittels $\Pi_{out}$ ) und sendet nur das bereinigte Ergebnis zurück.
Mehrrunden-Kontrolle: Das Budget verhindert, dass ein Angreifer durch viele kleine Anfragen im Laufe einer Sitzung ein vollständiges Profil eines Objekts rekonstruiert.

3. Formale Ziele und Privatsphäre

Die Autoren definieren drei Privatsphäre-Ziele:

$(k, \delta)$ -Anonymität: Widerstand gegen Re-Identifizierung. Die Wahrscheinlichkeit, dass ein Angreifer ein Objekt korrekt identifiziert, ist durch $\frac{1}{k} + \delta$ begrenzt.
$\epsilon$ -Unlinkability: Widerstand gegen Verknüpfung über verschiedene Sitzungen hinweg.
Strukturelle Inferenz: Minimierung von Rückschlüssen auf die Projektstruktur aus dem Graphen-Topologie, obwohl dies nicht vollständig eliminiert werden kann, ohne die Nützlichkeit zu opfern.

Das System modelliert den Trade-off zwischen Privatsphäre und Nützlichkeit als Problem der Granularität der Fähigkeiten: Zu grobe Fähigkeiten bieten wenig Planungswert; zu feine Fähigkeiten erhöhen das Offenlegungsrisiko.

4. Ergebnisse und Evaluation

Die Evaluation umfasste 60 Aufgaben in 10 Domänen (Coding, DevOps, Security, etc.) mit vier verschiedenen Cloud-Planern (Kimi, Gemini, MiniMax, GLM).

Sensible Items Non-Disclosure (SND): PlanTwin erreicht SND = 1.0. Keine API-Keys, Passwörter oder PII gelangen in die Cloud. Im Vergleich dazu leckte die PII-Redaktion-Baseline 16,5 % der sensiblen Items (insbesondere in Coding-Aufgaben).
Planungsqualität (PQS): PlanTwin erreicht eine Qualität, die der von „Raw Context" (vollständiger Kontext-Upload) sehr nahe kommt.
- Mit dem Kimi-Planer: PQS von 0,808 (PlanTwin) vs. 0,843 (Raw Context). Der Unterschied ist statistisch nicht signifikant.
- Drei von vier Planern erreichten PQS > 0,79.
- Lokale Modelle (ohne Cloud) erreichten deutlich schlechtere Ergebnisse (PQS ~0,28–0,56), was die Notwendigkeit von Cloud-Intelligenz unterstreicht.
Overhead: Die lokale Projektions-Pipeline fügt je nach Konfiguration (SLM vs. Heuristik) 13–34 Sekunden hinzu. Die deterministischen Schritte (Redaktion, Generalisierung) kosten <1 ms.
Adversarial Re-Identification: Ohne Budget-Kontrolle konnte ein Angreifer mit Hilfswissen Objekte mit 94,1 % Genauigkeit identifizieren. Mit dem Budget-Mechanismus wird dies verhindert, da das Budget erschöpft wird, bevor ein vollständiger „Fingerabdruck" entsteht.

5. Hauptbeiträge

System-Design: Formulierung von Cloud-assistierter Planung ohne Kontext-Exposure als Systemproblem und Abgrenzung zu Sandboxen und TEEs.
Architektur: Einführung einer vierstufigen Pipeline, die Rohdaten in einen schemabeschränkten, anonymisierten Graphen transformiert.
Protokoll: Ein deklarativer, fähigkeitsbasierter Planungsansatz, der den Trade-off zwischen Privatsphäre und Nützlichkeit als Granularitätsproblem formalisiert.
Gatekeeper & Budgets: Ein lokaler Mechanismus zur Durchsetzung kumulativer Offenlegungsbudgets, der $(k, \delta)$ -Anonymität und $\epsilon$ -Unlinkability gewährleistet.
Empirische Validierung: Nachweis, dass starke Cloud-Planung ohne Preisgabe von Rohdaten möglich ist (SND=1.0 bei PQS > 0,79).

6. Bedeutung und Fazit

PlanTwin demonstriert, dass starke Cloud-Planung nicht die Offenlegung von Rohdaten erfordert. Es verschiebt das Paradigma von „Vertrauen in die Cloud" oder „lokale Inferenz mit schwacher Qualität" hin zu einer Architektur, bei der die Cloud nur über eine sanitisierte, abstrakte Sichtweise verfügt.

Praxisrelevanz: Ermöglicht die Nutzung von State-of-the-Art LLMs für sensible Unternehmensdaten (Code, Infrastruktur), ohne Compliance-Risiken einzugehen.
Sicherheit: Reduziert die Angriffsfläche für Prompt-Injection, da der Planer keine rohen lokalen Artefakte sieht.
Zukunft: Die Architektur ist plattformunabhängig und kann mit Sandbox-Umgebungen in der Cloud kombiniert werden, um synthetische Umgebungen zu erstellen, die dem digitalen Zwilling entsprechen, ohne echte Daten zu enthalten.

Zusammenfassend etabliert PlanTwin die „Planungs-Beobachtbarkeit" als eine Schnittstelle ersten Ranges für datenschutzkonforme Agentensysteme.