Say Something Else: Rethinking Contextual Privacy as Information Sufficiency

这是一篇关于重新思考大语言模型（LLM）代理在通信中隐私保护策略的学术论文。论文提出了一种新的任务框架、评估协议，并引入了一种新的隐私保护策略，通过大规模实验验证了其在多轮对话场景下的优越性。

以下是该论文的详细技术总结：

1. 研究背景与问题 (Problem)

• 背景：LLM 代理越来越多地代表用户起草消息（如回复 Slack、填写申请表）。然而，用户往往过度分享敏感信息，且对“什么是隐私”存在分歧，导致代理难以仅靠用户指令来保护隐私。
• 现有局限：
  • 策略空间不完整：现有系统主要依赖两种源自结构化数据的策略：抑制 (Suppression)（直接省略敏感信息）和泛化 (Generalization)（用抽象类别替换具体信息）。
    • 抑制 会导致信息缺失，引发接收者的追问。
    • 泛化 虽然保留了部分信息，但往往暴露了敏感信息的领域，且显得含糊其辞，容易引发针对性追问。
  • 评估设置不足：现有基准测试大多基于单轮消息（静态评估），忽略了人类沟通的多轮交互特性。在真实场景中，接收者会通过自然追问（Follow-up）来探测隐藏信息，而现有评估未能捕捉这种动态泄露风险。
• 核心问题：在考虑多轮交互压力和不同社会关系（权力关系）的复杂语境下，哪种隐私保护策略能最好地平衡隐私、效用和隐蔽性？

2. 方法论 (Methodology)

2.1 任务定义：信息充分性 (Information Sufficiency, IS)

作者将隐私保护的 LLM 通信形式化为信息充分性 (IS) 任务。

• 目标：代理在起草回复时，必须满足接收者的功能性需求（达成沟通目标），同时尽可能少地泄露用户的真实敏感属性。
• 三大 desiderata：
  1. 隐私 (Privacy)：攻击者无法从对话中推断出真实属性。
  2. 隐蔽性 (Covertness)：回复看起来自然，不显得回避或伪造。
  3. 效用 (Utility)：成功达成沟通目标并满足接收者需求。

2.2 引入新策略：自由文本伪名化 (Free-text Pseudonymization)

除了传统的抑制和泛化，作者引入了第三种策略：

• 伪名化：将敏感属性替换为功能等效的、合理的虚构替代值（例如，将“正在接受化疗”替换为“参加专业培训”）。
• 优势：既满足了接收者的信息需求（维持效用），又避免了暴露真实敏感信息，且由于提供了完整的叙事，显得更自然（高隐蔽性）。

2.3 评估协议：多轮对话评估 (Conversational Evaluation Protocol)

作者提出了一套包含三个阶段的评估协议，以模拟真实的交互压力：

1. 策略条件生成：代理根据特定策略（无保护、抑制、泛化、伪名化）生成初始回复 ($m_1$)。
2. 模拟追问：一个非对抗性的接收者模拟器（基于 Deepseek-v3.2）根据角色和上下文生成自然的追问 ($f_1, f_2$)，代理需保持逻辑一致性进行回复 ($m_2, m_3$)。
3. 全对话评估：基于完整的对话记录 ($T$)，由 LLM 法官评估隐私泄露程度、隐蔽性和效用。
   • 隐私指标：使用 $HLS$ (Hypothesis Leakage Score)，衡量攻击者猜中真实值（Exact Match）或类别（Category Match）的概率。
   • 综合指标：$IS\text{-}AD = (1 - HLS) \times Util$，即隐私与效用的加权乘积。

2.4 数据集构建

• 基于 PrivacyLens 数据集，构建了 792 个场景。
• 维度：
  • 权力关系：机构 (Institutional)、同伴 (Peer)、亲密 (Intimate)。
  • 敏感度类型：歧视风险 (Discrimination Risk)、社会成本 (Social Cost)、边界 (Boundary)。
• 评估了 7 个前沿 LLM（如 Gemini 3.1 Pro, GPT-5.4, Kimi K2.5 等）。

3. 主要结果 (Key Results)

