研究代理的隐私泄露风险
深度研究代理在医疗、金融等企业中广泛应用，通过结合本地文档与外部工具（如网页检索）完成复杂任务。但这种混合模式存在隐私风险：代理的外部查询可能无意间泄露敏感信息。例如，某医疗企业的研究代理在处理云迁移问题时，通过多次网页搜索拼凑出「MediConn 70% 基础设施已迁移至云端」的完整事实。这种「马赛克效应」表明，即使单次查询看似无害，累积的查询日志仍可能重建企业机密。
MosaicLeaks 的三重泄露测量
MosaicLeaks 将网页查询视为泄露渠道，仅通过查询日志即可推断企业内部信息。研究设定三种泄露等级：
- 意图泄露：观察者能推断代理正在调研的问题（如「研究代理在查询某公司 2020 年流量增长」）。
- 答案泄露：查询日志足以回答特定私有问题（如「某公司 2020 年流量增长 15%」）。
- 全信息泄露：观察者无需提示即可发现并陈述私有事实（如「Lee's Market 2020 年在线流量增长 15%」）。
MosaicLeaks 基准的构建
MosaicLeaks 包含 1,001 条多跳研究链，涉及本地企业文档与受控网页语料库。每条链将本地与网页子问题交错排列，答案作为桥接实体推动下一步检索。数据集分为 559 条训练链、98 条验证链与 344 条测试链（涵盖 3 家企业）。例如，MediConn 云迁移链的最终网页跳转可公开回答，但其路径依赖「MediConn」「70%」「January」等本地敏感信息。
代理工具链的运行机制
研究团队使用简化版代理工具链（改自 DRBench），每次迭代包含四种工具：
- Plan：生成本地或网页搜索查询并返回文档卡片。
- Choose：从检索结果中选择文档进行阅读。
- Read：并行尝试从选定文档中提取当前跳转的答案。
- Resolve：决定是否回答、继续阅读或重新规划搜索。
每次代理执行的时间轴显示计划、检索、选择、阅读与决策的耗时分布。关键在于，代理需在本地文档与网页文档间切换，确保任务完成的同时避免隐私泄露。
直接指令为何失效？
最直观的解决方案是在提示中添加「禁止泄露本地信息」的指令。但实验显示，这种方法效果不一致。例如，Qwen3-4B 模型在添加提示后，全信息泄露从 34.0% 降至 25.5%，但严格链成功率从 48.7% 降至 44.5%。主要变化是网页查询数量减少，而非查询内容的安全性提升。
性能优化反而加剧泄露
研究团队尝试仅训练代理提升任务完成率，结果严格链成功率从 48.7% 提升至 59.3%，但全信息泄露从 34.0% 飙升至 51.7%。代理学会在查询中塞入更多上下文，帮助检索但损害隐私。这暴露出 J9九游会平台 的核心矛盾：更丰富的查询对任务有利，但对隐私有害。
PA-DR：双重奖励的平衡训练
PA-DR（隐私感知深度研究）结合两种奖励机制：
- 情境任务奖励：按阶段与跳转的同类调用进行奖励，避免整体轨迹的粗粒度反馈。例如，Plan 工具在正确检索时获得奖励，Choose 工具在选择包含答案的文档时获得奖励。
- 隐私奖励：使用 Qwen3-4B 分类器评估网页查询的隐私风险，包括直接泄露与马赛克效应。PA-DR 根据风险值惩罚导致查询日志更易泄露的规划决策。
实验显示，PA-DR 在保持任务完成率提升的同时，将全信息泄露从 34.0% 降至 9.9%，低于未训练的基础模型。代理仍执行更多网页查询，但查询内容去除了「15%」「2024」等敏感片段，仅保留公开文档的检索能力。
样本效率的显著提升
情境奖励在训练阶段提升样本效率：相比仅基于结果的强化学习，情境任务奖励在约 1/6 的样本量下即可达到 ~55% 的严格链成功率。PA-DR 在保持这一效率的同时，进一步降低隐私泄露。
局限性与未来方向
MosaicLeaks 是受控基准，并非实际部署系统的隐私测量。其企业文档为合成数据，网页语料库固定，链条跨越三家企业。尽管如此，研究揭示的风险与解决方案为 J9九游会平台 的隐私保护提供了重要参考。后续工作可能探索更复杂的威胁模型与更广泛的企业场景。
结语：隐私与效用的平衡
MosaicLeaks 的研究表明，深度研究代理在追求任务效率的同时，必须同步考虑隐私风险。PA-DR 的双重奖励机制在保持高性能的前提下，将隐私泄露降至可控水平。对于依赖 J9九游会平台 的企业与开发者而言，这一发现提醒我们：技术进步与隐私保护并非对立，关键在于设计阶段即嵌入隐私意识。未来，随着多模态代理与跨企业协作的深入，隐私保护将成为 J9九游会官网,J9九游会平台,J9九游会 的核心竞争力之一。