🤖 AI

PlanTwin: Privacy-Preserving Planning Abstractions for Cloud-Assisted LLM Agents

本文提出了 PlanTwin 架构，通过将本地私有环境抽象为去标识化的规划数字孪生体，使云端大语言模型代理能够在不暴露原始敏感上下文的前提下进行隐私保护的规划，从而在实现敏感信息零泄露的同时保持了接近全上下文系统的规划质量。

原作者： Guangsheng Yu, Qin Wang, Rui Lang, Shuai Su, Xu Wang

发布于 2026-03-20

📖 1 分钟阅读☕ 轻松阅读

原作者： Guangsheng Yu, Qin Wang, Rui Lang, Shuai Su, Xu Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 PlanTwin 的新系统，它的核心目标是解决一个现代 AI 的尴尬难题：如何让强大的云端 AI 帮我们做复杂的“规划”，同时又不把我们要保护的“秘密”（比如代码、密码、私人文件）泄露给云端？

为了让你轻松理解，我们可以把整个系统想象成一个**“高智商的私人管家”和一个“谨慎的翻译官”**之间的故事。

1. 背景：为什么我们需要 PlanTwin？

想象一下，你有一个超级聪明的云端 AI 管家（比如现在的各种大模型），它擅长处理复杂的任务，比如帮你写代码、修 Bug 或者整理文件。你想让它帮你规划一个复杂的工程。

但是，你的电脑里有很多不能见光的秘密：

公司的核心源代码。
你的私人密码和 API 密钥。
员工的真实姓名和联系方式。

现在的困境是：
如果你直接把电脑里的所有文件发给云端 AI，它虽然能帮你规划，但你的秘密也就全暴露了（就像把保险柜钥匙直接给了管家）。
如果你什么都不发，只让电脑里的一个小模型（本地 AI）来规划，它又太笨了，搞不定复杂的任务。

现有的方案要么是把文件“涂黑”（删掉敏感词），但这往往涂不干净，或者结构还在，容易被猜出来；要么是搞个“安全屋”（沙箱），但这只能防止管家乱动东西，不能防止管家“偷看”东西。

2. PlanTwin 的解决方案：数字孪生（Digital Twin）

PlanTwin 提出了一种聪明的办法：不要直接把“真实的房子”给管家看，而是给它看一个“乐高积木搭建的模型”。

这个“模型”就是数字孪生（Digital Twin）。

核心角色：

本地“翻译官”（Projection Pipeline）： 住在你电脑里的一个小助手。
云端“大管家”（Cloud Planner）： 住在云端的超级 AI。
本地“守门员”（Gatekeeper）： 住在你电脑里的保安。

工作流程（四步走）：

第一步：提取骨架（Typed Extraction）
本地翻译官先扫描你的文件，但不看内容。它只提取“这是什么类型的东西”。

比喻： 就像你有一堆真实的文件，翻译官只告诉管家：“这里有一个‘合同文件’，那里有一个‘代码文件’，还有一个‘密码本’。”它不告诉管家文件里具体写了什么。

第二步：抹去指纹（Redaction）
翻译官把任何能认出你身份的信息全部抹掉。

比喻： 把文件上的“张三”改成“用户 A"，把"2023 年 5 月 1 日”改成“近期”，把具体的 IP 地址改成“某服务器”。

第三步：模糊处理（Generalization）
把精确的数字变成模糊的类别。

比喻： 文件不是"1024 字节”，而是“中等大小”；不是"5000 行代码”，而是“很多行”。

第四步：构建模型（Schema Projection）
最后，翻译官把这些信息整理成一个标准的乐高积木图（抽象图）。

比喻： 云端管家看到的不是真实的代码，而是一张图：“有一个‘认证模块’积木，它连接着‘支付模块’积木，它们之间有一个‘依赖’关系。”

3. 云端管家怎么工作？

云端大管家看着这个乐高模型，开始发挥它的聪明才智：

它不需要知道文件里的具体代码，它只需要知道“认证模块”和“支付模块”有关系。
它制定出一个行动计划（比如：“先检查认证模块，再对比支付模块”）。
它把这个计划发给本地的守门员。

关键点： 云端管家永远看不到原始文件、密码或真实路径。它只看到经过处理的“积木图”。

4. 本地守门员的作用

当云端管家发出指令时，本地的守门员会做三件事：

检查权限： 这个指令允许执行吗？
控制预算（Disclosure Budget）： 这是最精彩的部分。
- 比喻： 想象每个文件都有一个“隐私钱包”。每次云端管家问一个问题，就要从钱包里扣一点钱（披露一点信息）。
- 如果管家问得太细，钱包里的钱扣光了，守门员就会说：“不行，再问就要泄露秘密了，停止！”
- 这防止了管家通过多次提问，像拼图一样把秘密一点点拼凑出来。
执行与清洗： 守门员在本地真实的文件上执行任务，然后把结果再次“翻译”成积木图，发给云端。

