🤖 AI

Minim: Privacy-Aware Minimal View for Agents via Trusted Local Sanitization

Het artikel stelt MINIM voor, een vertrouwde lokale broker die principes van Contextuele Integriteit benut om UI-observaties dynamisch te saneren door de gevoeligheid van elementen en de noodzaak voor taken te voorspellen, waardoor privacylekken worden geminimaliseerd terwijl de cruciale context behouden blijft die vereist is voor betrouwbare acties van LLM-agenten.

Oorspronkelijke auteurs: Hexuan Yu, Chaoyu Zhang, Heng Jin, Shanghao Shi, Ning Zhang, Y. Thomas Hou, Wenjing Lou

Gepubliceerd 2026-06-15

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Hexuan Yu, Chaoyu Zhang, Heng Jin, Shanghao Shi, Ning Zhang, Y. Thomas Hou, Wenjing Lou

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een zeer slimme, behulpzame robotassistent hebt die in de cloud leeft. Je vraagt de robot: "Beantwoord deze e-mail," en de robot moet je computerscherm zien om de klus te klaren.

Het Probleem: De "Over-sharing" Robot
Op dit moment, wanneer je de robot vraagt om te helpen, stuurt de robot vaak een live videofeed van je volledige computerscherm naar de cloud. Zelfs als je alleen wilt dat de robot naar je e-mail kijkt, ziet de robot ook je banksaldo, je tekstberichten met je moeder en de geheime code die je telefoon zojuist voor een login heeft gestuurd.

De paper noemt dit "Semantic Over-Privileged Observation." Het is alsof je een schoonmaker inhuurt om de woonkamer af te stoffen, maar je laat de voordeur wagenwijd openstaan en geeft ze ook nog eens de reservesleutel van je kluis, je slaapkamer en je dagboek. Ze hebben die dingen niet nodig om de bank te stofzuigen, maar ze zien ze wel, en dat vormt een privacyrisico.

De Oplossing: MINIM (De "Slimme Poortwachter")
De auteurs hebben een nieuw systeem ontwikkeld genaamd MINIM. Zie MINIM als een super slimme beveiliger die direct bij de voordeur van je computer staat, voordat er enige data je apparaat verlaat.

In plaats van het hele rommelige scherm te sturen, bekijkt MINIM elk afzonderlijk item op je scherm (knoppen, tekst, iconen) en stelt voor elk item twee eenvoudige vragen:

Is dit gevoelig? (Bevat dit geheimen zoals wachtwoorden of codes?)
Is dit noodzakelijk? (Heeft de robot dit daadwerkelijk nodig om de specifieke taak uit te voeren waar je om vroeg?)

Hoe MINIM werkt: De Drie-stappen Filter
Op basis van deze twee vragen beslist MINIM wat er met elk item op je scherm gebeurt via drie acties:

Behouden (Keep - K): Als een item nuttig is en niet geheim (zoals de tekst van de e-mail waar je op wilt reageren), laat MINIM het ongewijzigd door.
Verwijderen (Remove - R): Als een item nutteloos is voor de taak en niet geheim (zoals een decoratieve achtergrondafbeelding), gooit MINIM het volledig weg.
Abstraheren (Abstract - A): Dit is het slimme gedeelte. Als een item nuttig is maar wel geheim (zoals een "Verzend"-knop die naast een verborgen wachtveld staat), verwijdert MINIM het niet (omdat de robot moet weten waar de knop zich bevindt), maar vervaagt het het geheime deel. Het vervangt het wachtwoord door een generieke placeholder zoals [GEHEIM]. De robot weet nog steeds waar hij moet klikken, maar kan de inhoud niet lezen.

De Regel van "Contextuele Integriteit"
MINIM volgt een regel genaamd Contextuele Integriteit. Stel je voor dat je op een feestje bent. Het is normaal om over het weer te praten met een vreemde (lage gevoeligheid, hoge noodzaak voor koetjes en vanjes). Maar als je plotseling je bank-PIN tegen diezelfde vreemde begint te vertellen, is dat vreemd en gevaarlijk, zelfs als het een vriendelijk gesprek is.

MINIM zorgt ervoor dat informatie alleen stroomt wanneer het past bij de "context" van de taak. Als je op internet surft, is je 2FA-code (een beveiligingscode) irrelevant en gevaarlijk om te delen. Als je bent ingelogd, wordt diezelfde code essentieel. MINIM begrijpt dit verschil.

Wat de Experimenten Lieten Zien
De onderzoekers hebben MINIM getest op real-world taken zoals online winkelen, Reddit bekijken en Gmail beheren. Ze vergeleken MINIM met:

Alles verzenden: (Hoog privacyrisico).
Standaard AI-modellen: (Ze probeerden te raden wat ze moesten verbergen, maar hielden vaak te veel geheime informatie vast).
MINIM:

De resultaten waren duidelijk:

Privacy: MINIM blokkeerde 90% meer onnodige gevoelige informatie dan de andere methoden. Het slaagde erin om zaken als verificatiecodes en privé-meldingen die de robot niet nodig had, succesvol te verbergen.
Bruikbaarheid: Ondanks het feit dat er zoveel verborgen werd, kon de robot zijn werk nog steeds perfect uitvoeren. Het behield alle "actiebare" onderdelen (zoals knoppen en invoervelden), zodat de robot nog steeds kon klikken, typen en navigeren.

