💬 NLP

MosaicLeaks:Privacy Risks in Querying-in-the-Open for Deep Research Agents

本文介绍了 MosaicLeaks，这是一个证明了深度研究智能体由于马赛克效应，经常通过其外部查询泄露私有的本地信息，并提出了一个隐私感知深度研究（PA-DR）框架，该框架在提高任务准确性的同时，有效地减少了此类泄露。

原作者： Alexander Gurung, Spandana Gella, Alexandre Drouin, Issam H. Laradji, Perouz Taslakian, Rafael Pardinas

发布于 2026-06-01

📖 1 分钟阅读☕ 轻松阅读

原作者： Alexander Gurung, Spandana Gella, Alexandre Drouin, Issam H. Laradji, Perouz Taslakian, Rafael Pardinas

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下你是一名为一家秘密公司工作的资深侦探。你的工作是通过将从私人办公室文件中发现的线索与从公共互联网获取的信息相结合，来解决复杂的谜题。

名为“MosaicLeaks”的论文揭示了一个关于这些侦探特工（AI 模型）运作方式的惊人且危险的缺陷：即使它们没有大声说出秘密，它们在互联网上提问的方式也会在无意中泄露秘密。

以下是该论文研究结果的简单类比拆解：

1. 问题所在：“马赛克”（Mosaic）效应

想象一下你正在试图隐藏一个秘密食谱。

旧方法： 你可能会想，“如果我不把食谱写下来，我就安全了。”
新的风险： 你并没有把食谱写下来，而是去了公共图书馆并提出了一系列问题：
1. “标准蛋糕里有多少糖？”
2. “含有 200 克糖的蛋糕烘焙温度是多少？”
3. “谁发明了一种含有 200 克糖和特定香料的蛋糕？”

这些问题单独看都是无害的。但如果一名间谍（对手）观察了你的整个问题列表，他们就可以像拼凑马赛克一样将它们组合起来，从而重构出你的秘密食谱。

论文称之为马赛克效应。在 AI 世界中，这些“侦探”（深度研究智能体）经常泄露敏感的公司数据，因为它们使用私人数字（如“增长 15%”或“第三季度预算”）作为关键词在公开网络上进行搜索。

2. 实验：“MosaicLeaks”

研究人员构建了一个巨大的测试，名为 MosaicLeaks。

设置： 他们创建了 1,001 个复杂的谜题。为了解决每个谜题，AI 必须在私人公司文档（如内部邮件）和公共网络之间来回跳转。
陷阱： AI 必须利用来自私人文档的一块信息，才能知道要在网上搜索什么。
间谍： 他们在房间里放置了一个“间谍” AI。这个间谍看不见私人文档，也看不见最终答案。它只能看到侦探 AI 进行的网页搜索列表。

结果： 这个间谍猜中秘密的能力惊人地强。即使 AI 没有明确说出“我们的秘密是 X”，它搜索查询的组合也让间谍能够推断出答案。

3. 为什么简单的修复方法不起作用

研究人员尝试了两种常见的修复方法，两者都失败了：

“请不要泄密”的提示（提示词工程）： 他们在 AI 的指令中加入了一句注释，说“注意不要泄露私人信息”。
- 类比： 这就像告诉一个紧张的孩子，“别把牛奶洒了”，但随后又递给他们一杯满着的牛奶。孩子仍然会洒出来，因为他们的注意力集中在完成任务上，而不是规则上。AI 仍然泄露了数据，只是程度稍微减轻了一些。
针对速度的训练（任务表现）： 他们训练 AI 尽可能快地得到正确答案。
- 类比： 这让 AI 变得更快了，但实际上让泄密变得更严重了。AI 开始询问更多的信息以确保万无一失，这反而给了间谍更多可以拼凑成马赛克的碎片。

4. 解决方案：“隐私感知深度研究”（PA-DR）

研究人员开发了一种新的训练方法，称为 PA-DR。你可以把它理解为教给侦探一种新的思考方式。

他们不仅仅是奖励 AI 得到正确答案，而是给了它一个双重计分卡：

你解决谜题了吗？（任务奖励）
你留下了面包屑吗？（隐私惩罚）

他们使用了一个特殊的“隐私分类器”（一个经过训练、能识别泄密的微型 AI）来充当裁判。如果侦探提出的问题看起来可能会泄露秘密，裁判会立即给出惩罚。

神奇之处在于：

AI 学会了在不使用秘密数字进行搜索查询的情况下解决谜题。
示例： 与其搜索“2020 年李氏市场在交通增长 15% 时发生了什么？”，经过训练的 AI 会学习搜索“2020 年李氏市场在交通增长方面发生了什么？”
它仍然找到了正确的文档，但搜索查询中并不包含特定的“15%”这个数字，因此间谍无法通过它推断出秘密。

5. 核心结论

坏消息： 当前的 AI 智能体在搜索网络时非常不擅长保守秘密。它们经常泄露信息，简单的警告也无法阻止它们。
好消息： 你可以训练这些智能体具备隐私感知能力。通过教它们如何在“获取答案”与“不留下痕迹”之间取得平衡，它们可以在不暴露敏感公司数据的情况下解决复杂问题。

简而言之：目前的 AI 侦探在保持其搜索历史私密性方面表现很差，但通过正确的训练，它们可以学会如何在不让间谍知道自己在寻找什么的情况下解决谜题。

技术摘要：MosaicLeaks：深度研究智能体在查询公开信息时的隐私风险

问题定义

深度研究智能体正越来越多地被部署用于综合企业私有文档和外部工具（如网页搜索、云端 API）中的信息。虽然这种能力增强了任务性能，但也引入了一个关键的隐私风险：智能体可能会通过其外部工具调用泄露敏感的内部信息。由于**马赛克效应（mosaic effect）**的存在，这一风险被进一步放大——该现象是指单个查询在孤立状态下看似无害，但当攻击者随时间进行聚合时，便会揭示出敏感属性。

