Sintesi Tecnica: MosaicLeaks: Rischi di Privacy nella Querying-in-the-Open per Agenti di Ricerca Profonda

Definizione del Problema

Gli agenti di ricerca profonda (deep research agents) vengono sempre più impiegati per sintetizzare informazioni da documenti privati aziendali e strumenti esterni (es. ricerca web, API cloud). Sebbene questa capacità migliori le prestazioni nei compiti, introduce un rischio critico di privacy: gli agenti possono esporre informazioni interne sensibili attraverso le loro chiamate a strumenti esterni. Questo rischio è esacerbato dall'effetto mosaico, un fenomeno in cui singole query appaiono innocue se isolate, ma rivelano attributi sensibili quando aggregate da un avversario nel tempo.

I benchmark e le strategie di mitigazione esistenti falliscono ampiamente nel rispondere a questo specifico contesto. Il lavoro precedente si concentra su attributi personali o compiti a singolo passaggio (single-hop), mentre i benchmark di ricerca profonda trattano spesso le fonti di informazione locali ed esterne come parallele piuttosto che interdipendenti. Di conseguenza, gli agenti non sono addestrati a riconoscere che le query esterne dipendenti dal contesto locale possono ricostruire dati privati.

Metodologia

1. Il Benchmark MosaicLeaks

Gli autori introducono MosaicLeaks, un benchmark composto da 1.001 compiti di ricerca profonda multi-hop progettati per forzare la fuga di informazioni (leakage).

• Costruzione dei Dati: Il dataset intercala documenti aziendali locali (estratti da DRBench) e contenuti web pubblici (estratti da BrowseComp-Plus). I compiti sono strutturati come catene multi-hop in cui la risposta a una sotto-domanda locale funge da entità critica per la successiva query web (es. Locale $\to$ Web $\to$ Locale).
• Setup Avversariale: Un modello avversario (StepFun-3.5-Flash) osserva solo la sequenza cumulativa di query web generate dall'agente. Non vede i documenti locali né il ragionamento interno dell'agente.
• Metriche di Leakage: La fuga di informazioni è valutata attraverso tre livelli di severità crescente:
  1. Intent Leakage (Fuga di Intento): L'avversario può prevedere le specifiche domande di ricerca che l'agente sta perseguendo?
  2. Answer Leakage (Fuga di Risposta): L'avversario può rispondere a specifiche domande private riguardanti i documenti aziendali date la sequenza di query?
  3. Full-Information Leakage (Fuga di Informazione Totale): L'avversario può generare affermazioni fattuali vere e verificabili sugli documenti aziendali senza essere guidato da domande specifiche?

2. Valutazione Baseline

Gli autori hanno valutato sei modelli open-source (tra cui Qwen3, StepFun, GPT-OSS e Gemma) su MosaicLeaks.

• Risultati: I modelli hanno frequentemente esposto informazioni a tutti e tre i livelli.
• Limitazioni del Prompting: Il prompting zero-shot ingenuo (istruire gli agenti a evitare il leakage) ha ridotto leggermente la fuga, ma non è riuscito a eliminarla. In alcuni casi, ha semplicemente ridotto il numero di query piuttosto che migliorare la privacy del testo della query stessa.
• Trade-off Performance vs. Privacy: L'addestramento degli agenti esclusivamente per la performance del compito utilizzando il Reinforcement Learning (RL) ha migliorato l'accuratezza ma ha significativamente peggiorato il leakage di informazioni, poiché gli agenti hanno imparato a includere dettagli più specifici (e quindi più rivelatori) nelle loro query per garantire il successo del recupero (retrieval).

3. Soluzione Proposta: Privacy-Aware Deep Research (PA-DR)

Per affrontare il trade-off tra leakage e performance, gli autori propongono PA-DR, un framework di Reinforcement Learning che ottimizza sia il successo del compito che la preservazione della privacy.