In een Notendop
MINIM is een lokale privacybewaker die fungeert als een slimme editor voor je scherm. Het snijdt de rommel weg, vervaagt de geheimen die je niet hoeft te delen, en stuurt de robot alleen het absolute minimum dat nodig is om de taak te voltooien. Op deze manier blijft je robotassistent behulpzaam zonder een nieuwsgierige spion te worden.

Technische Samenvatting: MINIM - Privacy-bewuste minimale weergave voor agenten via vertrouwde lokale sanitatie

1. Probleemstelling: Semantisch overgeprivilegieerde observatie

Moderne autonome agenten vertrouwen steeds vaker op gestructureerde observaties (bijv. toegankelijkheidsbomen, DOM-representaties) om te interageren met digitale omgevingen. Hoewel deze gestructureerde interfaces een rijke semantische context bieden voor betrouwbare actie-onderbouwing, volgen huidige implementatieparadigma's vaak een "share-first" ontwerp, waarbij de volledige ruwe interface-status naar externe inferentie-servers wordt verzonden.

De auteurs identificeren een specifieke foutmodus die zij Semantische Overgeprivilegieerde Observatie noemen. In dit scenario ontvangen agenten niet alleen de elementen die nodig zijn voor de huidige gebruikerstaak, maar ook een enorme hoeveelheid taakonrelevante context (bijv. zijbalkmeldingen, achtergrondapplicatieve vensters, ongerelateerde browsertabbladen). Deze blootstelling leidt tot het lekken van gevoelige maar onnodige informatie, zoals authenticatiecodes, privé-meldingen en gedragssporen, die kunnen worden misbruikt voor profilering.

Bestaande privacyoplossingen zijn slecht geschikt voor deze setting:

Taak-agnostische filtering (bijv. PII-redactie) riskeert het verwijderen van taalkritische context of het missen van gevoelige niet-PII attributen.
Differential Privacy introduceert stochastische ruis die de precieze semantische signalen die nodig zijn voor betrouwbare agent-actuatie kan verstoren.
Cryptografische methoden (bijv. FHE, MPC) beschermen de berekening, maar voorkomen niet dat de remote server gevoelige informatie afleidt uit de onthulde staat, vaak tegen de prijs van prohibitieve latentie.

De kernuitdaging is dat privacyvereisten taak-geconditioneerd zijn: een element (bijv. een 2FA-code) kan cruciaal zijn voor één taak, maar pure lekkage vormen voor een andere.

2. Methodologie: MINIM-framework

De auteurs stellen MINIM voor, een vertrouwde lokale broker die pre-disclosure minimalisatie uitvoert op het client-apparaat. MINIM fungeert als een structurele flessenhals die de observatie van de agent sanitizeert voordat deze het apparaat verlaat. Het framework is gebaseerd op Contextuele Integriteit (CI), waarbij het principe wordt geoperationaliseerd dat de informatiestroom moet voldoen aan de normen die worden gedefinieerd door de context, actoren, attributen en transmissieprincipes.

2.1. Dual-Score Representatie

MINIM gebruikt een geleerd model om twee scalaire scores te voorspellen voor elk element in de gestructureerde observatie (bijv. een node in een toegankelijkheidsboom):

Inherent Gevoeligheidsscore ( $s$ ): Legt het intrinsieke informatierisico van het element vast, onafhankelijk van de huidige taak.
Taak-geconditioneerde Noodzakelijkheidsscore ( $n$ ): Legt de utiliteit van het element vast voor het voltooien van de specifieke gebruikerstaak $T$ .

2.2. Trainingsdoelstelling

Het model wordt getraind met een CI-bewuste doelstelling die de onthulling van contextueel ongepaste informatie minimaliseert terwijl het voldoet aan een taak-utiliteitsrestrictie. De verliesfunctie combineert:

Gevoeligheidsverlies ( $L_{sens}$ ): Minimaliseert de fout in het voorspellen van inherent risico.
Noodzakelijkheidsverlies ( $L_{nec}$ ): Minimaliseert de fout in het voorspellen van taaknoodzakelijkheid, maar is gewogen door gevoeligheid. Het verlies wordt versterkt voor nodes die zeer gevoelig maar taakirrelevant zijn, waardoor het model zwaar wordt gestraft als het faalt om onnodige hoog-risico inhoud te identificeren.

