🤖 AI

Minim: Privacy-Aware Minimal View for Agents via Trusted Local Sanitization

本文提出了 MINIM，这是一个受信任的本地代理，它利用上下文完整性（Contextual Integrity）原则，通过预测元素的敏感性和任务必要性来动态地对 UI 观测结果进行脱敏，从而在最小化隐私泄露的同时，保留可靠 LLM 智能体执行动作所需的关键上下文。

原作者： Hexuan Yu, Chaoyu Zhang, Heng Jin, Shanghao Shi, Ning Zhang, Y. Thomas Hou, Wenjing Lou

发布于 2026-06-15

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Hexuan Yu, Chaoyu Zhang, Heng Jin, Shanghao Shi, Ning Zhang, Y. Thomas Hou, Wenjing Lou

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你有一个住在云端的非常聪明、乐于助人的机器人助手。当你要求它“回复这封邮件”时，它需要看到你的电脑屏幕才能完成这项工作。

问题：“过度分享”的机器人
目前，当你要求机器人提供帮助时，它通常会将你的整个电脑屏幕的实时视频流发送到云端。即使你只想让它看你的电子邮件，机器人也会看到你的银行账户余额、你和妈妈的短信，以及你的手机刚刚收到的登录验证码。

这篇论文称之为**“语义过度特权观察”（Semantic Over-Privileged Observation）**。这就像你雇了一位家政人员来为你客厅除尘，但你却敞开了前门，并把保险箱、卧室以及日记的万能钥匙交给了他们。他们并不需要看到这些东西来擦拭沙发，但他们还是看到了，这造成了隐私风险。

解决方案：MINIM（“智能守门员”）
作者创建了一个名为 MINIM 的新系统。你可以把 MINIM 想象成一个超级聪明的保安，它站在你电脑的前门处，在任何数据离开你的设备之前进行拦截。

MINIM 不会发送整个杂乱的屏幕，而是查看屏幕上的每一个元素（按钮、文本、图标），并针对每个元素询问两个简单的问题：

这是敏感信息吗？（是否包含密码或代码等秘密？）
这是必要的吗？（机器人为了完成你要求的特定任务，真的需要看到这个吗？）

MINIM 如何运作：三步过滤器
基于这两个问题，MINIM 会决定对屏幕上的每个项目采取以下三种行动之一：

保留 (Keep, K)： 如果该项目是有用的且非秘密的（例如你想回复的邮件正文），MINIM 会让它原封不动地通过。
移除 (Remove, R)： 如果该项目对于任务是无用的且非秘密的（例如一张装饰性的背景图片），MINIM 会将其完全丢弃。
抽象化 (Abstract, A)： 这是最聪明的部分。如果一个项目有用但又是秘密的（例如一个位于隐藏密码框旁边的“提交”按钮），MINIM 不会删除它（因为机器人需要知道按钮在哪里），但它会模糊掉秘密部分。它会将密码替换为一个通用的占位符，如 [SECRET]。机器人知道该点击哪里，但无法读取秘密内容。

“情境完整性”原则
MINIM 遵循**“情境完整性”（Contextual Integrity）**原则。想象一下你在参加一个派对。与陌生人聊聊天气是很正常的（低敏感度，高必要性，适合闲聊）。但如果你开始向那个陌生人谈论你的银行 PIN 码，这就会显得很奇怪且危险，即使对方表现得很友好。

MINIM 确保信息只有在符合任务“情境”时才会流动。如果你只是在浏览网页，那么你的 2FA 代码（安全验证码）与此无关且具有危险性。如果你正在登录，那么同一个代码就变得至关重要。MINIM 理解这种区别。

