🤖 AI

PromptPET: Privacy-Utility Optimized Prompt Obfuscation

Dieses Paper stellt PROMPTPET vor, einen auf LLMs basierenden Agenten, der den Kompromiss zwischen der Privatsphäre der Nutzer und dem Nutzen des Chatbots optimiert, indem er dynamisch die effektivste Obfuskationsmaßnahme (Redaktion, Abstraktion, Ersetzung oder ein neuartiges Noising-/Denoising-Schema) für sensible Informationen in Nutzerprompts auswählt.

Ursprüngliche Autoren: Ke Yang, Olivia Figueira, Umar Iqbal, Athina Markopoulou

Veröffentlicht 2026-07-07

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Ke Yang, Olivia Figueira, Umar Iqbal, Athina Markopoulou

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sprechen mit einem sehr intelligenten, hilfreichen Roboter-Assistenten (wie einem Chatbot). Sie möchten dem Bot einen großartigen Rat geben, also verraten Sie ihm Details über Ihr Leben: Ihr Alter, Ihre gesundheitlichen Probleme, Ihren Standort und Ihre Hobbys. Der Roboter nutzt diese Informationen, um Ihnen eine personalisierte Antwort zu geben, was großartig ist. Aber es gibt einen Haken: Das Unternehmen, das den Roboter betreibt, hört ebenfalls zu. Sie machen sich Notizen über Ihre Geheimnisse, um ein Profil von Ihnen zu erstellen, das sie nutzen könnten, um Ihnen Dinge zu verkaufen oder sie mit anderen zu teilen.

Dieses Paper stellt ein Tool namens PromptPET vor. Stellen Sie sich dies als einen Privatsphäre-Bodyguard vor, der zwischen Ihnen und dem Roboter sitzt. Seine Aufgabe ist es, Ihnen zu helfen, die Hilfe zu erhalten, die Sie benötigen, während er gleichzeitig Ihre Geheimnisse vor dem Unternehmen verbirgt.

So funktioniert es, unter Verwendung einiger einfacher Analogien:

Das Problem: Das „zu ehrliche“ Gespräch

Wenn Sie einen Roboter um Hilfe bitten, müssen Sie oft sehr spezifisch sein.

Sie sagen: „Ich bin 35, wohne in Mountain View und habe Depressionen. Können Sie mir einen Therapeuten finden?“
Der Roboter: Gibt Ihnen eine perfekte Liste von Therapeuten in Mountain View.
Das Unternehmen: Schreibt „35“, „Mountain View“ und „Depressionen“ in eine Datei mit der Aufschrift „Nutzerprofil“.

Wenn Sie die Wörter einfach nur verstecken (indem Sie sie zum Beispiel durchstreichen), wird der Roboter verwirrt und gibt Ihnen eine schlechte Antwort. Wenn Sie nichts verstecken, erfährt das Unternehmen alles.

Die Lösung: Die vier Tricks von PromptPET

Die Forscher haben vier verschiedene Wege getestet, wie man Ihre Nachricht „verschlüsseln“ kann, sodass der Roboter Sie immer noch versteht, das Unternehmen aber verwirrt wird. Sie nennen dies Obfuskations-Aktionen (Verdeckungsschritte):