5. 这个系统厉害在哪里？

论文通过实验证明了 PlanTwin 的两大优势：

绝对保密（SND = 1.0）：
- 在测试的 60 个任务中，没有任何一个敏感信息（如密码、密钥、真实姓名）泄露给云端。
- 相比之下，传统的“涂黑法”（PII Redaction）在代码任务中经常漏掉 88% 的敏感信息。
智商在线（规划质量高）：
- 虽然云端看不到原始文件，但因为它看到了清晰的“结构图”和“关系图”，它依然能制定出非常高质量的计划。
- 实验显示，使用 PlanTwin 的规划质量，几乎和直接把原始文件发给云端（毫无隐私保护）一样好。

总结

PlanTwin 就像是一个完美的“中间人”：

它把真实的、充满秘密的世界，转化成了抽象的、安全的“乐高地图”。
它让最聪明的云端 AI 在“乐高地图”上指挥交通、规划路线。
它让本地的守门员 确保在指挥过程中，不会把真实的“宝藏”位置泄露出去。

一句话概括：
你不需要为了隐私而牺牲 AI 的聪明才智，也不需要为了聪明才智而牺牲隐私。PlanTwin 让你既能享受云端大模型的“上帝视角”，又能把核心秘密牢牢锁在自己家里。

PlanTwin 技术总结：面向云辅助 LLM 代理的隐私保护规划抽象

1. 研究背景与问题定义

随着大型语言模型（LLM）成为智能体（Agent）系统的核心规划器，云端的强大模型被广泛用于协调工具、分解任务和指导本地环境执行。然而，现有的部署面临一个根本性的隐私悖论：

现状：许多生产环境（如 Claude Code, OpenAI Codex）将本地环境（包含源代码、文件、凭证、元数据等）的原始状态直接发送给云端规划器。
问题：现有的解决方案（如沙箱隔离、访问控制、PII 红action）主要关注执行阶段的权限控制，或者仅进行粗粒度的敏感词过滤。它们无法控制规划阶段云端模型观察到的信息粒度。一旦在允许范围内，原始的环境状态（如文件内容、代码结构、项目元数据）仍会直接暴露给云端，导致敏感信息泄露。
核心挑战：如何在利用云端强大规划能力的同时，不暴露原始本地上下文？即，云端规划器需要观察多少信息才能生成有用的计划，且这些信息不足以重构或识别本地敏感实体？

2. 核心方法论：PlanTwin 架构

PlanTwin 提出了一种隐私保护的数字孪生（Privacy-Preserving Digital Twin）架构。其核心理念是将真实的本地环境投影为一个面向规划的、脱敏的抽象图，云端规划器仅在此“清洗后”的孪生体上进行推理，而所有原始数据的访问、执行和输出清洗均保留在本地。

2.1 系统架构

系统分为两个不对称组件：

可信本地层（Trusted Local Layer）：直接访问真实环境，负责隐私投影、策略执行、实际执行和输出清洗。
不可信云端规划器（Untrusted Cloud Planner）：仅基于清洗后的数字孪生进行高层推理和计划生成，无法接触原始文件、路径或凭证。

2.2 四阶段隐私投影流水线 (Privacy Projection Pipeline)

本地代理通过四个阶段将原始环境 $X_t$ 转换为规划器可见的抽象图 $Z_t$ ：

类型化提取 (Typed Extraction, $\Pi_{extract}$ )：利用本地轻量级小语言模型（SLM）和启发式规则，识别对象的模态、语义角色（如 code_file, config, secret_container）及任务可行性，生成结构化元数据。
敏感实体检测与脱敏 (Redaction, $\Pi_{redact}$ )：使用确定性正则表达式和关键词规则，移除或掩码所有显式标识符（如姓名、邮箱、IP、API Key、文件路径、Git 历史等）。
值泛化与分桶 (Generalization, $\Pi_{generalize}$ )：将精确值替换为粗粒度类别，防止逆向推断。例如：字节大小 $\to$ {小，中，大}；时间戳 $\to$ {今天，近期，陈旧}；敏感度 $\to$ {低，受限，高}。
模式投影 (Schema Projection, $\Pi_{schema}$ )：将处理后的对象投影到固定的 JSON 模式（Schema）中。最终输出是一个类型化的抽象图，节点代表匿名化对象，边代表粗粒度关系（依赖、冲突等），属性包含受限的元数据。不包含任何原始文本、文件名或自由格式内容。

2.3 基于能力的规划协议 (Capability-Based Planning)

云端规划器不直接操作文件，而是通过**受限的能力接口（Capability Interface）**与本地交互：

声明式计划：云端输出结构化的动作图（如 security_audit(artifact_1)），而非任意代码。
能力粒度权衡：能力定义过粗会导致云端规划价值低；过细则会导致累积披露增加。PlanTwin 寻找“编排边界”，即云端决定工作流逻辑，本地执行内容敏感的检查。

