Technische Samenvatting: MosaicLeaks: Privacyrisico's bij Querying-in-the-Open voor Deep Research Agents

Probleemdefinitie

Deep research agents worden steeds vaker ingezet om informatie te synthetiseren uit private bedrijfsdocumenten en externe tools (bijv. webzoekopdrachten, cloud API's). Hoewel deze capaciteit de taakprestaties verbetert, introduceert het een kritiek privacyrisico: agents kunnen gevoelige interne informatie lekken via hun externe tool-aanroepen. Dit risico wordt verergerd door het mozaïekeffect, een fenomeen waarbij individuele zoekopdrachten in isolatie onschuldig lijken, maar geaggregeerd door een tegenstander over een bepaalde tijd gevoelige attributen onthullen.

Bestaande benchmarks en mitigatiestrategieën falen grotendeels in het adresseren van deze specifieke context. Voorgaand werk richt zich op persoonlijke attributen of single-hop taken, terwijl deep research benchmarks lokale en externe informatiebronnen vaak behandelen als parallel in plaats van interdependent. Bijgevolg zijn agents niet getraind om te herkennen dat externe zoekopdrachten die afhankelijk zijn van lokale context, private gegevens kunnen reconstrueren.

Methodologie

1. De MosaicLeaks Benchmark

De auteurs introduceren MosaicLeaks, een benchmark bestaande uit 1.001 multi-hop deep research taken die ontworpen zijn om privacy-lekken te forceren.

• Dataconstructie: De dataset weeft lokale bedrijfsdocumenten (afkomstig van DRBench) en publieke webcontent (afkomstig van BrowseComp-Plus) door elkaar. Taken zijn gestructureerd als multi-hop ketens waarbij het antwoord op een lokale subvraag dient als een kritieke entiteit voor de daaropvolgende webzoekopdracht (bijv. Lokaal $\to$ Web $\to$ Lokaal).
• Adversarial Setup: Een tegenstandermodel (StepFun-3.5-Flash) observeert alleen de cumulatieve sequentie van web-queries gegenereerd door de agent. Het ziet de lokale documenten of de interne redenering van de agent niet.
• Leakage Metrics: Privacy-lekken worden geëvalueerd over drie niveaus van toenemende ernst:
  1. Intent Leakage: Kan de tegenstander de specifieke onderzoeksvragen voorspellen die de agent nastreeft?
  2. Answer Leakage: Kan de tegenstander specifieke private vragen over de bedrijfsdocumenten beantwoorden op basis van de query-sequentie?
  3. Full-Information Leakage: Kan de tegenstander verifieerbare, ware feitelijke claims genereren over de bedrijfsdocumenten zonder dat er specifieke vragen aan worden gesteld?

2. Baseline Evaluatie

De auteurs evalueerden zes open-source modellen (waaronder Qwen3, StepFun, GPT-OSS en Gemma) op MosaicLeaks.

• Bevindingen: Modellen lekten frequent informatie op alle drie de niveaus.
• Beperkingen van Prompting: Naïeve zero-shot prompting (het instrueren van agents om lekken te vermijden) verminderde lekkage licht, maar slaagde er niet in dit te elimineren. In sommige gevallen verminderde het slechts het aantal queries in plaats van de privacy van de query-tekst te verbeteren.
• Performance vs. Privacy Trade-off: Het trainen van agents uitsluitend voor taakprestaties met behulp van Reinforcement Learning (RL) verbeterde de nauwkeurigheid, maar verslechterde de privacy-lekken aanzienlijk, omdat agents leerden om meer specifieke (en dus lekgevoelige) details in hun queries op te nemen om het succes van de retrieval te garanderen.

3. Voorgestelde Oplossing: Privacy-Aware Deep Research (PA-DR)

Om de lek-prestatie trade-off aan te pakken, stellen de auteurs PA-DR voor, een Reinforcement Learning framework dat optimaliseert voor zowel taaksucces als privacybehoud.

