技術的概要：マルチターン LLM エージェントのための依存関係認識型プライバシー

問題定義

大規模言語モデル（LLM）エージェントを医療、金融、法務などの機密分野に統合することは、新たなプライバシー攻撃対象領域を生み出します。ユーザーは、モデルコンテキストプロトコル（MCP）などのプロトコルを介して複数の外部サービスと対話するエージェントにタスクを委任します。マルチターンワークフローにおいて、攻撃者は独立したデータ公開を組み合わせることで、ユーザーの機密属性を再構成できます。

既存のサンプリング手法であるPrϵmptやCAPEは、メトリック差分プライバシー（mDP）に依存していますが、各データ公開を独立して扱っています。この独立性の仮定は、マルチターンシナリオでは機能しません。

1. ** benign な漏洩（Benign Leakage）：** クロスプラットフォームの冗長性（同じルート値を 2 つのサービスに送信する）または構造的な冗長性（ルート値と派生値を別々に送信する）により、プライバシー予算はサービス数または派生関数の数に比例して線形に増大します。
2. 敵対的な漏洩（Adversarial Leakage）： 攻撃者は、ノイズを平均化（$1/\sqrt{q}$）するために繰り返しクエリを強制したり、任意の派生関数を要求したりできます。医療や金融のワークフローで一般的にみられる非線形関数（例：BMI、FIB-4）の場合、派生値の独立したノイズ付与は、関数のリプシッツ定数（$L$）によって基盤となるルート値の識別可能性を増幅させ、名目のプライバシーパラメータを桁違いに超える可能性があります。

核心的な問題は、公開間の依存関係を追跡しない限り、漏洩が benign か悪意のあるものかを問わず、すべての追加的な相互作用が名目の予算を超えてユーザーのプライバシーを劣化させることです。

手法：RootGuard

著者は、マルチターン型エージェント相互作用向けに設計された依存関係認識型のプライバシーメカニズムRootGuardを提案します。その中核原理は、機密性の高い「ルート」値を正確に 1 回だけサンプリングし、すべての後続の公開をこれらのノイズ付与されたルートから決定論的に計算することです。

システムアーキテクチャ

1. 初期化： ユーザーエージェントは機密性の高いルート値（$X$）を特定し、差分プライバシーメカニズム（$M_\epsilon$）を用いて 1 回だけサンプリングします。これらのノイズ付与された値（$\hat{X}$）は、サンプリング済みキャッシュに保存されます。
2. ターンごとの操作： 攻撃者が値を要求した場合：
   • ルート値の要求であれば、キャッシュされたノイズ付与された値が返されます。
   • 派生値の要求であれば、キャッシュされたノイズ付与されたルートから決定論的に計算されます。
   • 初期化後、新しいノイズは生成されません。
3. 信頼境界： 攻撃者はサンプリング済みキャッシュのみと対話します。差分プライバシーの事後処理定理により、攻撃者の視覚は、ターン数（$t$）や要求された関数（$f$）に関わらず、初期ルートサンプリング以上の情報を提供しません。

構造的知識の活用

RootGuard は、保証を弱めることなくプライバシーと有用性のトレードオフを最適化するために、公開ドメインの知識を利用します。

• レベル 1（ルート間依存関係）： 宣言されたルートが他のルートの決定論的関数である場合（例：身長と体重からの BMI）、エージェントは真の独立ルートを特定します。依存ルートはノイズ付与された親から再計算され、追加コストなしでプライバシーを継承します（定理 3）。
• レベル 2（ターゲット感度）： 中間ターゲット関数$g$（例：FIB-4 などの臨床式）が既知の場合、エージェントはターゲットに対する感度に基づいてルートにプライバシー予算$\epsilon_i$を割り当てます。割り当ては感度重み付け則に従います：$\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$。ここで$h_i$はターゲット関数のルート$i$に関する偏微分、$D_i$はドメイン幅です。これにより、最終的な臨床判断における期待誤差が最小化されます。

理論的保証

• 定理 1（DAG プライバシー保証）： プライバシー保証はルートサンプリングパラメータのみに依存し、攻撃者が選択する関数や相互作用のターン数には依存しません。
• 定理 2（識別可能性の増幅）： 派生値に独立してノイズを付与すると、関数のリプシッツ定数$L$によって親ルート値の識別可能性が増幅されることを証明します。
• 定理 3（暗黙のプライバシー）： ルートにノイズを付与し、それらを事後処理して値を導出することは、派生値に直接ノイズを付与するのと同等かそれ以上のプライバシーを提供することを証明します。

