💬 NLP

MosaicLeaks:Privacy Risks in Querying-in-the-Open for Deep Research Agents

Dieses Paper führt MosaicLeaks ein, einen Benchmark, der demonstriert, dass Deep-Research-Agenten aufgrund des Mosaik-Effekts häufig private lokale Informationen durch ihre externen Abfragen preisgeben, und schlägt ein Privacy-Aware Deep Research (PA-DR)-Framework vor, das eine solche Preisgabe effektiv reduziert und gleichzeitig die Aufgabengenauigkeit verbessert.

Ursprüngliche Autoren: Alexander Gurung, Spandana Gella, Alexandre Drouin, Issam H. Laradji, Perouz Taslakian, Rafael Pardinas

Veröffentlicht 2026-06-01

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Alexander Gurung, Spandana Gella, Alexandre Drouin, Issam H. Laradji, Perouz Taslakian, Rafael Pardinas

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein hochqualifizierter Detektiv, der für ein geheimes Unternehmen arbeitet. Ihr Job ist es, komplexe Rätsel zu lösen, indem Sie Hinweise aus Ihren privaten Bürodokumenten mit Informationen kombinieren, die Sie aus dem öffentlichen Internet sammeln.

Das Papier „MosaicLeaks“ enthüllt einen überraschenden und gefährlichen Fehler in der Arbeitsweise dieser Detektiv-Agenten (KI-Modelle): Selbst wenn sie das Geheimnis nicht laut aussprechen, können sie das Geheimnis unbeabsichtigt verraten, indem sie die Art und Weise offenbaren, wie sie Fragen im Internet stellen.

Hier ist die Aufschlüsselung der Erkenntnisse des Papiers unter Verwendung einfacher Analogien:

1. Das Problem: Der „Mosaik“-Effekt

Stellen Sie sich vor, Sie versuchen, ein geheimes Rezept zu verbergen.

Der alte Weg: Sie denken vielleicht: „Wenn ich das Rezept nicht aufschreibe, bin ich sicher.“
Das neue Risiko: Anstatt das Rezept aufzuschreiben, gehen Sie in eine öffentliche Bibliothek und stellen eine Reihe von Fragen:
1. „Wie viel Zucker ist in einem Standardkuchen?“
2. „Welche Backtemperatur ist für einen Kuchen mit 200 g Zucker?“
3. „Wer hat einen Kuchen mit 200 g Zucker und einem spezifischen Gewürz erfunden?“

Einzeln betrachtet sehen diese Fragen harmlos aus. Aber wenn ein Spion (ein Angreifer) Ihre gesamte Liste von Fragen beobachtet, kann er sie wie ein Mosaik zusammensetzen, um Ihr geheimes Rezept zu rekonstruieren.

Das Papier nennt dies den Mosaik-Effekt. In der Welt der KI leaken diese „Detektive“ (Deep Research Agents) oft sensible Unternehmensdaten, weil sie private Zahlen (wie „15 % Wachstum“ oder „Q3-Budget“) als Schlüsselwörter verwenden, um im öffentlichen Web zu suchen.

2. Das Experiment: „MosaicLeaks“

Die Forscher bauten ein riesiges Testfeld namens MosaicLeaks.

Der Aufbau: Sie erstellten 1.001 komplexe Rätsel. Um jedes Rätsel zu lösen, musste die KI zwischen einem privaten Unternehmensdokument (wie einer internen E-Mail) und dem öffentlichen Web hin- und herspringen.
Die Falle: Die KI musste ein Stück Information aus dem privaten Dokument verwenden, um zu wissen, wonach sie im Web suchen sollte.
Der Spion: Sie platzierten eine „Spion“-KI im Raum. Diese Spion-KI konnte die privaten Dokumente oder die endgültige Antwort nicht sehen. Sie konnte nur die Liste der Web-Suchen sehen, die der Detektiv-KI gestellt wurden.

Das Ergebnis: Der Spion war überraschend gut darin, das Geheimnis zu erraten. Selbst wenn die KI nicht explizit sagte „Unser Geheimnis ist X“, ermöglichte die Kombination ihrer Suchanfragen dem Spion, es herauszufinden.

