技術要約: MINIM - 信頼できるローカル・サニタイゼーションによる、エージェントのためのプライバシー配慮型最小表示

1. 問題提起: セマンティックな過剰特権的観測（Semantic Over-Privileged Observation）

現代の自律型エージェントは、デジタル環境と相互作用するために、構造化された観測データ（例：アクセシビリティツリー、DOM表現）にますます依存しています。これらの構造化されたインターフェースは、信頼性の高いアクション・グラウンディング（行動接地）のために豊かなセマンティックな文脈を提供しますが、現在のデプロイメント・パラダイムは「まず共有する」という設計思想に従っており、未加工のインターフェース状態全体をリモート推論サーバーに送信してしまいます。

著者らは、これを**「セマンティックな過剰特権的観測（Semantic Over-privileged Observation）」**と呼ぶ特定の失敗モードとして特定しています。このシナリオでは、エージェントは現在のユーザー・タスクに必要な要素だけでなく、タスクとは無関係な膨大な量のコンテキスト（例：サイドバーの通知、バックグラウンドのアプリケーションウィンドウ、無関係なブラウザタブ）も受け取ることになります。このような露出は、認証コード、プライベートな通知、行動の痕跡といった、機密性が高く、かつ不要な情報の漏洩を招き、プロファイリングに悪用される可能性があります。

既存のプライバシー・ソリューションは、この設定には適していません：

• タスクに依存しないフィルタリング（例：PII（個人識別情報）のマスキング）は、タスクに不可欠なコンテキストを削除してしまうリスクや、機密性の高い非PII属性を見逃すリスクがあります。
• **差分プライバシー（Differential Privacy）**は、確率的なノイズを導入するため、エージェントの確実な実行に必要な正確なセマンティック・キューを歪めてしまう可能性があります。
• 暗号学的手法（例：FHE、MPC）は計算を保護しますが、開示された状態からリモートサーバーが機密情報を推論することを防ぐことはできず、多くの場合、法外なレイテンシを伴います。

核心となる課題は、プライバシー要件が**タスクに条件付けられている（task-conditioned）**ことです。ある要素（例：2FAコード）は、あるタスクにとっては極めて重要ですが、別のタスクにとっては純粋な漏洩情報となります。

2. メソドロジー: MINIM フレームワーク

著者らは、クライアントデバイス上で事前開示最小化（pre-disclosure minimization）を実行する、信頼できるローカル・ブローカーであるMINIMを提案しています。MINIMは、エージェントの観測内容がデバイスを離れる前に、それをサニタイズする構造的なボトルネックとして機能します。このフレームワークは、**コンテクスト整合性（Contextual Integrity: CI）**に基づいており、「情報は、コンテキスト、アクター、属性、および伝送原則によって定義される規範に従って流れるべきである」という原則を具現化しています。

2.1. デュアル・スコア表現

MINIMは、学習済みモデルを用いて、構造化された観測（例：アクセシビリティツリーのノード）内の各要素に対して、2つのスカラー・スコアを予測します。

1. 固有感度スコア ($s$): 現在のタスクとは独立した、要素が持つ本質的な情報リスクを捉えます。
2. タスク条件付き必要性スコア ($n$): 特定のユーザー・タスク $T$ を完了するための、その要素の有用性を捉えます。

2.2. 学習目的関数

モデルは、CIを考慮した目的関数を用いて学習されます。これは、タスクの有用性制約を満たしつつ、コンテキストに不適切な情報の開示を最小化するように設計されています。損失関数は以下を組み合わせたものです：

• 感度損失 ($L_{sens}$): 本質的なリスクの予測誤差を最小化します。
• 必要性損失 ($L_{nec}$): タスクへの必要性の予測誤差を最小化しますが、これは感度によって重み付けされます。感度が高いにもかかわらずタスクに無関係なノードに対して損失が増幅され、不要な高リスク・コンテンツを特定できなかった場合にモデルに重いペナルティを与えます。

2.3. 三値開示ポリシー

デプロイ時には、予測されたスコアに基づき、各ノードを以下の3つのアクションのいずれかにマッピングする決定論的なポリシーが適用されます。

• 保持 (Keep: K): ノードが必要（$n \ge \tau_{nec}$）であり、かつ低リスク（$s < \tau_{sens}$）である場合。要素は変更なしで送信されます。
• 抽象化 (Abstract: A): ノードが必要（$n \ge \tau_{nec}$）であるが、高リスク（$s \ge \tau_{sens}$）である場合。機密属性はプレースホルダー（例：[REDACTED]）に置き換えられますが、構造的な役割（例：ボタンの構造は維持しつつ、2FAコードの値をマスクする）は保持されます。
• 削除 (Remove: R): ノードが不要（$n < \tau_{nec}$）である場合。要素は完全に削除（プルーニング）されます。

