技術要約：MosaicLeaks：ディープリサーチ・エージェントにおけるクエリ実行時のプライバシーリスク

問題定義

ディープリサーチ・エージェントは、企業のプライベートな文書や外部ツール（ウェブ検索、クラウドAPIなど）から情報を合成するために、ますます広く導入されています。この能力はタスクのパフォーマンスを向上させる一方で、重大なプライバシーリスクをもたらします。すなわち、エージェントが外部ツールへの呼び出しを通じて、機密性の高い内部情報を漏洩させてしまうリスクです。このリスクは、個々のクエリは単独では無害に見えても、攻撃者によって時間の経過とともに集計されると機密属性が明らかになるという「モザイク効果」によって増幅されます。

既存のベンチマークや緩和策は、主にこの特定の文脈に対処できていません。先行研究は個人の属性やシングルホップのタスクに焦点を当てており、ディープリサーチのベンチマークでは、ローカルの情報源と外部の情報源を、相互に依存するものではなく並列なものとして扱う傾向があります。その結果、エージェントは、ローカルな文脈に依存する外部クエリがプライベートなデータを再構成し得るということを認識するように訓練されていません。

手法

1. MosaicLeaks ベンチマーク

著者らは、情報の漏洩を強制するように設計された、1,001個のマルチホップ・ディープリサーチ・タスクからなるベンチマーク MosaicLeaks を導入しています。

• データ構築: このデータセットは、DRBenchに由来するローカルの企業文書と、BrowseComp-Plusに由来する公開ウェブコンテンツを交互に配置しています。タスクはマルチホップの連鎖として構成されており、ローカルのサブ質問に対する答えが、後続のウェブクエリにおける重要なエンティティ（実体）となるように設計されています（例：Local $\to$ Web $\to$ Local）。
• 敵対的設定: 敵対モデル（StepFun-3.5-Flash）は、エージェントが生成したウェブクエリの累積的なシーケンスのみを観察します。このモデルは、ローカル文書やエージェントの内部推論を見ることはできません。
• 漏洩メトリクス: プライバシー漏洩は、以下の3つの深刻度レベルにわたって評価されます：
  1. 意図の漏洩 (Intent Leakage): 攻撃者が、エージェントが追求している具体的な研究課題を予測できるか？
  2. 回答の漏洩 (Answer Leakage): クエリのシーケンスが与えられたとき、攻撃者が企業文書に関する特定のプライベートな質問に答えることができるか？
  3. フル情報の漏洩 (Full-Information Leakage): 攻撃者が、特定の質問を促されることなく、企業文書に関する検証可能で真実の事実的主張を生成できるか？

2. ベースライン評価

著者らは、6つのオープンソースモデル（Qwen3、StepFun、GPT-OSS、Gemmaを含む）をMosaicLeaks上で評価しました。

• 知見: モデルは頻繁にこれら3つのレベルすべてにおいて情報を漏洩させました。
• プロンプティングの限界: 素朴なゼロショット・プロンプティング（漏洩を避けるよう指示すること）は、漏洩をわずかに減少させましたが、それを排除するには至りませんでした。場合によっては、クエリのテキスト自体のプライバシーを改善するのではなく、単にクエリの数を減らすだけにとどまりました。
• パフォーマンスとプライバシーのトレードオフ: タスクのパフォーマンスのみを目的として強化学習（RL）を用いてエージェントを訓練すると、精度は向上しましたが、プライバシー漏洩は著しく悪化しました。これは、エージェントが検索の成功を確実にするために、より具体的（したがって漏洩しやすい）な詳細をクエリに含めることを学習するためです。

3. 提案手法：プライバシー配慮型ディープリサーチ (PA-DR)

この漏洩とパフォーマンスのトレードオフに対処するため、著者らは、タスクの成功とプライバシー保護の両方を最適化する強化学習フレームワークである PA-DR を提案しています。