3. Warum einfache Lösungen nicht funktionierten

Die Forscher versuchten zwei gängige Wege, um dies zu beheben, und beide scheiterten:

Die „Bitte nicht ausplaudern“-Notiz (Prompting): Sie fügten den Anweisungen der KI eine Notiz hinzu: „Sei vorsichtig, keine privaten Informationen preiszugeben.“
- Die Analogie: Es ist, als würde man einem nervösen Kind sagen: „Verschütte nicht die Milch“, aber ihm dann ein volles Glas in die Hand drücken. Das Kind verschüttet trotzdem, weil es auf die Aufgabe konzentriert ist (die Antwort zu finden), nicht auf die Regel. Die KI leakte Daten immer noch, nur etwas weniger.
Training für Geschwindigkeit (Aufgabenleistung): Sie trainierten die KI darauf, die richtige Antwort so schnell wie möglich zu finden.
- Die Analogie: Dies machte die KI schneller, aber es machte die Leaks tatsächlich schlimmer. Die KI begann, mehr Fragen zu stellen, um sicherzugehen, wodurch sie dem Spion noch mehr Teile des Mosaiks lieferte.

4. Die Lösung: „Privacy-Aware Deep Research“ (PA-DR)

Die Forscher entwickelten eine neue Trainingsmethode namens PA-DR. Denken Sie daran, dem Detektiv eine neue Art des Denkens beizubringen.

Anstatt die KI nur dafür zu belohnen, die richtige Antwort zu finden, gaben sie ihr eine doppelte Bewertungsskala:

Hast du das Rätsel gelöst? (Aufgabenbelohnung)
Hast du eine Spur aus Brotkrumen hinterlassen? (Datenschutzstrafe)

Sie verwendeten einen speziellen „Privacy Classifier“ (eine kleine KI, die darauf trainiert ist, Leaks zu erkennen), der als Schiedsrichter fungierte. Wenn der Detektiv eine Frage stellte, die Informationen preisgeben könnte, gab der Schiedsrichter sofort eine Strafe.

Die Magie:

Die KI lernte, das Rätsel zu lösen, ohe die geheimen Zahlen in ihren Suchanfragen zu verwenden.
Beispiel: Anstatt nach „Was geschah mit Lee's Market im Jahr 2020, als der Verkehr um 15 % zunahm?“ zu suchen, lernte die trainierte KI, nach „Was geschah mit Lee's Market im Jahr 2020 bezüglich des Verkehrsaufkommens?“ zu suchen.
Sie fand immer noch das richtige Dokument, aber die Suchanfrage enthielt nicht die spezifische Zahl „15 %“, sodass der Spion das Geheimnis nicht herausfinden konnte.

5. Das Fazit

Die schlechte Nachricht: Aktuelle KI-Agenten sind sehr schlecht darin, Geheimnisse zu bewahren, wenn sie im Web suchen. Sie leaken ständig Informationen, und einfache Warnungen stoppen sie nicht.
Die gute Nachricht: Man kann diese Agenten datenschutzbewusst trainieren. Indem man ihnen beibringt, das Gleichgewicht zwischen „die Antwort finden“ und „keine Spur hinterlassen“ zu halten, können sie komplexe Probleme lösen, ohne sensible Unternehmensdaten preiszugeben.

Kurz gesagt: KI-Detektive sind derzeit schlecht darin, ihre Suchhistorie privat zu halten, aber mit dem richtigen Training können sie lernen, Rätsel zu lösen, ohne dass der Spion weiß, wonach sie suchen.

Technisches Resümee: MosaicLeaks: Privatsphäre-Risiken bei der Abfrage im offenen Raum für Deep-Research-Agenten

Problemdefinition

Deep-Research-Agenten werden zunehmend eingesetzt, um Informationen aus privaten Unternehmensdokumenten und externen Tools (z. B. Websuche, Cloud-APIs) zu synthetisieren. Während diese Fähigkeit die Aufgabenleistung steigert, führt sie ein kritisches Privatsphäre-Risiko ein: Agenten können sensible interne Informationen durch ihre externen Tool-Aufrufe preisgeben. Dieses Risiko wird durch den Mosaik-Effekt verschärft – ein Phänomen, bei dem einzelne Abfragen isoliert betrachtet harmlos erscheinen, aber aggregiert durch einen Angreifer über die Zeit hinweg sensible Attribute offenbaren.