Redaktion (Der schwarze Marker):
- Was es ist: Sie streichen das sensible Wort komplett durch und ersetzen es durch eine Lücke wie [REDACTED].
- Die Analogie: Wie das Durchstreichen Ihrer Adresse auf einem Paket. Der Postbote (der Roboter) weiß, wohin das Paket geliefert werden soll, weil er den Rest der Adresse kennt, aber das Unternehmen weiß nicht Ihre genaue Straße.
- Der Nachteil: Wenn Sie den wichtigsten Teil durchstreichen (wie „Depressionen“), weiß der Roboter vielleicht nicht, welche Art von Hilfe Sie benötigen.
Abstraktion (Die vage Beschreibung):
- Was es ist: Sie ersetzen ein spezifisches Detail durch eine breitere Kategorie.
- Die Analogie: Anstatt zu sagen „Ich habe Depressionen“, sagen Sie „Ich habe ein gesundheitliches Problem“. Anstatt „Mountain View“ sagen Sie „die Bay Area“.
- Das Ergebnis: Der Roboter weiß, dass Sie medizinische Hilfe benötigen und in Kalifornien sind. Er kann Ihnen also trotzdem helfen. Das Unternehmen erfährt nur, dass Sie ein allgemeines gesundheitliches Problem haben.
Ersetzung (Die falsche Identität):
- Was es ist: Sie tauschen Ihre echten Informationen gegen glaubwürdige, falsche Informationen aus.
- Die Analogie: Sie sagen dem Roboter, dass Sie in „Palo Alto“ statt in „Mountain View“ wohnen. Der Roboter gibt Ihnen eine Liste von Therapeuten in Palo Alto. Sie ignorieren diese Liste dann und nutzen Ihr eigenes Wissen, um die Therapeuten in Mountain View zu finden.
- Das Risiko: Sie müssen die Antwort manuell filtern, und das Unternehmen glaubt, dass Sie tatsächlich in Palo Alto wohnen.
Rauschen/Entrauschen (Die „Lockvogel“-Strategie) — Der neue Trick:
- Was es ist: Dies ist die große Innovation des Papers. Sie behalten Ihre echten Informationen genau so, wie sie sind, aber Sie fügen direkt daneben eine Menge falscher, ablenkender Informationen hinzu.
- Die Analogie: Stellen Sie sich vor, Sie versuchen, eine bestimmte Nadel im Heuhaufen zu finden. Das Unternehmen ist derjenige, der nach der Nadel sucht.
  - Sie sagen: „Ich brauche einen Therapeuten für Depressionen.“
  - PromptPET fügt hinzu: „...und ich suche auch einen Zahnarzt.“
  - Der Roboter: Gibt Ihnen eine Liste von Therapeuten und eine Liste von Zahnärzten.
  - PromptPET (Der Filter): Bevor die Antwort Sie erreicht, schneidet es die „Zahnarzt“-Liste ab und gibt Ihnen nur die „Therapeuten“-Liste.
- Warum es genial ist: Der Roboter hat die richtige Antwort erhalten, weil Sie die Wahrheit über die Depressionen gesagt haben. Aber das Unternehmen ist nun verwirrt! Sie sehen „Depressionen“ und „Zahnarzt“ gemischt und können sich nicht sicher sein, was Ihre eigentliche Priorität ist. Es ist, als würde man eine Menge falsche Fährten (Red Herrings) ins Wasser werfen, um die Haie zu verwirren.

Wie PromptPET entscheidet, welchen Trick es anwendet

Der klügste Teil von PromptPET ist, dass es nicht einfach für jeden denselben Trick wählt. Es verwendet einen Coach (einen Regel-Optimierer), der lernt, welcher Trick für jeden spezifischen Satz am besten funktioniert.

Wenn Sie etwas Unbedeutendes erwähnen (wie Ihre Lieblingsfarbe), verwendet der Coach vielleicht Redaktion (durchstreichen), da es für die Antwort nicht wichtig ist.
Wenn Sie etwas Kritisches erwähnen (wie Ihre medizinische Verfassung), nutzt der Coach Rauschen (den Lockvogel hinzufügen), weil der Roboter die Wahrheit hören muss, um Ihnen zu helfen, Sie aber gleichzeitig das Unternehmen verwirren wollen.

