Table of Contents
背景
深度研究代理正成为企业分析、医疗诊断等场景的得力助手。它们能结合本地私有文档与网络检索工具，回答复杂问题。然而，这种能力也埋下隐患：代理对外发出的每一次查询，都可能成为泄露企业机密的信息碎片。即使单次查询看似无害，但累积的查询日志足以让攻击者拼凑出完整情报——这就是“马赛克效应”（mosaic effect）。
近日，来自ServiceNow的研究团队在HuggingFace博客上发布了MosaicLeaks，一个专门衡量深度研究代理隐私泄露风险的新基准与解决方案。研究指出，现有代理在追求任务性能时，往往忽视查询过程中的隐私暴露问题，甚至可能出现“越训练越泄露”的悖论。
核心内容分析
隐私泄露的三种层次
MosaicLeaks将代理的隐私泄露分为三个递增的严重等级：
- 意图泄露（Intent Leakage）：攻击者仅凭查询日志就能推断出代理正在研究的私有问题或目标。例如，多次查询特定供应商的安全公告，暗示代理正在调查该供应商的安全漏洞。
- 答案泄露（Answer Leakage）：攻击者持有关于私有信息的特定问题，且能通过查询日志直接回答该问题。比如，日志中的查询组合恰好能回答“公司A的云迁移完成百分比”这样的私有问题。
- 完整信息泄露（Full-information Leakage）：攻击者无需事先知道问题，仅凭查询日志就能发现并陈述可验证的私有事实。这是最严重的情况，意味着日志本身已成为企业机密的公开文本。
马赛克效应如何驱动泄露
研究通过多跳问题（multi-hop questions）模拟真实场景：问题交织公开信息与私有信息，代理必须多次查询外部工具才能推理出最终答案。而每一次查询都可能暴露私有信息的线索。例如：代理查询“2025年1月安全披露”和“供应商被攻击”，结合私有文档中“MediConn已完成70%云迁移”的事实，攻击者便可推断出MediConn是受害者。
训练权衡与PA-DR方法
实验发现，仅优化任务性能的RL训练会使泄露更严重。为此，团队提出隐私感知深度研究（PA-DR） 训练方法，在奖励函数中引入隐私约束，使代理在保证正确率的同时减少敏感查询。结果显示：严格链成功率（每跳都正确）从48.7%提升至58.7%，同时答案/完整信息泄露从34.0%骤降至9.9%。
行业影响/专业点评
MosaicLeaks首次系统定义了深度研究代理的隐私泄露量化指标，填补了该领域的评估空白。对企业而言，部署深度研究代理时必须考虑查询日志的脱敏与审计机制；对开发者而言，PA-DR提供了一种可行的训练范式，但如何在更多模型和场景中泛化仍需探索。此外，该研究也提醒我们：AI代理的“智能”不应以牺牲隐私为代价，未来或需制定行业标准来规范代理的查询行为。
