🤖 AI

Minim: Privacy-Aware Minimal View for Agents via Trusted Local Sanitization

Das Papier schlägt MINIM vor, einen vertrauenswürdigen lokalen Broker, der Prinzipien der kontextuellen Integrität nutzt, um UI-Beobachtungen durch die Vorhersage von Elementempfindlichkeit und Aufgabennotwendigkeit dynamisch zu bereinigen, wodurch das Abfließen von Privatsphäre minimiert wird, während gleichzeitig der kritische Kontext für zuverlässige LLM-Agentenaktionen erhalten bleibt.

Ursprüngliche Autoren: Hexuan Yu, Chaoyu Zhang, Heng Jin, Shanghao Shi, Ning Zhang, Y. Thomas Hou, Wenjing Lou

Veröffentlicht 2026-06-15

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Hexuan Yu, Chaoyu Zhang, Heng Jin, Shanghao Shi, Ning Zhang, Y. Thomas Hou, Wenjing Lou

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben einen sehr intelligenten, hilfreichen Roboter-Assistenten, der in der Cloud lebt. Sie bitten ihn: „Antworte auf diese E-Mail“, und er muss dafür Ihren Computerbildschirm sehen.

Das Problem: Der „übermäßig informierte“ Roboter
Im Moment passiert es oft, dass der Roboter, wenn Sie ihn um Hilfe bitten, einen Live-Video-Feed Ihres gesamten Computerbildschirms in die Cloud sendet. Selbst wenn Sie nur möchten, dass er Ihre E-Mail sieht, sieht der Roboter auch Ihren Kontostand, Ihre Textnachrichten mit Ihrer Mutter und den geheimen Code, den Ihr Telefon gerade für einen Login gesendet hat.

In der Facharbeit wird dies als „Semantic Over-Privileged Observation“ bezeichnet. Es ist so, als würden Sie eine Reinigungskraft engagieren, um Ihr Wohnzimmer zu staubwischen, aber Sie lassen dabei die Haustür weit offen stehen und übergeben ihr gleichzeitig einen Generalschlüssel für Ihren Tresor, Ihr Schlafzimmer und Ihr Tagebuch. Sie müssen diese Dinge nicht sehen, um das Sofa abzustäuben, aber sie sehen sie trotzdem – und das stellt ein Datenschutzrisiko dar.

Die Lösung: MINIM (Der „schlaue Türsteher“)
Die Autoren haben ein neues System namens MINIM entwickelt. Stellen Sie sich MINIM wie einen hochintelligenten Sicherheitsmann vor, der direkt an Ihrer Computertür steht, noch bevor irgendwelche Daten Ihr Gerät verlassen.

Anstatt den ganzen unordentlichen Bildschirm zu senden, betrachtet MINIM jedes einzelne Element auf Ihrem Bildschirm (Buttons, Text, Icons) und stellt zwei einfache Fragen zu jedem Element:

Ist dies sensibel? (Enthält es Geheimnisse wie Passwörter oder Codes?)
Ist dies notwendig? (Muss der Roboter dies tatsächlich sehen, um die spezifische Aufgabe, die Sie ihm gestellt haben, zu erledlich zu machen?)

Wie MINIM funktioniert: Der Drei-Schritte-Filter
Basierend auf diesen zwei Fragen entscheidet MINIM, was mit jedem Element auf Ihrem Bildschirm geschieht, indem es drei Aktionen ausführt:

Behalten (Keep - K): Wenn das Element nützlich und nicht geheim ist (wie der Text der E-Mail, auf die Sie antworten möchten), lässt MINIM es unverändert passieren.
Entfernen (Remove - R): Wenn ein Element für die Aufgabe nutzlos und nicht geheim ist (wie ein dekoratives Hintergrundbild), wirft MINIM es komplett weg.
Abstrahieren (Abstract - A): Das ist der clevere Teil. Wenn ein Element nützlich, aber geheim ist (wie ein „Absenden“-Button, der sich neben einem verborgenen Passwortfeld befindet), löscht MINIM es nicht einfach (da der Roboter wissen muss, wo sich der Button befindet), sondern verwischt den geheimen Teil. Es ersetzt das Passwort durch einen generischen Platzhalter wie [GEHEIM]. Der Roboter weiß zwar, wo er klicken muss, kann aber das Geheimnis nicht lesen.