主要な貢献

1. マルチターン型エージェントプライバシーの形式化： マルチターン相互作用におけるプライバシーゲームを形式化し、RootGuard の保証が攻撃者のクエリ数や関数の選択に対して不変であることを証明しました。
2. 増幅と継承の証明： 派生値の独立したノイズ付与がプライバシー損失を増幅すること（定理 2）と、協調的なルートノイズ付与により派生値が無料でプライバシーを継承できること（定理 3）を実証しました。
3. 感度重み付け割り当て： ターゲット関数の感度に基づいてプライバシー予算を割り当てる手法を提案し、形式的な保証を維持しながらターゲット誤差を最小化しました。
4. 実証的検証： NHANES データに由来する 8 つの医療診断テンプレートと、完全なエンドツーエンド LLM 展開（GPT-5.4 nano）における広範な実験により、メカニズムを検証しました。

実験結果

評価は、独立したノイズ付与（M-All）に対する RootGuard 設定（M-Roots、M-Opt）を、3 つの研究質問（RQ）にわたって比較しました。

RQ1：ターゲット有用性

• 指標： 加重平均絶対百分率誤差（wMAPE）およびリスククラス誤差（RCE）。
• 結果： RootGuard は独立したノイズ付与を大幅に上回ります。$\epsilon = 0.1$かつ予算$B = (2k+1)\epsilon$において、M-Opt は M-All と比較して wMAPE が2.6 倍低い（7.8% 対 20.3%）、リスククラス誤差が2.2 倍低い（7.0% 対 15.7%）ことを達成しました。
• 二重非対称性： 攻撃者がターン数（$t$）を強制するにつれて、RootGuard の有用性は向上します（ルートあたりの利用可能な予算が増えるため）。一方、M-All のプライバシーは劣化します（独立した観測の蓄積のため）。

RQ2：再構成攻撃

• 指標： 最大事後確率（MAP）攻撃者下での再構成 wMAPE。
• 結果： M-All の下では、再構成誤差はクエリ数（$q$）の増加とともに減少します（例：$\epsilon_r=0.1$で$q$が 1 から 16 に増加するにつれ、10.2% から 3.2% に低下）。RootGuard の下では、再構成誤差は$q$に対して不変です。なぜなら、繰り返しクエリは同じキャッシュされた値を返すためです。

RQ3：構造的分析

• 結果： RootGuard の利点は、ターゲット関数がルートノイズを減衰させる「圧縮」式（例：FIB-4、HOMA）において最も顕著です。予算割り当ては予測されたべき乗則$\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$に従い、感度重み付け戦略を確認しました。

RQ4：エンドツーエンド展開

• 設定： GPT-5.4 nano エージェントを用いた 21,600 セッションにわたる実世界シミュレーション。
• 結果： メカニズムレベルの知見は LLM 展開に転移しました。パフォーマンスの順序（M-Opt > M-Roots > M-All）は維持され、セッションレベルのコンプライアンス違反はゼロ（解析エラーや不正な応答なし）でした。

意義と主張

本論文は、RootGuard がマルチターン型エージェント相互作用におけるプライバシーと有用性のトレードオフを根本的に変えることを主張します。ステートレスで独立したサンプリングから、ステートフルで依存関係認識型のアプローチへ移行することで、RootGuard は以下のことを保証します。

1. プライバシーは一定である： 攻撃者が強制するターン数や計算する関数に関わらず、攻撃者は追加情報を得られません。
2. ターン数とともに有用性が向上する： 追加の相互作用ターンにより、ルート全体に分配される総プライバシー予算が増大し、プライバシーリスクを増大させることなく精度が向上します。
3. 堅牢性： すべての公開が初期ノイズ付与ルートの事後処理であるため、このアプローチは敵対的プロンプトインジェクションや悪意のあるサービス設計の下でも機能します。

著者は、相関する機密値を含むマルチターンワークフローに対して独立したノイズ付与は根本的に不十分であり、高リスク分野での LLM エージェントの展開には依存関係認識型サンプリングが不可欠であると結論付けています。この研究は、ルート識別のための完全な固有表現認識（NER）を前提とし、構造化された数値データに焦点を当てており、自由形式のテキストやノイズの多い NER の統合は今後の課題としています。