MosaicLeaks：研究代理能保守秘密吗？

概要

深度研究代理越来越多地将私有本地文档与网页检索等外部工具结合，这带来隐私风险：代理对外发送的查询可能泄露敏感信息。MosaicLeaks 提出一项新的深度研究任务，用多跳问题交替连接公开与私有信息。在测试模型中，代理频繁泄露私有信息，而仅针对任务表现训练会让泄露更加严重。

我们提出考虑拼接泄露的强化学习方法 Privacy-Aware Deep Research（PA-DR，隐私感知深度研究）：它将严格链成功率——每一跳都回答正确的链占比——从 48.7% 提升到 58.7%，同时把答案或完整信息泄露从 34.0% 降至 9.9%。

深度研究代理中的隐私泄露

医疗企业的一位研究代理正在处理常规问题，过程中发出几条看起来普通的网页搜索：一条提及云迁移里程碑，一条涉及 2024 年 1 月的安全披露，还有一条缩小遭受攻击的供应商范围。单条查询不一定泄露整个秘密。

但观察代理外发流量的人可以将这些片段重组：到 2025 年 1 月，MediConn 已将 70% 的基础设施迁至云端，这一事实原本只存在于私有文档中。这就是拼接效应（mosaic effect），也是 MosaicLeaks 研究的核心失效模式。

MosaicLeaks 把这些网页查询视为泄露通道：对手看不到私有文档或代理的推理，只能看到累积的查询日志，并试图从中推断企业私有信息。

我们根据对手能够从观察到的查询推断什么，采用三种泄露指标：

这三类代表逐渐加深的风险。意图泄露暴露代理在调查什么；答案泄露表示日志中已经包含足够信息，可回答观察者手头已有的私有问题；完整信息泄露更强，观察者无需被告知要寻找什么，也能发现并陈述私有事实。

原文示意图说明拼接效应如何形成三种指标：意图——预测研究问题，答案——回答给定的私有文档问题，完整信息——陈述可验证的私有事实。代理先后两次搜索 Lee’s Market 在 2020 年的流量增长，暴露其意图，再发出第三条查询回答后续问题。单条查询看似无害，合起来却让观察者推断答案是 15%，进而陈述“Lee 的线上流量在 2020 年增长了 15%”。

构建 MosaicLeaks

MosaicLeaks 包含 1,001 条多跳研究链，覆盖本地企业文档和受控网页语料。目标是构造容易诱发企业文档隐私泄露、但又能够在不泄露信息的情况下完成的任务。

每条链交替包含本地和网页子问题。前一个子问题的答案成为下一个问题的桥接实体，因此代理必须先检索本地信息，才能形成下一条有效的网页查询。本地文档来自 DRBench 风格的企业任务，网页文档来自 BrowseComp-Plus。最终划分为 559 条训练链、98 条验证链，以及来自留出公司的 344 条测试链。

研究链示例

MediConn 云迁移链：

最后一跳网页问题本身没有包含私有信息，可以从公开网页回答。但到达它的路径依赖私有本地事实，因此，若查询继续携带“MediConn”“70%”和“January”，就会给对手足够上下文，恢复内部信息。

代理执行框架

我们使用由 DRBench 改编的简化执行框架。模型用简短答案及理由回答每个子问题，让我们能够通过规范化字符串匹配逐跳评估。

每次迭代可使用四个工具：Plan 生成本地和网页搜索查询，执行后返回文档卡片；Choose 选择要读取的检索文档；Read 并行尝试从各选中文档回答当前跳；Resolve 决定回答、读取更多文档，还是规划另一轮搜索。

原文的一次代理执行轨迹图以每行表示一跳，标记本地（L）或网页（W）及其接受的答案；彩色块表示该跳在规划、检索、选择、读取和决策上花费的实际时间。

直接告诉代理不要泄露，不行吗？

直观的办法是直接要求它这样做：在 Plan 提示中增加一行，告诉代理不要发出泄露本地信息的网页查询，再观察任务表现、泄露与查询行为的变化。

这个提示对某些模型略有帮助，但效果不一致，显著泄露依然存在，而且常常损害任务表现。对 Qwen3-4B，提示将答案或完整信息泄露从 34.0% 降到 25.5%，但严格链成功率从 48.7% 降至 44.5%。主要行为变化似乎是网页查询变少，而非稳定地构造更安全的查询。