现有的基准测试和缓解策略在很大程度上未能解决这一特定场景。以往的工作主要关注个人属性或单跳任务，而深度研究基准通常将本地信息源与外部信息源视为并行的而非相互依赖的关系。因此，智能体无法识别出依赖于本地上下文的外部查询可能会重构出私密数据。

研究方法

1. MosaicLeaks 基准测试

作者引入了 MosaicLeaks，这是一个包含 1,001 个多跳深度研究任务的基准测试，旨在强制诱发隐私泄露。

数据构建： 该数据集交织了本地企业文档（源自 DRBench）和公开网络内容（源自 BrowseComp-Plus）。任务被构建为多跳链条，其中本地子问题的答案作为后续网络查询的关键实体（例如：本地 $\to$ 网络 $\to$ 本地）。
对抗设置： 一个攻击者模型（StepFun-3.5-Flash）仅观察智能体生成的累计网络查询序列。它看不见本地文档或智能体的内部推理过程。
泄露指标： 隐私泄露根据三个递增的严重程度进行评估：
1. 意图泄露（Intent Leakage）： 攻击者能否预测智能体正在进行的特定研究问题？
2. 答案泄露（Answer Leakage）： 在给定查询序列的情况下，攻击者能否回答关于企业文档的特定私密问题？
3. 全信息泄露（Full-Information Leakage）： 攻击者能否在没有特定问题提示的情况下，生成关于企业文档的可验证且真实的客观事实陈述？

2. 基线评估

作者在 MosaicLeaks 上评估了六个开源模型（包括 Qwen3、StepFun、GPT-OSS 和 Gemma）。

发现： 模型在所有三个层面上都频繁发生信息泄露。
提示词局限性： 朴素的零样本提示（指令智能体避免泄露）仅略微降低了泄露，但未能消除泄露。在某些情况下，它仅仅是减少了查询的数量，而非提高了查询文本本身的隐私性。
性能与隐私的权衡： 仅针对任务性能使用强化学习（RL）训练智能体会提高准确率，但会显著恶化隐私泄露，因为智能体会学会包含更多具体（因此更具泄露性）的细节在查询中，以确保检索成功。

3. 提出的解决方案：隐私感知深度研究（PA-DR）

为了解决泄露-性能权衡问题，作者提出了 PA-DR，这是一个优化任务成功率和隐私保护的强化学习框架。

情境奖励（Situational Rewards）： 不同于仅在轨迹结束提供单一奖励的标准基于结果的 RL，PA-DR 使用情境奖励来提供稠密的信用分配（credit assignment）。奖励根据每跳（per-hop）和每个阶段（计划、选择）进行计算，判断智能体是否检索到了正确的文档源或选择了金标文档。
隐私惩罚： 一个轻量级的二分类器（基于 26,734 个标记样本训练）用于估计给定一批网络查询时的泄露概率。奖励函数结合了该分类器得出的惩罚项：
- 直接泄露： 如果当前的查询批次本身泄露信息，则对其进行惩罚。
- 马赛克泄露： 根据当前批次对整个轨迹的累计泄露贡献程度进行惩罚。
- 最终的隐私奖励定义为 $r_{privacy} = -\max(c_{direct}, c_{mosaic})$ ，其中成本由分类器预测的泄露概率得出。
训练： 该框架使用 PipelineRL 训练 Qwen3-4B-Instruct 模型，共同优化情境任务奖励和隐私惩罚。

关键结果

性能提升： 使用 PA-DR 训练将 Qwen3-4B-Instruct 的严格链条成功率从 48.7%（基线）提升至 58.7%。
隐私降低： 同步进行的训练将答案泄露和全信息泄露从 34.0% 降低到了 9.9%。
组合优化： 当结合隐私感知提示词时，PA-DR 模型实现了 59.3% 的链条准确率，而泄露率仅为 7.6%。
行为分析： 与仅仅通过减少查询数量来降低泄露的提示法不同，PA-DR 训练的模型进行了更多的查询，但其文本在语义上更不具揭示性。模型学会了在检索必要文档的同时，在查询文本中省略特定的指标（例如“15%”）或答案类型，从而打破了攻击者重构私密事实所需的语义联系。
对比： PA-DR 推向了帕累托前沿（Pareto frontier），与仅针对任务性能进行训练或使用标准基于结果 RL 的模型相比，它能同时实现更高的准确率和更低的泄露率。

意义与贡献

本文主要有三项贡献：

MosaicLeaks 基准测试： 一个新的评估框架，专门测试具有强本地-外部信息依赖性的多跳问题的深度研究智能体，捕捉了企业环境中的马赛克效应。
实证分析： 证明了标准的深度研究智能体经常泄露企业数据，并且仅针对任务性能进行优化会加剧这种风险。同时也表明，基于提示的干预措施对于此任务是不充分的。
PA-DR 框架： 将隐私感知智能体训练形式化为一个联合目标。通过使用学习到的隐私分类器来提供针对单次查询和马赛克级泄露的稠密信用分配，作者展示了训练既高准确率又具备隐私保护能力的智能体是可行的。

作者总结道，尽管目前的智能体容易产生马赛克泄露，但使用带有情域隐私奖励的 RL 训练为在不牺牲数据安全的前提下，将深度研究智能体部署到敏感的企业环境中提供了一条可行的路径。