• 状況に応じた報酬 (Situational Rewards): トラジェクティ（軌跡）の最後に単一の報酬を与える標準的な結果ベースのRLとは異なり、PA-DRは、正しい文書ソースを検索できたか、あるいはゴールドドキュメントを選択できたかに基づいて、ホップごとおよびステージ（Plan, Choose）ごとに密なクレジット割り当てを行う「状況に応じた報酬」を使用します。
• プライバシー・ペナルティ: 26,734個のラベル付きサンプルで訓練された軽量なバイナリ分類器が、一連のウェブクエリから漏洩の確率を推定します。報酬関数には、この分類器から導出されたペナルティが含まれます：
  • 直接的漏洩 (Direct Leakage): 現在のバッチのクエリ自体が情報を漏洩させている場合にペナルティを課します。
  • モザイク漏洩 (Mosaic Leakage): 現在のバッチが、トラジェクティ全体の「累積的な漏洩」にどの程度寄与しているかに基づいてペナルティを課します。
  • 最終的なプライバシー報酬は、$r_{privacy} = -\max(c_{direct}, c_{mosaic})$ と定義されます（ここで、$c$ は分類器の予測された漏洩確率から導出されるコストです）。
• 訓練: このフレームワークは、PipelineRLを使用してQwen3-4B-Instructモデルを訓練し、状況に応じたタスク報酬とプライバシー・ペナルティを共同で最適化します。

主な結果

• パフォーマンスの向上: PA-DRによる訓練により、Qwen3-4B-Instructの厳密なチェーン成功率は 48.7%（ベースライン）から 58.7% に向上しました。
• プライバシーの低減: 同様の訓練により、「回答の漏洩」および「フル情報の漏洩」は 34.0% から 9.9% に減少しました。
• 結合最適化: プライバシー配慮型のプロンプトと組み合わせた場合、PA-DRモデルは、わずか 7.6% の漏洩で 59.3% のチェーン精度を達成しました。
• 行動分析: プロンプティングがクエリ数を減らすことで漏洩を抑えたのに対し、PA-DRは、モデルにより多くのクエリを行わせつつも、そのテキストを意味的に漏洩しにくいものにするよう訓練しました。モデルは、必要な文書を検索しながらも、クエリテキストから特定の数値（例：「15%」）や回答のタイプを省略することを学習し、攻撃者がプライベートな事実を再構成するために必要な意味的な繋がりを断ち切りました。
• 比較: PA-DRは、タスクのパフォーマンスのみを目的とした訓練や標準的な結果ベースのRLを使用するモデルと比較して、精度と漏洩の低減を同時に達成するというパレート・フロンティアを押し上げています。

重要性と貢献

本論文の主な貢献は以下の3点です：

1. MosaicLeaks ベンチマーク: ローカルと外部の情報依存関係が強いマルチホップの質問を用いて、ディープリサーチ・エージェントを明示的にテストする新しい評価フレームワークであり、エンタープライズ環境におけるモザイク効果を捉えています。
2. 実証的分析: 標準的なディープリサーチ・エージェントが頻繁に企業データを漏洩させていること、およびタスクのパフォーマンスのみを最適化することがこのリスクを悪化させることを実証しました。また、プロンプティングによる介入がこのタスクには不十分であることも示しました。
3. PA-DR フレームワーク: プライバシー配慮型のエージェント訓練を、結合目的関数として principled（原理的）に定式化しました。学習されたプライバシー分類器を用いて、クエリごとおよびモザイクレベルの漏洩に対する密なクレジット割り当てを提供することで、高精度かつプライバシー保護に優れたエージェントを訓練できることを示しました。

著者らは、現在のエージェントはモザイク漏洩に対して脆弱ですが、状況に応じたプライバシー報酬を用いたRLベースの訓練は、データのセキュリティを損なうことなく、機密性の高いエンタープライズ環境にディープリサーチ・エージェントを導入するための実行可能な道筋を提供すると結論付けています。