Die Regel der „Kontextuellen Integrität“
MINIM folgt der Regel der „Contextual Integrity“ (Kontextuelle Integrität). Stellen Sie sich vor, Sie sind auf einer Party. Es ist normal, mit einem Fremden über das Wetter zu sprechen (geringe Sensibilität, hohe Notwendigkeit für Smalltalk). Aber wenn Sie demselben Fremden plötzlich Ihre Bank-PIN verraten, ist das seltsam und gefährlich, selbst wenn das Gespräch freundlich ist.

MINIM stellt sicher, dass Informationen nur dann fließen, wenn sie zum „Kontext“ der Aufgabe passen. Wenn Sie gerade im Internet surfen, ist Ihr 2FA-Code (ein Sicherheitscode) irrelevant und gefährlich zu teilen. Wenn Sie sich jedoch gerade einloggen, wird derselbe Code zu einer essenziellen Information. MINIM versteht diesen Unterschied.

Was die Experimente zeigten
Die Forscher haben MINIM bei realen Aufgaben getestet, wie etwa beim Online-Shopping, beim Checken von Reddit oder beim Verwalten von Gmail. Sie verglichen MINIM mit:

Dem Senden von allem: (Hohes Datenschutzrisiko).
Der Verwendung von Standard-KI-Modellen: (Sie versuchten, zu erraten, was zu verbergen sei, behielten aber oft zu viele geheime Informationen bei).
MINIM:

Die Ergebnisse waren eindeutig:

Privatsphäre: MINIM blockierte 90 % mehr unnötige sensible Informationen als die anderen Methoden. Es gelang erfolgreich, Dinge wie Verifizierungscodes und private Benachrichtigungen zu verbergen, die der Roboter nicht sehen musste.
Nützlichkeit: Trotz des Verbergens von so viel konnte der Roboter seine Aufgabe perfekt ausführen. Er behielt alle „aktionsfähigen“ Teile (wie Buttons und Eingabefelder) bei, sodass der Roboter weiterhin klicken, tippen und navigieren konnte.

Zusammenfassend
MINIM ist ein lokaler Datenschutz-Wächter, der wie ein schlaue Editor für Ihren Bildschirm fungiert. Er schneidet den Unrat heraus, verwischt die Geheimnisse, die Sie nicht teilen müssen, und sendet dem Roboter nur das absolute Minimum, das er benötigt, um die Aufgabe zu erledigen. Auf diese Weise bleibt Ihr Roboter-Assistent hilfreich, ohne zu einem neugierigen Spion zu werden.

Technisches Resümee: MINIM – Privatsphäre-bewusste minimale Ansicht für Agenten durch vertrauenswürdige lokale Sanitisierung

1. Problemstellung: Semantisch überprivilegierte Beobachtung

Moderne autonome Agenten verlassen sich zunehmend auf strukturierte Beobachtungen (z. B. Accessibility Trees, DOM-Repräsentationen), um mit digitalen Umgebungen zu interagieren. Während diese strukturierten Schnittstellen einen reichen semantischen Kontext für eine zuverlässige Aktionsgrundierung bieten, folgen aktuelle Deployment-Paradigmen oft einem „Share-First“-Design, bei dem der gesamte rohe Interface-Zustand an Remote-Inferenzserver übermittelt wird.

Die Autoren identifizieren einen spezifischen Fehlermodus, den sie als Semantisch Überprivilegierte Beobachtung bezeichnen. In diesem Szenario erhalten Agenten nicht nur die Elemente, die für die aktuelle Benutzeraufgabe notwendig sind, sondern auch eine enorme Menge an aufgabenirrelevantem Kontext (z. B. Seitenleisten-Benachrichtigungen, Hintergrundanwendungen oder nicht verwandte Browser-Tabs). Diese Exposition führt zur Preisgabe sensibler, aber unnötiger Informationen, wie etwa Authentifizierungscodes, private Benachrichtigungen und Verhaltensspuren, die für Profiling ausgenutzt werden können.