实验结果显示
研究人员在真实的现实任务（如在线购物、查看 Reddit 和管理 Gmail）中测试了 MINIM。他们将 MINIM 与以下方式进行了对比：

发送全部内容：（高隐私风险）。
使用标准 AI 模型：（他们尝试猜测该隐藏什么，但经常保留了过多的敏感信息）。
MINIM：

结果非常明确：

隐私性： 与其他方法相比，MINIM 阻断了 90% 以上不必要的敏感信息。它成功隐藏了机器人不需要看到的验证码和私人通知。
有用性： 尽管隐藏了这么多内容，机器人仍然可以完美地完成工作。它保留了所有“可操作”的部分（如按钮和输入框），因此机器人仍然可以进行点击、输入和导航。

简而言之
MINIM 是一个本地隐私卫士，充当着你屏幕的智能编辑。它剪掉杂乱的内容，模糊掉你不必分享的秘密，并且只向机器人发送完成任务所需的最低限度信息。这样一来，你的机器人助手在保持高效的同时，不会变成一个窥探隐私的间谍。

技术摘要：MINIM —— 通过可信本地净化实现面向智能体的隐私感知极简视图

1. 问题陈述：语义过度特权观测

现代自主智能体日益依赖结构化观测（例如，无障碍树、DOM 表示）来与数字环境进行交互。虽然这些结构化接口为可靠的操作落地提供了丰富的语义上下文，但目前的部署范式通常遵循“先共享”的设计，即将整个原始界面状态传输给远程推理服务器。

作者识别出一种特定的失效模式，称为语义过度特权观测（Semantic Over-Privileged Observation）。在这种场景下，智能体接收到的不仅是当前用户任务所需的元素，还有大量与任务无关的上下文（例如，侧边栏通知、后台应用程序窗口、无关的浏览器标签页）。这种暴露会导致敏感但非必要的信息泄露，例如身份验证码、私人通知和行为痕迹，这些信息可能被用于画像分析。

现有的隐私解决方案并不适用于这种设定：

任务无关的过滤（例如 PII 脱敏）存在移除任务关键型上下文或遗漏非 PII 敏感属性的风险。
**差分隐私（Differential Privacy）**引入随机噪声，可能会扭曲智能体执行可靠操作所需的精确语义线索。
密码学方法（例如 FHE、MPC）保护了计算过程，但无法防止远程服务器从披露的状态中推断出敏感信息，且往往以高昂的延迟为代价。

核心挑战在于隐私需求是任务条件的：一个元素（例如，一个 2FA 验证码）对于一个任务可能是至关重要的，但对于另一个任务则构成纯粹的泄露。

2. 方法论：MINIM 框架

作者提出了 MINIM，一个在客户端设备上执行**预披露最小化（pre-disclosure minimization）的可信本地代理。MINIM 作为一个结构性瓶颈，在智能体的观测数据离开设备之前对其进行净化。该框架基于上下文完整性（Contextual Integrity, CI）**理论，将信息流应遵循由上下文、参与者、属性和传输原则定义的规范这一原则付诸实践。

2.1. 双分值表示

MINIM 使用一个学习模型来为结构化观测中的每个元素（例如无障碍树节点）预测两个标量分数：

固有敏感度分数 ( $s$ )：捕捉元素的内在信息风险，该风险独立于当前任务。
任务条件必要性分数 ( $n$ )：捕捉该元素对于完成特定用户任务 $T$ 的效用。

2.2. 训练目标

该模型使用具备 CI 感知能力的训练目标进行训练，旨在最小化上下文不当信息的披露，同时满足任务效用约束。其损失函数结合了：

敏感度损失 ( $L_{sens}$ )：最小化预测内在风险的误差。
必要性损失 ( $L_{nec}$ )：最小化预测任务必要性的误差，但通过敏感度进行加权。对于那些高度敏感但与任务无关的节点，损失会被放大，从而严厉惩罚未能识别出不必要的高风险内容的模型。