3. 主な貢献

1. 問題の定式化: 本論文は、構造化された入力を利用するエージェント・システムにおける明確なプライバシー・リスクとして「セマンティックな過剰特権的観測」を特定・定式化し、解決策として事前開示最小化を提案しました。
2. MINIM アーキテクチャ: コンテキスト・スコアリングとポリシー執行を分離した、信頼できるローカル・ブローカーを導入しました。これは、CI駆動の構造的スコアリングを用いて、「知る必要性（need-to-know）」に基づく開示ルールを強制するために、感度と必要性のデュアル・スコア・メカニズムを利用しています。
3. 実証的検証: 本フレームワークは、Shopping、Reddit、Gmail ドメインの WebArena から派生した実際のアクセシビリティツリーを用いて評価され、タスク実行を損なうことなく、大幅な漏洩削減を実現できることが示されました。

4. 実験結果

実験は、WebArenaから派生した662個のテスト・バリアント（合成された機密コンテキスト、例：2FAコード、パスワードを含む）を用いて行われました。

4.1. パフォーマンス指標

• タスククリティカル・ノード保持率 (TCNP): MINIMは、タスクに不可欠なコンテキストの 94.91%、およびタスクに不可欠なインタラクティブ要素の 99.31% (TCNP-I) を保持しています。
• タスク無関係な機密漏洩 (TISL): MINIMは、機密漏洩を 0.101（正規化済み）に抑えました。これは、フル観測における漏洩の約 10% に相当します。これは「必要性のみ（Necessity-Only）」のベースライン（0.2032）と比較して 50% の削減であり、「感度のみ（Sensitivity-Only）」や「ランダム（Random）」のベースラインを大幅に上回っています。

4.2. LLM ベースラインとの比較

著者らは、スコアラーとしてプロンプトされたオープンウェイトの大型言語モデル（LLM）との比較を行いました。

• LLM の限界: 一般的な LLM は高い有用性（TCNP-I $\approx$ 0.99）を達成しましたが、著しく高い漏洩（TISL は 0.194 から 0.312 の範囲）を示しました。LLM は、有用な要素とともに、タスクに無関係な機密コンテンツを保持してしまう傾向がありました。
• 効率性: MINIM は、同等またはそれ以上の実行可能リコール（actionable recall）を達成しながら、ノードの保持数を LLM（約26〜35%）に比べてわずか 12% に抑えました。これは、一般的な指示チューニングだけでは、タスク条件付きの最小化を本質的に強制できないことを浮き彫りにしています。

4.3. アブレーションと堅牢性

• 抽象化の価値: 「抽象化（A）」アクションを「削除（R）」に置き換えると、実行可能リコール（TCNP-I）が 0.9931 から 0.9650 に低下しました。これは、値をマスクしつつ構造的なアフォーダンスを保持することが、タスク実行において極めて重要であることを示しています。
• タスク・セマンティクス: モデルはタスクの種類に応じて圧縮率を適応させ、セキュリティフローが機能するように、「機密/管理（Sensitive/Admin）」タスクでは「情報提供（Informational）」タスク（8.66%）よりも多くのノード（15.84%）を保持しました。

5. 重要性と主張

本論文は、MINIM が 「強力なプライバシー保証と信頼性の高いエージェントの実行は共存可能である」 ことを証明していると主張しています。 「共有ファースト」のパラダイムから、信頼できるローカル・サニタイゼーションを介した「知る必要性（need-to-know）」のパラダイムへと移行することで、MINIM は、エージェントが機密性を認識していてもコンテキストを保護できないという「プライバシー判断・実行ギャップ（Privacy Judgment-Action Gap）」に対処しています。

著者らは、本手法が 表現に依存しない（representation-agnostic） であることを強調しています。アクセシビリティツリーを用いて評価されていますが、CI駆動の構造的スコアリング・メカニズムは、他の構造化された観測形式（DOM、シーングラフ、ツール・スキーマ）にも適用可能です。彼らは、MINIM を完全なセキュリティ・ソリューションとしてではなく、自律型エージェントの観測チャネルにおける重要なプライバシー緩和コンポーネントとして位置づけており、プライバシーに敏感な環境での安全なデプロイメントを可能にします。