2.4 本地策略执行与门控 (Local Gatekeeper)

门控验证：云端生成的每一步计划都需经过本地门控器的验证（能力白名单、策略合规性、安全边界）。
累积披露预算 (Cumulative Disclosure Budget)：这是 PlanTwin 的关键创新。系统为每个对象维护一个披露预算 $B(o)$ 。
- 每次交互中，披露的 Schema 字段根据预定义的权重（如 semantic_class 权重高，kind 权重低）计算成本。
- 门控器监控累积成本，一旦超过对象特定的阈值 $\tau(o)$ ，将拒绝进一步披露或拒绝该请求。
- 这防止了通过多轮交互逐步拼凑出完整指纹的攻击。

2.5 隐私目标形式化

$(k, \delta)$ -匿名性：防止在给定辅助知识下，通过观察到的孪生状态重识别特定对象。
$\epsilon$ -不可链接性：防止跨会话链接同一对象（通过随机 ID 和限制累积披露实现）。
结构推断缓解：通过限制边词汇表和关系披露，减少从图拓扑中推断项目结构的风险。

3. 主要贡献

系统问题定义：首次将“无原始上下文暴露的云辅助规划”形式化为系统问题，并区别于现有的沙箱、访问控制和 TEE 方案。
四阶段投影流水线：提出了一种结构化的抽象方法，将真实环境转换为清洗后的抽象图，确保云端永远无法接收自由格式的原始上下文。
能力粒度与隐私 - 效用权衡：形式化了基于能力的规划协议，将隐私与效用的权衡定义为能力粒度问题，并引入了累积披露预算机制。
隐私目标形式化：定义了规划时的隐私目标（匿名性、不可链接性），并通过多轮披露控制缓解组合泄露。
实证验证：在 10 个领域、60 个智能体任务上进行了全面评估，证明了在完全保护敏感项不泄露（SND=1.0）的同时，保持了接近全上下文系统的规划质量。

4. 实验结果

研究在 60 个合成任务（涵盖代码、文档、DevOps、安全等 10 个领域）上评估了 PlanTwin，使用了 4 种不同的云端规划器（Kimi, Gemini, MiniMax, GLM）。

隐私保护 (Sensitive Non-Disclosure, SND)：
- PlanTwin 实现了 SND = 1.0，即没有任何敏感项（API Key、密码、PII 等）泄露到云端。
- 相比之下，传统的 PII 红action 方法 SND 仅为 0.835（在代码任务中低至 0.12），漏掉了大量硬编码的密钥和连接字符串。
- 本地小模型方案虽然 SND=1.0，但规划质量极低。
规划质量 (Plan Quality Score, PQS)：
- PlanTwin 在 4 个规划器中的 3 个上达到了 PQS > 0.79（Kimi: 0.808, GLM: 0.810, MiniMax: 0.792）。
- 与“原始上下文”（Raw Context）基线相比，PlanTwin 的规划质量在统计上无显著差异（p > 0.05），表明抽象图保留了足够的规划所需结构。
- 仅比原始上下文低约 2.2% 的效用损失，远优于本地小模型（PQS ~0.28-0.56）。
隐私 - 效用权衡：
- PlanTwin 是唯一能同时实现完全隐私保护和高规划质量的方法。
- PII 红action 虽然质量略高，但付出了 16.5% 的敏感信息泄露代价。
对抗性重识别风险：
- 实验表明，如果不受预算限制，攻击者利用辅助知识结合孪生图的所有字段，重识别准确率可达 94.1%。
- 引入披露预算后，有效阻断了这种攻击，证明了预算机制的必要性。
系统开销：
- 主要延迟来自本地 SLM 提取（13-34 秒）和云端 API 调用。
- 确定性投影流水线本身开销极小（<1ms）。
- 由于 Prompt 压缩，在某些任务（如 DevOps）上，PlanTwin 的总延迟甚至低于发送原始上下文的方案。

5. 意义与结论

PlanTwin 证明了强大的云端规划能力并不依赖于原始上下文的暴露。

范式转变：它将“规划时的可观察性”提升为隐私感知智能体的首要系统接口。
架构价值：通过“数字孪生”和“累积披露预算”，在保持云端智能体高效协作的同时，从架构层面根除了敏感数据泄露的风险。
通用性：该设计与具体的云端模型无关，可适配各种 LLM 和智能体工作流。
未来方向：论文还探讨了在云端构建基于孪生图的合成沙箱（Synthetic Sandbox）的可能性，以进一步隔离执行环境，同时保持隐私保证。

综上所述，PlanTwin 为构建安全、隐私且高效的云辅助 LLM 智能体系统提供了一套完整的理论框架和工程实践方案。