技术摘要：ToolMinimize —— 通过审计与重写 LLM Agent 工具调用以最小化隐私暴露

1. 问题陈述

大语言模型（LLM）智能体（Agent）在调用工具时，经常会在工具调用参数中包含超出其功能需求的隐私敏感数据（PSD）。这种现象被称为工具调用过度共享（tool call over-sharing），其发生原因是智能体倾向于优化任务完成度和帮助性，而非数据最小化。因此，智能体在每次调用时都会向第三方服务泄露不必要的敏感数据，从而跨越了信任边界。

本文指出，现有的防御机制并不充分：

• 允许/阻断门控（Allow/Block Gating）： 如 AudAgent 或 PrivacyChecker 等系统在调用层面运行，或使用二元的“允许/阻断”决策。它们无法重写参数值；因此，包含敏感数据的工具调用（例如在天气查询中包含癌症中心名称）要么被阻断（导致任务失效），要么被允许（导致数据泄露）。
• 信息流控制（IFC）： 如 Fides 或 CaMeL 等系统虽然可以追踪机密性标签，但无法对单个字段进行渐进式的重写。
• PII 检测： 如 Presidio 等工具依赖模式匹配和命名实体识别（NER）。它们无法检测隐式 PSD（例如，“纪念斯隆-凯特琳医院”暗示了某种健康状况，但它不是标准的 PII 模式），且缺乏模式感知能力，无法区分必要与不必要的数据字段。

对三种生产级 LLM（GPT-4o、Claude 3.5 Sonnet、Llama-3.3-70B）的实证测量显示，在默认提示词下，81–88% 的工具调用包含不必要的 PSD。即使有明确的隐私指令，过度共享在 36–76% 的调用中依然存在。

2. 方法论：ToolMinimize

ToolMinimize 是一种中间件解决方案，它拦截智能体参数构建（V3阶段）与工具执行（V4阶段）之间的工具调用。它的运行无需修改 LLM、智能体框架或工具本身。该系统采用四阶段流水线：

A. PSD 分类法与分类

系统利用基于 GDPR 第 9 条分类的 10 类 PSD 分类法（例如：直接标识符、健康、金融、位置、隐式上下文）。

• 两阶段分类器：
  1. 模式 + 实体提取： 使用确定性正则表达式和实体提取来识别标准 PII 和机构名称。
  2. 语义分类器： 检测隐式 PSD（例如，从医院名称推断诊断结果）并处理编码字符串（如 Base64）。
  • 注： 系统可以根据需要集成 spaCy NER 后端，以提高召回率，但会增加延迟。

B. 隐私成本指标 (PC)

系统为每个工具调用计算一个量化指标 PC(t, args)，用于对隐私暴露程度进行排序。
$$PC(t, args) = \sum_{j=1}^{|P|} S(p_j) \cdot E(f) \cdot N(p_j, f)$$
其中：

• $S(p_j)$: PSD 项目的敏感度等级（基于 GDPR 层级，范围 1–4）。
• $E(f)$: 基于工具宿主信任关系的暴露因子（例如，无 DPA 的第三方工具为 1.0）。
• $N(p_j, f)$: 必要性标志（如果字段在 Schema 中被标记为 minimum_necessary，则为 0，否则为 1）。

C. 模式感知的必要性分析

系统通过分析工具的 JSON Schema 来确定字段处置方式：

• 必填 vs 可选： 包含 PSD 的可选字段是移除的候选对象。
• 最小必要（Minimum Necessary）： 如果 Schema 包含 minimum_necessary 注解（例如，天气工具需要“城市”但不需要“街道地址”），系统会识别超出此粒度的数据。
• 语义必要性： 对于必填字段，系统应用特定类型的工具处理器（例如，泛化日历标题或从搜索查询中剥离标识符）。