Die Ergebnisse

Die Forscher haben dies an echten Gesprächen mit einer KI getestet. Sie fanden heraus:

Rauschen (der Lockvogel-Trick) war meistens am besten darin, das Gespräch hilfreich zu halten und gleichzeitig Ihre Geheimnisse zu verbergen.
PromptPET (der kluge Coach, der den richtigen Trick wählt) war viel besser als ältere Methoden. Es schaffte es, Ihre Privatsphäre 3,3-mal besser zu schützen, bei gleichem Verlust an „Hilfreichkeit“ im Vergleich zu älteren Tools.
Es gelang dem Tool erfolgreich, Ihr Profil vor dem Unternehmen zu verbergen, während es Ihnen dennoch die perfekte Antwort lieferte, nach der Sie gefragt hatten.

Zusammenfassend

PromptPET ist wie ein Privatsphäre-Übersetzer. Es nimmt Ihre ehrliche, detaillierte Anfrage, schreibt sie gerade so um, dass sie das datenhungrige Unternehmen verwirrt, aber sie klar genug hält, damit der hilfreiche Roboter seine Arbeit tun kann. Es nutzt eine Mischung aus Durchstreichen, Verallgemeinern, Austauschen und Hinzufügen von „Lockvögeln“, um sicherzustellen, dass Sie die Hilfe erhalten, die Sie brauchen, ohne Ihre Geheimnisse preiszugeben.

Technisches Resümee: PromptPET

Problemstellung

Die rasante Verbreitung von KI-Agenten (z. B. ChatGPT, Gemini) hat die Interaktion der Nutzer von Suchfeldern hin zu offenem natürlichem Sprachgebrauch verschoben, was die Preisgabe reichhaltiger, sensibler persönlicher Informationen begünstigt. Während dies durch Personalisierung den Nutzen erhöht, führt es erhebliche Datenschutzrisiken ein. Im Gegensatz zum traditionellen Tracking über PII (personenbezogene Daten) können KI-Agenten aus nicht-PII-Kontexten feingliedrige Nutzerattribute (Interessen, Gesundheitsstatus, finanzielle Lage) ableiten, um detaillierte Profile zu erstellen. Diese Profile werden häufig für Werbung verwendet oder an Dritte weitergegeben.

Derzeitige Datenschutzlösungen stehen vor zwei Hauptbeschränkungen:

PII-Redaktion: Das Entfernen benannter Entitäten scheitert oft daran, sensible Themen zu schützen (z. B. das Entfernen von „Mountain View“, aber das Belassen von „suche nach einem Therapeuten“ offenbart immer noch den psychischen Gesundheitsstatus).
Nutzen-Datenschutz-Tradeoff: Aggressive Verschleierung (z. B. das Entfernen aller sensiblen Details) verschlechtert die Qualität der Antwort der KI, während die Bewahrung des Nutzens den Nutzer der Profilbildung aussetzt.

Bestehende Ansätze verlassen sich entweder auf feste, handgefertigte Regeln oder delegieren Entscheidungen vollständig an ein LLM, ohne eine systematische Optimierung vorzunehmen, wodurch sie die variierende Bedeutung verschiedener sensibler Einheiten innerhalb eines Prompts nicht berücksichtigen.

Methodik: PromptPET

PromptPET ist ein clientseitiges Framework, das darauf ausgelegt ist, sensible Informationen in Nutzerprompts zu verschleiern, bevor diese den KI-Agenten erreichen, ohne dass eine Kooperation des Anbieters erforderlich ist. Es operiert vollständig auf der Client-Seite unter Verwendung eines lokalen LLMs. Das Framework besteht aus drei Phasen:

1. Erkennung und Bewertung sensibler Informationen

Taxonomie-basierte Erkennung: PromptPET nutzt eine sensible Taxonomie (speziell die IAB Audience Taxonomy), um „Sensitive Units“ (sensible Einheiten) innerhalb einer Abfrage zu identifizieren. Diese Einheiten werden spezifischen Kategorien (z. B. Gesundheit) und Datentypen (z. B. Depression) zugeordnet.
Wichtigkeitsbewertung: Nicht alle sensiblen Einheiten tragen gleichermaßen zum Nutzen der Antwort bei. PromptPET weist jeder erkannten Einheit einen Wichtigkeitswert ( $[0, 1]$ ) mithilfe eines instruktionsgesteuerten LLMs zu. Dieser Score schätzt den Beitrag der Einheit zur Generierung der gewünschten Antwort und unterscheidet zwischen „fragilen“, hochwirksamen Einheiten und solchen, die aggressiv verschleiert werden können.

