기술 요약: MINIM - 신뢰할 수 있는 로컬 정제(Sanitization)를 통한 에이전트용 프라이버시 인지 최소 뷰(Minimal View)

1. 문제 정의: 의미론적 과잉 권한 관찰 (Semantic Over-Privileged Observation)

현대의 자율 에이전트는 디지털 환경과 상호작용하기 위해 구조화된 관찰 데이터(예: 접근성 트리, DOM 표현)에 점점 더 많이 의존하고 있습니다. 이러한 구조화된 인터페이스는 안정적인 행동 접지(action grounding)를 위한 풍부한 의미론적 맥락을 제공하지만, 현재의 배포 패러다임은 종-종 전체 원시 인터페이스 상태를 원격 추론 서버로 전송하는 "선(先) 공유" 설계를 따릅니다.

저자들은 의미론적 과잉 권한 관찰이라고 명명된 특정 실패 모드를 식별했습니다. 이 시나리오에서 에이전트는 현재 사용자 작업에 필요한 요소뿐만 아니라, 작업과 무관한 방대한 양의 맥락(예: 사이드바 알림, 배경 애플리케이션 창, 관련 없는 브라우저 탭)까지 함께 받게 됩니다. 이러한 노출은 인증 코드, 개인 알림, 행동 흔적과 같이 민감하지만 불필요한 정보의 유출로 이어지며, 이는 프로파일링에 악용될 수 있습니다.

기존의 프라이버시 솔루션은 이 환경에 적합하지 않습니다:

• 작업 불가지론적 필터링(예: PII 레드액션)은 작업에 중요한 맥less 맥락을 제거하거나 민감한 비-PII 속성을 놓칠 위험이 있습니다.
• **차분 프라이버시(Differential Privacy)**는 확률적 노이즈를 도입하여 안정적인 에이전트 실행에 필요한 정밀한 의미론적 단서를 왜곡할 수 있습니다.
• 암호화 방식(예: FHE, MPC)은 연산을 보호하지만, 원격 서버가 공개된 상태로부터 민감한 정보를 추론하는 것을 방지하지 못하며, 종종 과도한 지연 시간을 초래합니다.

핵심 과제는 프라이버시 요구사항이 **작업 조건부(task-conditioned)**라는 점입니다. 즉, 어떤 요소(예: 2FA 코드)는 특정 작업에는 필수적이지만, 다른 작업에서는 순수한 정보 유출이 될 수 있습니다.

2. 방법론: MINIM 프레임워크

저자들은 클라이언트 장치에서 **사전 공개 최소화(pre-disclosure minimization)**를 수행하는 신뢰할 수 있는 로컬 브로커인 MINIM을 제안합니다. MINIM은 구조적 병목 지점(structural bottleneck) 역할을 하여, 에이전트의 관찰 데이터가 장치를 떠나기 전에 이를 정제합니다. 이 프레임워크는 정보 흐름이 맥락, 행위자, 속성 및 전송 원칙에 의해 정의된 규범을 준수해야 한다는 맥락적 무결성(Contextual Integrity, CI) 원칙에 기반합니다.

2.1. 이중 점수 표현 (Dual-Score Representation)

MINIM은 학습된 모델을 사용하여 구조화된 관찰 데이터(예: 접근성 트리 노드)의 각 요소에 대해 두 가지 스칼라 점수를 예측합니다:

1. 고유 민감도 점수 ($s$): 현재 작업과 독립적으로 요소가 가진 본질적인 정보 위험을 포착합니다.
2. 작업 조건부 필요성 점수 ($n$): 특정 사용자 작업 $T$를 완료하는 데 해당 요소의 유용성을 포착합니다.

2.2. 학습 목표 (Training Objective)

모델은 작업 유용성 제약 조건을 충족하면서 맥락에 부적절한 정보의 공개를 최소화하는 CI 인식 목표를 사용하여 학습됩니다. 손실 함수는 다음을 결합합니다:

• 민감도 손실 ($L_{sens}$): 고유한 위험을 예측하는 오류를 최소화합니다.
• 필요성 손실 ($L_{nec}$): 작업 필요성을 예측하는 오류를 최소화하되, 민감도에 의해 가중치가 부여됩니다. 이 손실은 매우 민감하지만 작업과 무관한 노드에 대해 증폭되며, 불필요하게 높은 위험 콘텐츠를 식별하지 못한 모델에 대해 강력한 페널티를 부여합니다.

2.3. 삼항 공개 정책 (Ternary Disclosure Policy)

배포 시, 예측된 점수는 각 노드를 다음 세 가지 동작 중 하나로 매핑하는 결정론적 정책을 구동합니다:

• 유지 (Keep, K): 노드가 필요하고($n \ge \tau_{nec}$) 위험이 낮은 경우($s < \tau_{sens}$). 요소가 변경 없이 전송됩니다.
• 추상화 (Abstract, A): 노드가 필요하지만($n \ge \tau_{nec}$) 위험이 높은 경우($s \ge \tau_{sens}$). 민감한 속성은 구조적 역할(예: 버튼 구조는 유지하되 2FA 코드 값은 마스킹)을 보존하면서 플레이스홀더(예: [REDACTED])로 대체됩니다.
• 제거 (Remove, R): 노드가 불필요한 경우($n < \tau_{nec}$). 요소가 완전히 삭제됩니다.