Bestehende Lösungen für den Datenschutz sind für diesen Kontext ungeeignet:

Aufgabenagnostische Filterung (z. B. PII-Redaktion) birgt das Risiko, aufgabenkritischen Kontext zu entfernen oder sensible Nicht-PII-Attribute zu übersehen.
Differential Privacy führt stochastisches Rauschen ein, das die präzisen semantischen Hinweise verzerren kann, die für eine zuverlässige Agenten-Aktuierung erforderlich sind.
Kryptographische Methoden (z. B. FHE, MPC) schützen die Berechnung, verhindern aber nicht, dass der Remote-Server sensible Informationen aus dem offengelegten Zustand ableitet, oft auf Kosten prohibitiver Latenz.

Die Kernherausforderung besteht darin, dass Datenschutzanforderungen aufgabenbedingt sind: Ein Element (z. B. ein 2FA-Code) kann für eine Aufgabe kritisch sein, stellt aber für eine andere reine Informationspreisgabe dar.

2. Methodik: MINIM-Framework

Die Autoren schlagen MINIM vor, einen vertrauenswürdigen lokalen Broker, der eine Pre-Disclosure-Minimierung auf dem Client-Gerät durchführt. MINIM fungt als strukturelle Engstelle, die die Beobachtung des Agenten sanitisiert, bevor sie das Gerät verlässt. Das Framework basiert auf der Kontextuellen Integrität (CI) und operationalisiert das Prinzip, dass der Informationsfluss den durch den Kontext, die Akteure, die Attribute und die Übertragungsgrundsätze definierten Normen entsprechen muss.

2.1. Dual-Score-Repräsentation

MINIM verwendet ein gelerntes Modell, um für jedes Element in der strukturierten Beobachtung (z. B. einen Knoten eines Accessibility Trees) zwei skalare Scores vorherzusagen:

Inhärente Sensitivitätsbewertung ( $s$ ): Erfasst das intrinsische Informationsrisiko des Elements, unabhängig von der aktuellen Aufgabe.
Aufgabenbedingte Notwendigkeitsbewertung ( $n$ ): Erfasst die Nützlichkeit des Elements für den Abschluss der spezifischen Benutzeraufgabe $T$ .

2.2. Trainingsziel

Das Modell wird mit einem CI-bewussten Ziel trainiert, das die Offenlegung kontextuell unangemessener Informationen minimiert und gleichzeitig eine Aufgaben-Nützlichkeitsbeschränkung erfüllt. Die Verlustfunktion kombiniert:

Sensitivitätsverlust ( $L_{sens}$ ): Minimiert den Fehler bei der Vorhersage des inhärenten Risikos.
Notwendigkeitsverlust ( $L_{nec}$ ): Minimiert den Fehler bei der Vorhersage der Aufgabennotwendigkeit, jedoch gewichtet durch die Sensitivität. Der Verlust wird für Knoten verstärkt, die hochsensibel, aber aufgabenirrelevant sind, was das Modell schwer bestraft, wenn es versäumt, unnötige Hochrisiko-Inhalte zu identifizieren.

2.3. Ternäre Offenlegungsstrategie

In der Bereitstellung steuern die vorhergesagten Scores eine deterministische Richtlinie, die jeden Knoten einer der drei Aktionen zuordnet:

Behalten (Keep, K): Wenn der Knoten notwendig ( $n \ge \tau_{nec}$ ) und risikoarm ( $s < \tau_{sens}$ ) ist. Das Element wird unverändert übertragen.
Abstrahieren (Abstract, A): Wenn der Knoten notwendig ( $n \ge \tau_{nec}$ ), aber hochriskant ( $s \ge \tau_{sens}$ ) ist. Sensible Attribute werden durch Platzhalter ersetzt (z. B. [REDACTED]), während die strukturelle Rolle erhalten bleibt (z. B. Beibehaltung der Button-Struktur bei Maskierung des 2FA-Code-Wertes).
Entfernen (Remove, R): Wenn der Knoten unnötig ist ( $n < \tau_{nec}$ ). Das Element wird vollständig entfernt.

3. Wichtigste Beiträge

Problemformalisierung: Die Arbeit identifiziert und formalisiert die „Semantisch Überprivilegierte Beobachtung“ als ein distinktes Datenschutzrisiko in agentenbasierten Systemen, die auf strukturierten Eingaben beruhen, und schlägt die Pre-Disclosure-Minimierung als Lösung vor.
MINIM-Architektur: Die Autoren führen einen vertrauenswürdigen lokalen Broker ein, der die kontextuelle Bewertung von der Richtliniendurchsetzung entkoppelt. Er nutzt einen Dual-Score-Mechanismus (Sensitivität und Notwendigkeit), der mit einem CI-bewussten Ziel trainiert wurde, um eine „Need-to-know“-Offenlegungsregel durchzusetzen.
Empirische Validierung: Das Framework wird auf realen Accessibility Trees aus WebArena (Domänen: Shopping, Reddit und Gmail) evaluiert, was eine signifikante Reduktion der Informationspreisgabe bei gleichzeitiger Wahrung der Aufgabenausführung zeigt.