Bestehende Benchmarks und Minderungsstrategien versäumen es weitgehend, diesen spezifischen Kontext zu adressieren. Vorherige Arbeiten konzentrieren sich auf persönliche Attribute oder Single-Hop-Aufgaben, während Deep-Research-Benchmarks lokale und externe Informationsquellen oft als parallel statt als interdependent behandeln. Folglich sind Agenten nicht darauf trainiert, zu erkennen, dass externe Abfragen, die von lokalem Kontext abhängen, private Daten rekonstruieren können.

Methodik

1. Der MosaicLeaks-Benchmark

Die Autoren führen MosaicLeaks ein, einen Benchmark bestehend aus 1.001 Multi-Hop-Deep-Research-Aufgaben, die darauf ausgelegt sind, Privatsphäre-Lecks zu erzwingen.

Datenerstellung: Der Datensatz verwebt lokale Unternehmensdokumente (bezogen aus DRBench) mit öffentlichen Web-Inhalten (bezogen aus BrowseComp-Plus). Die Aufgaben sind als Multi-Hop-Ketten strukturiert, bei denen die Antwort auf eine lokale Teilfrage als kritisches Entitätsmerkmal für die darauffolgende Web-Abfrage dient (z. B. Lokal $\to$ Web $\to$ Lokal).
Adversarielles Setup: Ein Adversary-Modell (StepFun-3.5-Flash) beobachtet lediglich die kumulative Sequenz der vom Agenten generierten Web-Abfragen. Es sieht weder die lokalen Dokumente noch das interne Reasoning des Agenten.
Leakage-Metriken: Das Privatsphäre-Leakage wird über drei zunehmende Schweregrade evaluiert:
1. Intent Leakage (Absicht-Leakage): Kann der Angreifer die spezifischen Forschungsfragen vorhersagen, die der Agent verfolgt?
2. Answer Leakage (Antwort-Leakage): Kann der Angreifer unter Berücksichtigung der Abfragesequenz spezifische private Fragen zu den Unternehmensdokumenten beantworten?
3. Full-Information Leakage (Vollständiges Informations-Leakage): Kann der Angreifer verifizierbare, wahre faktische Behauptungen über die Unternehmensdokumente generieren, ohne mit spezifischen Fragen konfrontiert zu werden?

2. Baseline-Evaluierung

Die Autoren evaluierten sechs Open-Source-Modelle (darunter Qwen3, StepFun, GPT-OSS und Gemma) auf MosaicLeaks.

Ergebnisse: Modelle gaben häufig Informationen auf allen drei Ebenen preis.
Limitierungen durch Prompting: Naives Zero-Shot-Prompting (die Anweisung an Agenten, Leaks zu vermeiden) reduzierte das Leakage leicht, konnte es jedoch nicht eliminieren. In einigen Fällen reduzierte es lediglich die Anzahl der Abfragen, verbesserte aber nicht die Privatsphäre des Abfragetextes selbst.
Performance- vs. Privacy-Trade-off: Das Training von Agenten rein auf Aufgabenleistung mittels Reinforcement Learning (RL) verbesserte die Genauigkeit, verschlechterte jedoch signifikant das Privatsphäre-Leakage, da die Agenten lernten, mehr spezifische (und damit informationsreiche) Details in ihre Abfragen einzubeziehen, um den Erfolg der Informationsbeschaffung sicherzustellen.

3. Die vorgeschlagene Lösung: Privacy-Aware Deep Research (PA-DR)

Um das Trade-off zwischen Leakage und Performance anzugehen, schlagen die Autoren PA-DR vor, ein Reinforcement-Learning-Framework, das sowohl auf Aufgabenerfolg als auch auf die Wahrung der Privatsphäre optimiert.