2.3. Ternaire Onthullingspolicy

Bij de implementatie drijven de voorspelde scores een deterministische policy aan die elke node toewijst aan een van de drie acties:

Keep (K) [Behouden]: Als de node noodzakelijk is ( $n \ge \tau_{nec}$ ) en laag-risico is ( $s < \tau_{sens}$ ). Het element wordt ongewijzigd verzonden.
Abstract (A) [Abstraheren]: Als de node noodzakelijk is ( $n \ge \tau_{nec}$ ) maar hoog-risico is ( $s \ge \tau_{sens}$ ). Gevoelige attributen worden vervangen door placeholders (bijv. [REDACTED]) terwijl de structurele rol behouden blijft (bijv. het behouden van de knopstructuur maar het maskeren van de 2FA-code waarde).
Remove (R) [Verwijderen]: Als de node onnodig is ( $n < \tau_{nec}$ ). Het element wordt volledig gepruned.

3. Belangrijkste Bijdragen

Probleemformalisering: Het artikel identificeert en formaliseert "Semantische Overgeprivilegieerde Observatie" als een specifiek privacyrisico in agentische systemen die vertrouwen op gestructureerde inputs, en stelt pre-disclosure minimalisatie als de oplossing voor.
MINIM Architectuur: De auteurs introduceren een vertrouwde lokale broker die contextuele scoring ontkoppelt van policy handhaving. Het maakt gebruik van een dual-score mechanisme (gevoeligheid en noodzakelijkheid) getraind met een CI-bewuste doelstelling om een "need-to-know" onthullingsregel af te dwingen.
Empirische Validatie: Het framework wordt geëvalueerd op real-world toegankelijkheidsbomen afgeleid van WebArena over de domeinen Shopping, Reddit en Gmail, waarbij wordt aangetoond dat er een significante reductie in lekkage plaatsvindt zonder de taakuitvoering te compromitteren.

4. Experimentele Resultaten

Experimenten werden uitgevoerd op een dataset van 662 testvarianten afgeleid van WebArena, aangevuld met gesynthetiseerde gevoelige contexten (bijv. 2FA-codes, wachtwoorden).

4.1. Prestatie-metrieken

Task-Critical Node Preservation (TCNP): MINIM behoudt 94,91% van de taalkritische context en 99,31% van de taalkritische interactieve elementen (TCNP-I).
Task-Irrelevant Sensitive Leakage (TISL): MINIM reduceert de gevoelige lekkage tot 0,101 (genormaliseerd), wat ongeveer 10% is van de lekkage bij volledige observaties. Dit is een reductie van 50% vergeleken met een "Necessity-Only" baseline (0,2032) en presteert aanzienlijk beter dan "Sensitivity-Only" of "Random" baselines.

4.2. Vergelijking met LLM Baselines

De auteurs vergeleken MINIM met verschillende open-weight Large Language Models (LLMs) die geprompt werden om als scorers op te treden.

LLM Beperkingen: Hoewel algemene LLMs een hoge utiliteit bereikten (TCNP-I $\approx$ 0,99), vertoonden ze een aanzienlijk hogere lekkage (TISL variërend van 0,194 tot 0,312). Ze hadden de neiging om taakonrelevante gevoelige inhoud te behouden naast nuttige elementen.
Efficiëntie: MINIM behield slechts 12% van de nodes (vergeleken met ~26–35% voor LLMs) terwijl het vergelijkbare of superieure actionable recall behaalde. Dit onderstreept dat algemene instructie-tuning niet inherent taak-geconditioneerde minimalisatie afdwingt.

4.3. Ablatie en Robuustheid

Waarde van Abstractie: Het vervangen van de "Abstract" (A) actie door "Remove" (R) veroorzaakte een daling in actionable recall (TCNP-I) van 0,9931 naar 0,9650, wat aantoont dat het behouden van structurele affordances terwijl waarden worden gemaskeerd, cruciaal is voor taakuitvoering.
Taaksemantiek: Het model paste zijn compressieratio aan op basis van het type taak, waarbij het meer nodes behield voor "Sensitive/Admin" taken (15,84%) vergeleken met "Informational" taken (8,66%) om ervoor te zorgen dat security flows functioneel bleven.

5. Betekenis en Claims

Het artikel claimt dat MINIM aantoont dat sterke privacygaranties kunnen samenbestaan met betrouwbare agent-actuatie. Door te verschuiven van een "share-first" paradigma naar een "need-to-know" paradigma via vertrouwde lokale sanitatie, adresseert MINIM de "Privacy Judgment-Action Gap" waarbij agenten falen om context te beschermen zelfs wanneer deze als gevoelig wordt herkend.

De auteurs benadrukken dat hun aanpak representatie-agnostisch is; hoewel geëvalueerd op toegankelijkheidsbomen, is het CI-gedreven structurele scoringmechanisme toepasbaar op andere gestructureerde observatieformaten (DOM, scene graphs, tool schemas). Zij positioneren MINIM niet als een volledige beveiligingsoplossing tegen actieve tegenstanders, maar als een kritieke privacy-mitigerende component voor het observatiekanaal van autonome agenten, wat veiligere implementatie in privacygevoelige omgevingen mogelijk maakt.