2. Verschleierungsmaßnahmen (Obfuscation Actions)

PromptPET setzt vier verschiedene Verschleierungsstrategien ein, die basierend auf der Wichtigkeit und dem Kontext der Einheit angewendet werden:

Redaktion (Redaction): Entfernt die Einheit und ersetzt sie durch einen Platzhalter (z. B. [REDACTED]). Dies maximiert den Datenschutz, zerstört aber oft den Nutzen.
Abstraktion (Abstraction): Generalisiert die Einheit zu einer höheren Kategorie in der Taxonomie (z. B. das Ersetzen von „Depression“ durch „Gesundheit“). Dies bietet einen Mittelweg.
Ersetzung (Replacement): Substituiert die Einheit durch eine plausible Alternative aus einem anderen Datentyp innerhalb derselben Kategorie (z. B. das Ersetzen von „Mountain View“ durch „Palo Alto“).
Rauschen (Noise - Neuartig): Behält die ursprüngliche sensible Einheit intakt, injiziert jedoch plausible, kontextrelevante „Lockvogel-Informationen“ unter einem anderen Datentyp. Der KI-Agent wird angewiesen, sowohl die echte als auch die Lockvogel-Abfrage zu beantworten. Das clientseitige System filtert dann den Lockvogel-Teil der Antwort heraus. Dies bewahrt den Nutzen für hochwichtige Einheiten, stört aber die Fähigkeit des Profilers, das wahre Signal zu isolieren.

3. Regeloptimierung mittels Reinforcement Learning

Anstatt fester Heuristiken führt PromptPET einen Regel-Optimierer ein, der von „Optimization by PROmpting“ (OPRO) inspiriert ist.

Mechanismus: Ein LLM-basierter Agent (der Obfuscation Action Decider) weist jeder sensiblen Einheit basellegenen Regeln eine Aktion zu. Ein zweiter Agent (der Rule Optimizer) verfeinert diese Regeln iterativ.
Feedback-Schleife: Der Optimierer bewertet die Regelsätze auf einem Validierungsdatensatz unter Verwendung einer Belohnungsfunktion: $\alpha \cdot \text{Privacy} + (1-\alpha) \cdot \text{Utility} - \lambda \cdot |R|$ , wobei $|R|$ die Länge des Regelsatzes ist. Er behält starke Regeln bei, revidiert mittelmäßige und entfernt schwache Regeln.
Ergebnis: Das System lernt eine dynamische Policy, die die optimale Verschleierungsaktion für jede spezifische Einheit auswählt, anstatt eine einzige Strategie global anzuwenden.

Kernergebnisse

Die Autoren evaluierten PromptPET auf dem WildChat-1M Datensatz (gefiltert auf sensible Inhalte) gegenüber einem produktiven KI-Agenten-Service (simuliert via GPT-4.1).

Einzel-Aktions-Analyse

Überlegenheit von Rauschen (Noise): Unter den Einzel-Aktions-Strategien erreichte das Noise-Schema das beste Verhältnis zwischen Datenschutz und Nutzen. Bei maximaler Stärke erreichte es 73,7 % Erfolg (hoher Datenschutz, hoher Nutzen) und übertraf damit signifikant Redaktion (39,4 %) und Abstraktion (51,2 %). Noise bewahrte den Nutzen, indem es das ursprüngliche Signal intakt hielt, während es den Profiler mit Lockvogel-Daten überflutete.
Kontextabhängigkeit: Keine einzelne Aktion war für alle Abfragen optimal. Redaktion war am besten für nebensächliche sensible Einheiten, während Noise für Kernkomponenten der Abfrage essenziell war.