3. 주요 기여

1. 문제 공식화: 본 논문은 구조화된 입력을 사용하는 에이전트 시스템에서 "의미론적 과잉 권한 관찰"을 별개의 프라이버시 위험으로 식별하고 공식화하였으며, 해결책으로 사전 공개 최소화를 제안합니다.
2. MINIM 아키텍처: 저자들은 맥락적 점수 산출과 정책 집행을 분리하는 신뢰할 수 있는 로컬 브로커를 소개합니다. 이는 "필요-알-권리(need-to-know)" 공개 규칙을 강제하기 위해 CI 인식 목표로 학습된 이중 점수 메커니즘을 활용합니다.
3. 실증적 검증: 프레임워크는 쇼핑, Reddit, Gmail 도메인의 WebArena에서 파생된 실제 접근성 트리를 통해 평가되었으며, 작업 실행을 저해하지 않으면서 상당한 유출 감소를 입증했습니다.

4. 실험 결과

실험은 합성된 민감한 맥락(예: 2FA 코드, 비밀번호)이 추가된 662개의 테스트 변형 데이터셋을 사용하여 WebArena를 기반으로 수행되었습니다.

4.1. 성능 지표

• 작업 핵심 노드 보존율 (TCNP): MINIM은 작업 핵심 맥락의 **94.91%**와 작업 핵심 상호작용 요소의 99.31%(TCNP-I)를 유지합니다.
• 작업 무관 민감 유출 (TISL): MINIM은 민감한 유출을 (정규화된 값 기준) 0.101로 줄였는데, 이는 전체 관찰 시 발생하는 유출의 약 10% 수준입니다. 이는 "필요성 전용(Necessity-Only)" 베이스라인(0.2032) 대비 50% 감소한 수치이며, "민감도 전용(Sensitivity-Only)" 또는 "무작위(Random)" 베이스라인보다 훨씬 뛰어난 성능을 보입니다.

4.2. LLM 베이스라인과의 비교

저자들은 점수 산출을 위해 프롬프트가 주어진 여러 오픈 웨이트 대규모 언어 모델(LLM)과 MINIM을 비교했습니다.

• LLM의 한계: 일반적인 LLM은 높은 유용성(TCNP-I $\approx$ 0.99)을 달성했지만, 유출량(TISL 0.194 ~ 0.312 범위)은 현저히 높았습니다. LLM은 유용한 요소와 함께 작업과 무관한 민감한 콘텐츠를 함께 유지하는 경향을 보였습니다.
• 효율성: MINIM은 LLM(약 26~35%)에 비해 훨씬 적은 **12%**의 노드만을 유지하면서도 대등하거나 더 우수한 실행 가능 회상률(actionable recall)을 달ach했습니다. 이는 일반적인 지시 미세 조정(instruction tuning)이 본질적으로 작업 조건부 최소화를 강제하지 못함을 보여줍니다.

4.3. 절제 연구 및 강건성

• 추상화의 가치: "추상화(A)" 동작을 "제거(R)"로 대체했을 때 실행 가능 회상률(TCNP-I)이 0.9931에서 0.9650으로 하락했습니다. 이는 구조적 어포던스(affordance)를 유지하면서 값을 마스킹하는 것이 작업 실행에 매우 중요하다는 것을 입증합니다.
• 작업 의미론: 모델은 작업 유형에 따라 압축률을 조절하여, "정보 제공" 작업(8.66%)에 비해 "민감/관리" 작업(15.84%)에서 더 많은 노드를 유지함으로써 보안 흐름이 기능적으로 작동하도록 했습니다.

5. 의의 및 주장

본 논문은 MINIM이 강력한 프라이버시 보장과 신뢰할 수 있는 에이전트 실행이 공존할 수 있음을 입증한다고 주장합니다. "선(先) 공유" 패러다임에서 신뢰할 수 있는 로컬 정제를 통한 "필요-알-권리" 패러다임으로 전환함으로써, MINIM은 에이전트가 민감성을 인지하더라도 맥락을 보호하지 못하는 "프라이버시 판단-행동 간극(Privacy Judgment-Action Gap)" 문제를 해결합니다.

저자들은 이 접근 방식이 **표현 불가지론적(representation-agnostic)**임을 강조합니다. 접근성 트리에 대해 평가되었지만, CI 기반의 구조적 점수 산출 메커니즘은 DOM, 씬 그래프(scene graphs), 도구 스키마와 같은 다른 구조화된 관찰 형식에도 적용될 수 있습니다. 저자들은 MINIM을 능동적 공격자에 대한 완전한 보안 솔루션이 아니라, 자율 에이전트의 관찰 채널을 위한 핵심적인 프라이버시 완화 구성 요소로서 위치시키며, 이를 통해 프라이버시가 민감한 환경에서의 안전한 배포를 가능하게 합니다.