Situative Belohnungen: Im Gegensatz zu standardmäßigem Outcome-basiertem RL, das eine einzige Belohnung am Ende einer Trajektorie liefert, nutzt PA-DR situative Belohnungen, um eine dichte Credit Assignment zu ermöglichen. Belohnungen werden pro Hop und pro Phase (Plan, Choose) berechnet, basierend darauf, ob der Agent die korrekte Dokumentenquelle abgerufen oder das Gold-Dokument ausgewählt hat.
Privatsphäre-Strafe: Ein leichtgewichtiger binärer Klassifikator (trainiert auf 26.734 gelabelten Beispielen) schätzt die Wahrscheinlichkeit eines Leaks gegeben einen Batch von Web-Abfragen. Die Belohnungsfunktion beinhaltet eine Strafe, die aus diesem Klassifikator abgeleitet ist:
- Direktes Leakage: Bestraft den aktuellen Batch an Abfragen, falls diese Informationen isoliert preisgeben.
- Mosaik-Leakage: Bestraft den aktuellen Batch basierend darauf, wie stark er zum kumulativen Leakage der gesamten Trajektorie beiträgt.
- Die finale Privatsphäre-Belohnung ist definiert als $r_{privacy} = -\max(c_{direct}, c_{mosaic})$ , wobei die Kosten aus der vorhergesagten Leakage-Wahrscheinlichkeit des Klassifikators abgeleitet werden.
Training: Das Framework trainiert das Qwen3-4B-Instruct Modell mittels PipelineRL und optimiert gemeinsam auf die situativen Aufgabenbelohnungen und die Privatsphäre-Strafe.

Zentrale Ergebnisse

Performance-Gewinne: Das Training mit PA-DR verbesserte die strikte Erfolgsrate der Ketten (Chain Success Rate) von Qwen3-4B-Instruct von 48,7 % (Baseline) auf 58,7 %.
Reduktion des Leakage: Dasselbe Training reduzierte das Answer- und Full-Information-Leakage von 34,0 % auf 9,9 %.
Kombinierte Optimierung: In Kombination mit einem privatsphäre-bewussten Prompt erreichte das PA-DR-Modell eine Ketten-Genauigkeit von 59,3 % bei nur 7,6 % Leakage.
Verhaltensanalyse: Im Gegensatz zu Prompting, welches das Leakage durch eine Reduktion der Anzahl der Abfragen verringerte, trainierte PA-DR die Modelle dazu, mehr Abfragen zu tätigen, jedoch mit Texten, die semantisch weniger enthüllend waren. Die Modelle lernten, notwendige Dokumente abzurufen, während sie spezifische Metriken (z. B. „15 %“) oder Antworttypen im Abfragetext wegließen, wodurch die semantische Verbindung unterbrochen wurde, die ein Angreifer zur Rekonstruktion privater Fakten benötigt.
Vergleich: PA-DR verschiebt die Pareto-Front und erreicht gleichzeitig höhere Genauigkeit und geringeres Leakage im Vergleich zu Modellen, die nur auf Aufgabenleistung trainiert wurden oder Standard-Outcome-basiertes RL nutzen.

Bedeutung und Beiträge

Das Paper leistet drei primäre Beiträge:

MosaicLeaks-Benchmark: Ein neues Evaluierungs-Framework, das Deep-Research-Agenten explizit bei Multi-Hop-Fragen mit starken Abhängigkeiten zwischen lokalen und externen Informationen testet und so den Mosaik-Effekt in Unternehmensumgebungen erfasst.
Empirische Analyse: Ein Nachweis darüber, dass Standard-Deep-Research-Agenten häufig Unternehmensdaten preisgeben und dass die ausschließliche Optimierung auf Aufgabenleistung dieses Risiko verschärft. Es zeigt zudem, dass Prompting-basierte Interventionen für diese Aufgabe unzureichend sind.
PA-DR-Framework: Eine fundierte Formulierung des privatsphäre-bewussten Agenten-Trainings als gemeinsames Zielobjektiv. Durch die Verwendung eines gelernten Privatsphäre-Klassifikators zur Bereitstellung einer dichten Credit Assignment über pro-Query- und Mosaik-Level-Leakage zeigen die Autoren, dass es möglich ist, Agenten zu trainieren, die sowohl hochgradig präzise als auch privatsphäre-wahrend sind.

Die Autoren kommen zu dem Schluss, dass aktuelle Agenten zwar anfällig für Mosaik-Leakage sind, RL-basiertes Training mit situativen Privatsphäre-Belohnungen jedoch einen gangbaren Weg darstellt, um Deep-Research-Agenten in sensiblen Unternehmensumgebungen einzusetzen, ohne die Datensicherheit zu gefährden.