Résumé technique : MosaicLeaks : Risques de confidentialité dans l'interrogation en milieu ouvert pour les agents de recherche approfondie

Définition du problème

Les agents de recherche approfondie sont de plus en plus déployés pour synthétiser des informations à partir de documents d'entreprise privés et d'outils externes (ex. : recherche web, API cloud). Bien que cette capacité améliore la performance des tâches, elle introduit un risque critique de confidentialité : les agents peuvent divulguer des informations internes sensibles via leurs appels d'outils externes. Ce risque est exacerbé par l'effet mosaïque, un phénomène où des requêtes individuelles paraissent anodines de manière isolée mais révèlent des attributs sensibles lorsqu'elles sont agrégées par un adversaire au fil du temps.

Les benchmarks et stratégies de mitigation existants échouent largement à traiter ce contexte spécifique. Les travaux antérieurs se concentrent sur les attributs personnels ou les tâches à un seul saut (single-hop), tandis que les benchmarks de recherche approfondie traitent souvent les sources d'informations locales et externes comme parallèles plutôt qu'interdépendantes. Par conséquent, les agents ne sont pas entraînés pour reconnaître que des requêtes externes dépendantes d'un contexte local peuvent reconstruire des données privées.

Méthodologie

1. Le Benchmark MosaicLeaks

Les auteurs introduisent MosaicLeaks, un benchmark comprenant 1 001 tâches de recherche approfondie multi-sauts conçues pour forcer la fuite de confidentialité.

• Construction des données : Le jeu de données entrelace des documents d'entreprise locaux (sourcés via DRBench) et du contenu web public (sourcé via BrowseComp-Plus). Les tâches sont structurées comme des chaînes multi-sauts où la réponse à une sous-question locale sert d'entité critique pour la requête web suivante (ex. : Local $\to$ Web $\to$ Local).
• Configuration de l'adversaire : Un modèle adverse (StepFun-3.5-Flash) observe uniquement la séquence cumulative de requêtes web générées par l'agent. Il ne voit pas les documents locaux ni le raisonnement interne de l'agent.
• Métriques de fuite : La fuite de confidentialité est évaluée selon trois niveaux de sévérité croissants :
  1. Fuite d'intention : L'adversaire peut-il prédire les questions de recherche spécifiques que l'agent poursuit ?
  2. Fuite de réponse : L'adversaire peut-il répondre à des questions privées spécifiques concernant les documents d'entreprise étant donné la séquence de requêtes ?
  3. Fuite d'information complète : L'adversaire peut-il générer des affirmations factuelles vérifiables et vraies sur les documents d'entreprise sans être sollicité par des questions spécifiques ?

2. Évaluation de référence (Baseline)

Les auteurs ont évalué six modèles open-source (incluant Qwen3, StepFun, GPT-OSS et Gemma) sur MosaicLeaks.

• Résultats : Les modèles ont fréquemment divulgué des informations aux trois niveaux.
• Limites du prompting : Le prompting zero-shot naïf (instruire les agents d'éviter la fuite) a légèrement réduit la fuite mais n'a pas réussi à l'éliminer. Dans certains cas, il a simplement réduit le nombre de requêtes plutôt que d'améliorer la confidentialité du texte de la requête.
• Compromis Performance vs Confidentialité : Entraîner les agents uniquement pour la performance des tâches via l'apprentissage par renforcement (RL) a amélioré la précision mais a considérablement aggravé la fuite de confidentialité, car les agents ont appris à inclure des détails plus spécifiques (et donc plus révélateurs) dans leurs requêtes pour garantir le succès de la récupération.

3. Solution proposée : Recherche Approfondie Sensible à la Confidentialité (PA-DR)

Pour remédier au compromis fuite-performance, les auteurs proposent PA-DR, un cadre d'apprentissage par renforcement qui optimise à la fois le succès de la tâche et la préservation de la confidentialité.