• Situational Rewards: In tegen tegenstelling tot standaard outcome-based RL, dat een enkele beloning biedt aan het einde van een traject, gebruikt PA-DR situational rewards om een dichte credit assignment te bieden. Beloningen worden berekend per hop en per stage (Plan, Choose) op basis van of de agent de juiste documentbron heeft opgehaald of het gouden document heeft geselecteerd.
• Privacy Penalty: Een lichtgewicht binaire classifier (getraind op 26.734 gelabelde voorbeelden) schat de waarschijnlijkheid van lekkage in op basis van een batch web-queries. De reward-functie bevat een straf afgeleid van deze classifier:
  • Direct Leakage: Bestraft de huidige batch queries als ze op zichzelf informatie lekken.
  • Mosaic Leakage: Bestraft de huidige batch op basis van hoeveel het bijdraagt aan de cumulatieve lekkage van het gehele traject.
  • De uiteindelijke privacy-reward wordt gedefinieerd als $r_{privacy} = -\max(c_{direct}, c_{mosaic})$, waarbij kosten worden afgeleid van de voorspelde lekkage-waarschijnlijkheid van de classifier.
• Training: Het framework traint het Qwen3-4B-Instruct model met behulp van PipelineRL, waarbij zowel de situationele taakbeloningen als de privacy-straf gezamenlijk worden geoptimaliseerd.

Belangrijkste Resultaten

• Prestatiewinst: Training met PA-DR verbeterde de strikte chain success rate van Qwen3-4B-Instruct van 48,7% (baseline) naar 58,7%.
• Reductie van Lekken: Dezelfde training verminderde Answer en Full-Information Leakage van 34,0% naar 9,9%.
• Gecombineerde Optimalisatie: Wanneer gecombineerd met een privacy-bewuste prompt, bereikte het PA-DR model een chain accuracy van 59,3% met slechts 7,6% leakage.
• Gedragsanalyse: In tegen tegenstelling tot prompting, wat lekkage verminderde door simpelweg minder queries te genereren, trainde PA-DR modellen om meer queries te genereren, maar met tekst die semantisch minder onthullend was. De modellen leerden noodzakelijke documenten op te halen terwijl ze specifieke metrieken (bijv. "15%") of antwoordtypen uit de query-tekst weglieten, waardoor de semantische link die een tegenstander nodig heeft om private feiten te reconstrueren, werd doorbroken.
• Vergelijking: PA-DR duwt de Pareto-frontier op, waarbij het simultaan een hogere nauwkeurigheid en lagere leakage bereikt vergeleken met modellen die alleen voor taakprestaties zijn getraind of die standaard outcome-based RL gebruiken.

Betekenis en Bijdragen

Het artikel levert drie primaire bijdragen:

1. MosaicLeaks Benchmark: Een nieuw evaluatiekader dat deep research agents expliciet test op multi-hop vragen met sterke lokale-externe informatieafhankelijkheden, waarbij het mozaïekeffect in enterprise-omgevingen wordt gevangen.
2. Empirische Analyse: Een demonstratie dat standaard deep research agents frequent bedrijfsgegevens lekken en dat het uitsluitend optimaliseren voor taakprestaties dit risico verergert. Het toont ook aan dat prompting-gebaseerde interventies onvoldoende zijn voor deze taak.
3. PA-DR Framework: Een principiële formulering van privacy-bewuste agent-training als een gezamenlijk doel. Door een geleerde privacy-classifier te gebruiken om dichte credit assignment te bieden over per-query en mosaic-level lekkage, laten de auteurs zien dat het mogelijk is om agents te trainen die zowel zeer accuraat als privacy-bewust zijn.

De auteurs concluderen dat hoewel huidige agents vatbaar zijn voor mosaic leakage, RL-gebaseerde training met situationele privacy-rewards een levensvatbaar pad biedt naar de inzet van deep research agents in gevoelige bedrijfsomgevingen zonder de gegevensbeveiliging in gevaar te brengen.