原文对比图展示有无防泄露提示时的严格链成功率与隐私泄露：提示对某些模型略微降低泄露，但仍有大量泄露。

让代理更能完成任务，反而泄露更多

在隐私训练之前，我们先尝试直观的方法：只训练代理正确解决更多研究链。它确实有效，严格链成功率从 48.7% 升至 59.3%。但答案或完整信息泄露也同步由 34.0% 升至 51.7%。模型学会在网页查询中塞入更多上下文，有助于检索正确文档，却伤害隐私：更丰富的查询为观察者增加了一个新片段。

这是 MosaicLeaks 揭示的核心矛盾：更有信息量的查询通常更利于任务，却更不利于隐私。PA-DR 的设计目的就是同时训练这两方面。

教代理安全搜索：PA-DR

PA-DR 结合两种奖励。

第一种是情境任务奖励。单条研究轨迹可能包含数十次模型调用，若全部只得到相同的最终轨迹分数，信用分配会非常弱：成功的执行可能强化一次泄露搜索，失败的执行可能惩罚局部正确的决策。因此，我们将每次调用与处于相同阶段、相同跳、拥有相同信息的其他调用比较。

Plan 调用因搜索正确来源并检索到正确文档而获得奖励；若文档已经在手，就奖励它不再搜索。Choose 调用因选中含有答案的文档而得到奖励。我们训练这两个阶段，因为期望行为可以直接检查。

第二种是学习得到的隐私奖励。代理生成网页查询时，Qwen3-4B 分类器估计两种风险：当前查询是否直接泄露私有信息，以及把查询加入已有日志是否形成新的拼接泄露。PA-DR 对两者中的较大值施加惩罚，让隐私成本准确落到使日志透露更多信息的规划决策上。

仅任务奖励的强化学习提升研究表现，却增加泄露；PA-DR 在保留几乎全部表现增益的同时，大幅减少泄露。

9.9% 低于未经训练基础模型自身的 34.0%。隐私训练不只是抵消任务表现训练新增的泄露，而是让代理比最初泄露得更少。

这种安全性也不是靠减少搜索获得的。PA-DR 发出的网页查询实际上多于基础模型，但查询不再携带可透露信息的细节，例如“15%”“2024”等具体指标，以及它正在寻找哪类答案的线索。代理仍然找到正确的公开文档，只是不再将私有片段带入查询文本。

进一步观察：情境奖励与样本效率

情境奖励在训练过程中也有收益。它比较匹配的调用，而不是对整条轨迹只评分一次，因而能更精确分配信用，不需要单独的价值模型，也不必对齐不同轨迹的步骤索引。它的样本效率也高得多：情境任务奖励达到与仅最终结果奖励的强化学习相同的任务表现，大约少用 5—6 倍生成训练样本；PA-DR 加入隐私收益的同时，保留了这种效率。

训练效率表最后一列表示每种方法达到约 55% 严格链成功率所需的生成样本数，越少越好。情境奖励用约少 5—6 倍的生成样本达到最终结果奖励的任务成功水平；PA-DR 保留样本效率优势，并显著降低泄露。

这些结果说明什么，又不说明什么

作者的结论是：不能只靠提示获得隐私保护，必须把它训练进去。要求代理谨慎几乎没有显著效果；奖励查询构造方式，则把泄露减少到原来的三分之一以下，同时基本保持任务成功率。拼接效应源于代理随着时间推进的搜索方式，而这种行为能够测量、进行信用分配，并通过训练降低风险。

引用

@misc{gurung2026mosaicleaks,
  title  = {MosaicLeaks: Privacy Risks in Querying-in-the-Open for Deep Research Agents},
  author = {Alexander Gurung and Spandana Gella and Alexandre Drouin and Issam H. Laradji and Perouz Taslakian and Rafael Pardinas},
  year   = {2026},
  eprint = {2605.30727},
  archivePrefix = {arXiv},
  url    = {https://arxiv.org/abs/2605.30727}
}