3.1 伪名化在隐私 - 效用权衡中占主导地位

• 综合表现：在所有 7 个模型中，伪名化 (Pseudonymization) consistently 位于帕累托前沿，其平均 $IS\text{-}AD$ 得分为 0.764。
• 对比：
  • 优于抑制 (0.730) 和无保护基线 (0.694)。
  • 泛化 (Generalization) 表现最差 (0.664)，甚至在某些情况下被“无保护”策略帕累托占优（即泛化既没有提供足够的隐私，又牺牲了隐蔽性）。
• 原因：伪名化保留了 98.5% 的效用（接近无保护），同时提供了强大的隐私保护；而抑制仅保留了 86.6% 的效用。

3.2 单消息评估系统性低估了泄露风险

• 脆弱性差距 ($\Delta_{vuln}$)：定义为多轮追问后的泄露量减去单轮泄露量。
  • 泛化最脆弱：平均泄露增加 11.8 个百分点。因为模糊的回答暗示了隐瞒，诱导接收者进行更针对性的追问，导致模型最终“崩溃”并泄露真相。
  • 抑制也较脆弱：泄露增加 8.3 个百分点，因为信息空白会触发更激进的询问。
  • 伪名化最稳定：泄露仅增加 3.9 个百分点。因为初始回复提供了一个自洽的虚构故事，后续追问难以找到突破口。
• 结论：静态（单轮）评估错误地将抑制或泛化排名靠前，而忽略了交互动态带来的风险。

3.3 隐蔽性 (Covertness) 是脆弱性的中介机制

• 机制链条：抑制和泛化产生的回复听起来像“回避”（低隐蔽性） $\rightarrow$ 触发接收者更尖锐的追问 $\rightarrow$ 增加泄露机会。
• 数据支持：伪名化的平均隐蔽性评分 (4.35/5) 与无保护基线 (4.40) 几乎无异，而抑制 (3.64) 和泛化 (3.41) 显著较低。

3.4 语境调节策略效果

• 最难场景 (机构 x 歧视风险)：即使在此类高推断压力场景下，伪名化仍比无保护高出 0.127 分。
• 亲密关系 x 社会成本：伪名化优势最大。在亲密关系中，接收者有强烈动机追问，泛化极易被识破，而伪名化提供的完整替代叙事能有效满足好奇心。
• 例外情况：在“同伴 x 社会成本”的低权力杠杆场景下，简单的抑制（回避）可能比构建复杂的虚构故事（伪名化）更有效，因为后者可能显得过度设计。

4. 核心贡献 (Contributions)

1. 理论框架：将隐私保护通信重新定义为信息充分性 (IS) 任务，强调在满足沟通目标的同时最小化披露。
2. 策略扩展：首次将自由文本伪名化引入 LLM 隐私保护策略空间，并证明其在多轮对话中优于传统的抑制和泛化。
3. 评估协议：提出了多轮对话评估协议，揭示了单轮评估在评估隐私策略时的系统性偏差（低估了泛化和抑制的风险）。
4. 大规模实证：在 792 个场景和 7 个模型上进行了全面评估，提供了首个策略性能的经验图谱。

5. 意义与启示 (Significance)

• 挑战现有共识：直接挑战了当前文献中普遍推荐“泛化/抽象”作为默认隐私保护手段的观点，证明其在多轮交互中往往失效。
• 重新定义欺骗与隐私：论文在伦理部分论证，伪名化并非恶意欺骗，而是披露管理 (Disclosure Management)。它允许用户控制关于自身的披露，同时满足接收者的功能性需求（如批准请假），符合 GDPR 等法规对伪名化的定义。
• 未来方向：指出未来的隐私保护 AI 助手必须具备上下文感知的策略选择能力，并能应对对抗性的多轮压力测试，而不仅仅是静态过滤。

总结：这篇论文通过引入“伪名化”策略和“多轮对话评估”方法，证明了在真实的 LLM 代理通信中，用合理的虚构替代真实信息（伪名化） 比单纯删除或模糊信息更能有效地平衡隐私保护与沟通效用，且能避免引发不必要的追问。