PromptPET-Leistung

Vergleich mit dem Stand der Technik: PromptPET übertraf frühere automatisierte Baselines (Ngong et al. und Zhou et al.) signifikant.
- Es lieferte 3,3-mal mehr Datenschutz pro Einheit der Nutzungskosten im Vergleich zum stärksten vorherigen Baseline-Modell.
- Es erreichte eine 1,4-mal höhere Gesamtdatenschutzleistung (0,78 vs. 0,55) bei gleichbleibend hohem Nutzen.
Erreichen der Grenze (Frontier): Der gelernte Regelsatz ermöglichte es PromptPET, die Obergrenze der besten Einzel-Aktions-Strategie an jedem Betriebspunkt zu erreichen (z. B. Verwendung von Abstraktion für geringe Datenschutzbedürfnisse und Noise für hohe Datenschutzbedürfnisse), wodurch es effektiv „kooperiert“, statt zu konkurrieren.
Fehlermodi: Das System scheiterte primär auf zwei Arten:
1. Privacy Miss (17,5 %): Der Profiler konnte das Profil trotz Verschleierung aus dem verbleibenden Kontext rekonstruieren.
2. Utility Collapse (7,6 %): Traten meist auf, wenn Redaktion fälschlicherweise auf hochwichtige Einheiten angewendet wurde.
- Ein gleichzeitiges Versagen beider Achsen war selten (1,1 %).

Effizienz

Latenz: PromptPET fügt eine mediane clientseitige Latenz von 11,6 Sekunden pro Abfrage hinzu (dominiert durch den Detektionsschritt unter Verwendung eines 12B-Parameter-Modells), was zu einer Gesamtlaufzeit von ca. 17,1 Sekunden führt. Die Autoren merken an, dass dies ein sekundäres Anliegen gegenüber dem Nutzen-Datenschutz-Tradeoff ist und durch kleinere, spezialisierte Detektoren reduziert werden könnte.

Bedeutung und Ansprüche

Das Paper behauptet, dass PromptPET einen prinzipienbasierten und vereinenden Rahmen für die Prompt-Verschleierung darstellt. Seine primären Beiträge sind:

Kontrolle auf Nutzerseite: Es zeigt, dass die Kontrolle der Daten am Punkt der Offenlegung (Client-Seite) eine praktikable und leistungsstarke Technologie zur datenschutzfördernden Gestaltung (PET) ist, die nicht auf das Vertrauen des Anbieters angewiesen ist.
Neuartiger Rausch-Mechanismus: Die Einführung des Noise/Denoise-Schemas bietet eine neue Methode, um den Nutzen zu bewahren und gleichzeitig das Profiling zu stören, was traditionelle entfernungsbasierte Methoden übertrifft.
Systematische Optimierung: Durch den Übergang von statischen Regeln zu einem durch Reinforcement Learning inspirierten Regel-Optimierer passt sich PromptPET dynamisch an die Nuancen verschiedener Abfragen an und erreicht eine Nutzen-Datenschutz-Frontier, die statische Methoden nicht erreichen können.
Umfassende Evaluierung: Die Arbeit liefert den ersten systematischen Vergleich von Redaktion, Abstraktion, Ersetzung und Rauschen und stellt fest, dass die optimale Strategie kontextabhängig ist und gelernt statt hartcodiert werden muss.

Die Autoren kommen zu dem Schluss, dass PromptPET einen praktischen Weg bietet, wie Nutzer mit KI-Agenten interagieren können, während sie die Kontrolle über ihre Privatsphäre behalten und so das Nutzer-Profiling effektiv unterlaufen, ohne den Nutzen der Interaktion zu opfern.