4. Experimentelle Ergebnisse

Die Experimente wurden auf einem Datensatz von 662 Testvarianten durchgeführt, die aus WebArena abgeleitet und mit synthetisierten sensiblen Kontexten (z. B. 2FA-Codes, Passwörter) angereichert wurden.

4.1. Leistungskennzahlen

Bewahrung aufgabenkritischer Knoten (TCNP): MINIM behält 94,91 % des aufgabenkritischen Kontextes und 99,31 % der aufgabenkritischen interaktiven Elemente (TCNP-I) bei.
Aufgabenirrelevante sensible Preisgabe (TISL): MINIM reduziert die sensible Preisgabe auf 0,101 (normalisiert), was etwa 10 % der bei vollen Beobachtungen beobachteten Preisgabe entspricht. Dies ist eine Reduktion um 50 % gegenüber einer „Nur-Notwendigkeit“-Baseline (0,2032) und übertrifft „Nur-Sensitivität“- oder „Zufalls“-Baselines deutlich.

4.2. Vergleich mit LLM-Baselines

Die Autoren verglichen MINIM mit mehreren Open-Weight Large Language Models (LLMs), die als Scorer gepromptet wurden.

LLM-Limitierungen: Während allgemeine LLMs eine hohe Nützlichkeit erreichten (TCNP-I $\approx$ 0,99), wiesen sie eine signifikant höhere Preisgabe auf (TISL zwischen 0,194 und 0,312). Sie neigten dazu, neben nützlichen Elementen auch aufgabenirrelvante sensible Inhalte beizubehalten.
Effizienz: MINIM behielt nur 12 % der Knoten bei (im Vergleich zu ~26–35 % bei LLMs) und erreichte dabei eine vergleichbare oder überlegene Aktuierungs-Recall. Dies verdeutlicht, dass allgemeines Instruction-Tuning die kontextabhängige Minimierung nicht inhärent erzwingt.

4.3. Ablation und Robustheit

Wert der Abstraktion: Das Ersetzen der Aktion „Abstrahieren“ (A) durch „Entfernen“ (R) führte zu einem Abfall des Aktuierungs-Recalls (TCNP-I) von 0,9931 auf 0,9650, was zeigt, dass die Bewahrung struktureller Affordanzen bei gleichzeitiger Maskierung von Werten entscheidend für die Aufgabenausführung ist.
Aufgabensemantik: Das Modell passte seine Kompressionsrate basierend auf dem Aufgabentyp an, indem es für „Sensible/Admin“-Aufgaben mehr Knoten (15,84 %) beibehielt als für „Informations“-Aufgaben (8,66 %), um sicherzustellen, dass Sicherheitsflüsse funktional bleiben.

5. Bedeutung und Ansprüche

Das Paper behauptet, dass MINIM demonstriert, dass starke Datenschutzgarantien mit zuverlässiger Agenten-Aktuierung koexistieren können. Durch den Wechsel vom „Share-First“-Paradigma zum „Need-to-Know“-Paradigma mittels vertrauenswürdiger lokaler Sanitisierung adressiert MINIM die „Privacy Judgment-Action Gap“, bei der Agenten versäumen, Kontext zu schützen, selbst wenn dieser als sensibel erkannt wird.

Die Autoren betonen, dass ihr Ansatz repräsentationsagnostisch ist; obwohl er auf Accessibility Trees evaluiert wurde, lässt sich der CI-getriebene strukturelle Scoring-Mechanismus auf andere strukturierte Beobachtungsformate (DOM, Szenengraphen, Tool-Schemas) übertragen. Sie positionieren MINIM nicht als vollständige Sicherheitslösung gegen aktive Angreifer, sondern als kritische Komponente zur Risikominderung im Beobachtungskanal autonomer Agenten, um deren sicheren Einsatz in privatsphärensensiblen Umgebungen zu ermöglichen.