• Ricompense Situazionali: A differenza del normale RL basato sull'esito (outcome-based) che fornisce un singolo premio alla fine di una traiettoria, PA-DR utilizza ricompense situazionali per fornire un assegnamento del credito denso. Le ricompense sono calcolate per ogni hop e per ogni fase (Plan, Choose) in base al fatto che l'agente abbia recuperato la fonte documentale corretta o selezionato il documento target (gold document).
• Penalità di Privacy: Un classificatore binario leggero (addestrato su 26.734 esempi etichettati) stima la probabilità di leakage data un batch di query web. La funzione di ricompensa incorpora una penalità derivata da questo classificatore:
  • Direct Leakage (Leakage Diretto): Penalizza l'attuale batch di query se queste espongono informazioni di per sé.
  • Mosaic Leakage (Leakage Mosaico): Penalizza l'attuale batch in base a quanto contribuisce al leakage cumulativo dell'intera traiettoria.
  • La ricompensa di privacy finale è definita come $r_{privacy} = -\max(c_{direct}, c_{mosaic})$, dove i costi sono derivati dalla probabilità di leakage predetta dal classificatore.
• Addestramento: Il framework addestra il modello Qwen3-4B-Instruct utilizzando PipelineRL, ottimizzando congiuntamente le ricompense situazionali del compito e la penalità di privacy.

Risultati Chiave

• Guadagni di Performance: L'addestramento con PA-DR ha migliorato il tasso di successo della catena rigorosa (strict chain success rate) di Qwen3-4B-Instruct dal 48,7% (baseline) al 58,7%.
• Riduzione del Leakage: Lo stesso addestramento ha ridotto l'Answer e Full-Information Leakage dal 34,0% al 9,9%.
• Ottimizzazione Combinata: Combinato con un prompt consapevole della privacy, il modello PA-DR ha raggiunto il 59,3% di accuratezza della catena con solo il 7,6% di leakage.
• Analisi del Comportamento: A differenza del prompting, che riduceva il leakage semplicemente effettuando meno query, PA-DR ha addestrato i modelli a effettuare più query ma con un testo semanticamente meno rivelatore. I modelli hanno imparato a recuperare i documenti necessari omettendo però dettagli specifici (es. "15%") o tipi di risposta dal testo della query, rompendo il legame semantico necessario all'avversario per ricostruire fatti privati.
• Confronto: PA-DR sposta la frontiera di Pareto, ottenendo contemporaneamente un'accuratezza più elevata e un leakage inferiore rispetto ai modelli addestrati solo per la performance del compito o che utilizzano lo standard outcome-based RL.

Significato e Contributi

Il documento apporta tre contributi primari:

1. Benchmark MosaicLeaks: Un nuovo framework di valutazione che testa esplicitamente gli agenti di ricerca profonda su domande multi-hop con forti dipendenze tra informazioni locali ed esterne, catturando l'effetto mosaico in contesti aziendali.
2. Analisi Empirica: Una dimostrazione del fatto che gli attuali agenti di ricerca profonda espongono frequentemente dati aziendali e che l'ottimizzazione della sola performance del compito esacerba questo rischio. Dimostra inoltre che le interazioni basate sul prompting sono insufficienti per questo compito.
3. Framework PA-DR: Una formulazione rigorosa dell'addestramento di agenti consapevole della privacy come un obiettivo congiunto. Utilizzando un classificatore di privacy addestrato per fornire un assegnamento del credito denso su leakage per singola query e a livello di mosaico, gli autori dimostrano che è possibile addestrare agenti che siano sia altamente accurati che preservanti della privacy.

Gli autori concludono che, sebbene gli agenti attuali siano soggetti al mosaic leakage, l'addestramento basato su RL con ricompense situazionali di privacy offre una via percorribile per implementare agenti di ricerca profonda in ambienti aziendali sensibili senza compromettere la sicurezza dei dati.