• Récompenses situationnelles : Contrairement au RL standard basé sur le résultat qui fournit une récompense unique à la fin d'une trajectoire, PA-DR utilise des récompenses situationnelles pour fournir une attribution de crédit dense. Les récompenses sont calculées par saut et par étape (Planification, Choix) en fonction de la capacité de l'agent à récupérer la bonne source de document ou à sélectionner le document cible.
• Pénalité de confidentialité : Un classificateur binaire léger (entraîné sur 26 734 exemples étiquetés) estime la probabilité de fuite étant donné un lot de requêtes web. La fonction de récompense incorpore une pénalité dérivée de ce classificateur :
  • Fuite directe : Pénalise le lot actuel de requêtes si elles divulguent des informations par elles-mêmes.
  • Fuite mosaïque : Pénalise le lot actuel en fonction de sa contribution à la fuite cumulative de l'ensemble de la trajectoire.
  • La récompense de confidentialité finale est définie par $r_{privacy} = -\max(c_{direct}, c_{mosaic})$, où les coûts sont dérivés de la probabilité de fuite prédite par le classificateur.
• Entraînement : Le framework entraîne le modèle Qwen3-4B-Instruct en utilisant le PipelineRL, optimisant conjointement les récompenses de tâche situationnelles et la pénalité de confidentialité.

Résultats clés

• Gains de performance : L'entraînement avec PA-DR a amélioré le taux de succès strict de la chaîne de Qwen3-4B-Instruct de 48,7 % (baseline) à 58,7 %.
• Réduction de la fuite : Ce même entraînement a réduit la fuite de réponse et la fuite d'information complète de 34,0 % à 9,9 %.
• Optimisation combinée : En étant combiné avec un prompt sensible à la confidentialité, le modèle PA-DR a atteint 59,3 % de précision de chaîne avec seulement 7,6 % de fuite.
• Analyse comportementale : Contrairement au prompting, qui réduisait la fuite en effectuant simplement moins de requêtes, PA-DR a entraîné les modèles à effectuer plus de requêtes mais avec un texte sémantiquement moins révélateur. Les modèles ont appris à récupérer les documents nécessaires tout en omettant des détails spécifiques (ex. : "15 %") ou des types de réponses dans le texte de la requête, brisant ainsi le lien sémantique dont l'adversaire a besoin pour reconstruire des faits privés.
• Comparaison : PA-DR repousse la frontière de Pareto, atteignant une précision plus élevée et une fuite plus faible simultanément par rapport aux modèles entraînés uniquement pour la performance des tâches ou ceux utilisant le RL standard basé sur le résultat.

Signification et contributions

L'article apporte trois contributions principales :

1. Benchmark MosaicLeaks : Un nouveau cadre d'évaluation qui teste explicitement les agents de recherche approfondie sur des questions multi-sauts avec de fortes dépendances entre informations locales et externes, capturant l'effet mosaïque dans les contextes d'entreprise.
2. Analyse empirique : Une démonstration que les agents de recherche approfondie standards divulguent fréquemment des données d'entreprise et que l'optimisation de la seule performance des tâches exacerbe ce risque. Il démontre également que les interventions basées sur le prompting sont insuffisantes pour cette tâche.
3. Framework PA-DR : Une formulation rigoureuse de l'entraînement d'agent sensible à la confidentialité comme un objectif conjoint. En utilisant un classificateur de confidentialité appris pour fournir une attribution de crédit dense sur la fuite par requête et au niveau de la mosaïque, les auteurs montrent qu'il est possible d'entraîner des agents qui sont à la fois hautement précis et respectueux de la confidentialité.

Les auteurs concluent que bien que les agents actuels soient sujets à la fuite mosaïque, l'entraînement par RL avec des récompenses de confidentialité situationnelles offre une voie viable pour déployer des agents de recherche approfondie dans des environnements d'entreprise sensibles sans compromettre la sécurité des données.