D. 渐进式重写

ToolMinimize 不采取阻断调用策略，而是通过四种操作实现数据最小化，同时保持任务有效性：

1. 移除（Removal）： 删除可选且不必要的字段。
2. 泛化（Generalization）： 粗粒度化数值（例如，“纽约第五大道 1275 号” $\to$ “纽约，纽约市”）。
3. 替换（Substitution）： 用合成的、符合 Schema 规范的数据替换原值（例如，user@example.com）。
4. 截断（Truncation）： 对 GPS 坐标进行取整或缩短邮政编码。

一个可选的**内容必要性层（Content-Necessity Layer）**使用 LLM 来评估特定“必要”自由文本字段（如电子邮件正文）中的 PSD 是否对任务至关重要，从而剔除与任务无关的披露信息。

3. 核心贡献

1. 实证证据： 通过受控研究证明，过度共享在生产级 LLM 中普遍存在，且安全训练/隐私提示不足以防止这一问题。
2. ToolMinimize 系统： 首个实现模式感知、参数级数据最小化的系统，通过渐进式重写而非二元门控来实现。
3. 量化指标： 一个结合了敏感度、信任度和必要性的隐私成本指标（$PC$），该指标经过验证，在权重扰动下具有排序稳定性。
4. AgentPrivBench： 一个开源基准测试，包含带有地面真值（ground-truth）PSD 注释和标准化隐私指标的工具，用于评估智能体隐私。
5. 全面评估： 在三个智能体框架（AutoGen, MCP, LangChain）、四种 LLM 配置以及真实的 MCP Schema 上进行了验证。

4. 实验结果

评估针对 GPT-4o、Claude Sonnet 和 Llama-3.3-70B 进行了 307 次实时工具调用，并在 90 个策划场景和 25 个未标注的真实 MCP Schema 上进行了测试。

• 隐私降低：

  • 仅 Schema 模式下的 ToolMinimize： 在保持 100% 参数级任务有效性（TCR） 的前提下，实现了实时 LLM 输出中隐私成本 81.2–92.0% 的降低。
  • 配合内容感知扩展： 通过剔除自由文本字段中与任务无关的 PSD，降幅提升至 85.1–95.6%。
  • 未标注 Schema： 在没有 minimum_necessary 元数据的 25 个真实 MCP Schema 上实现了 79.0% 的降低。
  • 对比： 与 PII 检测工具相比，ToolMinimize 将残余隐私成本降低了 7.3 倍，并且比基于门控的基准方案获得了显著更高的数据最小化得分（DMS）。

• 任务有效性：

  • ToolMinimize 在主要评估中保持了 100% 的 TCR（Schema 有效性）。
  • 在针对模拟端点的端到端执行测试中，80% 的场景产生了功能等效的结果。失败主要发生在由于缺少 minimum_necessary 注解而导致必填地址被移除的地图场景中。

• 性能：

  • 延迟： 仅 Schema 路径的中位延迟为 1.77 ms。
  • 内容感知路径： 每次调用增加约 800 ms（一次 LLM 推理），但仅选择性应用于自由文本字段。
  • 框架集成： 在 AutoGen、MCP 和 LangChain 中的适配器开销极小（<0.1 ms）。

5. 重要性与主张

论文声称 ToolMinimize 解决了智能体安全中的一个关键差距：即现有系统无法重写工具参数以达到最小必要数据量。

• 过度共享的结构性本质： 作者认为，过度共享是 LLM “帮助性”目标的结构性后果，而非仅仅是安全训练的失败。因此，中间件干预是必要的。
• 互补性： ToolMinimize 设计为现有 IFC 和门控系统的补充。门控系统阻止数据流，而 ToolMinimize 最小化允许流中的数据。
• 实用性： 该系统运行延迟低，无需重新训练 LLM 或修改工具提供商，是一种可部署的中间件解决方案。
• 局限性： 作者承认系统依赖于分类器的召回率（漏检项不会被重写），且 minimum_necessary 注解对于实现最优性能至关重要。对抗性编码（如字段拆分）和多模态 PSD 仍是开放的挑战。

总之，ToolMinimize 证明了参数级重写是一种可行且有效的策略，能够在不牺牲任务效用的情况下，大幅降低 LLM 智能体的隐私暴露风险。