2.3. 三元披露策略

在部署阶段，预测的分数驱动一个确定性策略，将每个节点映射到以下三种动作之一：

保留 (Keep, K)：如果节点是必要的（ $n \ge \tau_{nec}$ ）且低风险（ $s < \tau_{sens}$ ）。该元素原样传输。
抽象 (Abstract, A)：如果节点是必要的（ $n \ge \tau_{nec}$ ）但高风险（ $s \ge \tau_{sens}$ ）。敏感属性被替换为占位符（例如 [REDACTED]），同时保留其结构角色（例如，保留按钮结构但遮蔽 2FA 验证码的值）。
移除 (Remove, R)：如果节点是不必要的（ $n < \tau_{nec}$ ）。该元素被完全剪枝。

3. 核心贡献

问题形式化：论文识别并形式化了依赖结构化输入的智能体系统中存在的“语义过度特权观测”这一独特隐私风险，并提出了预披露最小化作为解决方案。
MINIM 架构：作者引入了一个可信本地代理，将上下文评分与策略执行解耦。它利用双分值机制（敏感度和必要性）并通过 CI 感知目标进行训练，以执行“知情必要”的披露规则。
实证验证：该框架在源自 WebArena（涵盖购物、Reddit 和 Gmail 领域）的真实无障碍树上进行了评估，证明了在不损害任务执行能力的前提下，能够显著减少信息泄露。

4. 实验结果

实验在基于 WebArena 衍生并增加了合成敏感上下文（如 2FA 验证码、密码）的 662 个测试变体数据集上进行。

4.1. 性能指标

任务关键节点保留率 (TCNP)：MINIM 保留了 94.91% 的任务关键上下文以及 99.31% 的任务关键交互式元素 (TCNP-I)。
任务无关敏感泄露 (TISL)：MINIM 将敏感泄露降低至 0.101（归一化值），这大约是全量观测泄露量的 10%。相比于“仅需必要性（Necessity-Only）”基准（0.2032），实现了约 50% 的降幅，并且显著优于“仅限敏感度（Sensitivity-Only）”或“随机（Random）”基准。

4.2. 与 LLM 基准的对比

作者将 MINIM 与若干被提示作为评分器的开源大语言模型（LLM）进行了对比。

LLM 的局限性：虽然通用 LLM 实现了较高的效用（TCNP-I $\approx$ 0.99），但表现出显著更高的泄露率（TISL 范围在 0.194 至 0.312 之间）。它们倾向于在保留有用元素的同时，也保留了与任务无关的敏感内容。
效率：MINIM 仅保留了 12% 的节点（相比之下，LLM 为 26–35%），同时实现了相当或更优的可操作召回率。这突显了通用指令微调本身并不足以强制执行任务条件的最小化。

4.3. 消融实验与鲁棒性

抽象的价值：将“抽象 (A)”动作替换为“移除 (R)”会导致可操作召回率 (TCNP-I) 从 0.9931 下降到 0.9650，这表明在遮蔽数值的同时保留结构化功能对于任务执行至关重要。
任务语义：模型根据任务类型调整其压缩率，针对“敏感/管理”类任务保留了更多节点 (15.84%)，而针对“信息获取”类任务保留较少 (8.66%)，以确保安全流程的功能性。

5. 重要性与主张

论文声称，MINIM 证明了强力的隐私保障可以与可靠的智能体执行能力并存。通过利用可信本地净化，将“先共享”范式转变为“知情必要”范式，MINIM 解决了即使智能体识别出内容敏感也无法保护上下文的“隐私判断-行动差距（Privacy Judgment-Action Gap）”。

作者强调，其方法具有表示无关性（representation-agnostic）；虽然是在无障碍树上进行的评估，但其基于 CI 的结构化评分机制同样适用于其他结构化观测格式（如 DOM、场景图、工具 Schema）。他们将 MINIM 定位为不是针对主动攻击者的完整安全解决方案，而是针对自主智能体观测通道的关键隐私缓解组件，从而能够在隐私敏感的环境中实现更安全的部署。