MosaicLeaks: 深層リサーチエージェントにおけるプライバシー漏洩への対策
MosaicLeaks: 深層リサーチエージェントにおけるプライバシー漏洩への対策
プライベートなローカル文書と外部ウェブ検索を組み合わせる深層リサーチエージェントは、複数の一見無害な外部クエリが観測者によって再構成され、機密情報が明らかになる「モザイク効果」と呼ばれる重大なプライバシーリスクに直面しています。Hugging Face は、この漏洩を測定するベンチマーク MosaicLeaks と、回答および完全情報漏洩を 34.0% から 9.9% に削減しつつ高いタスク性能を維持する RL トレーニング手法 Privacy-Aware Deep Research (PA-DR) を導入しました。
モザイク効果とプライバシー漏洩
モザイク効果は、エージェントの累積クエリログにより、単一のクエリが明示的に秘密を露呈しなくても、敵対者がプライベート情報を推測できる場合に発生します。MosaicLeaks は、敵対者がウェブクエリログから推測できる内容に基づいて、漏洩を 3 つのレベルに定義しています。
- Intent leakage: 敵対者は、エージェントが調査しているプライベートな研究目標や質問を推測できる。
- Answer leakage: 敵対者は、プライベート文書にアクセスせずに、クエリログを用いてプライベート情報に関する特定の質問に答えることができる。
- Full-information leakage: 敵対者は、特定の質問がなくても、検証可能な真実のプライベートな主張を述べることができる。
MosaicLeaks ベンチマーク
MosaicLeaks は、ローカル企業文書と制御されたウェブコーパスを交互に使用する 1,001 本のマルチホップリサーチチェーンで構成されています。このベンチマークは、エージェントが次の有用なウェブクエリを形成する前にローカル情報を取得することを要求することで、プライバシー漏洩を誘発するよう設計されています。
チェーン構築
リサーチチェーンは、以下の 3 段階で構築されます。
- Seed private facts: 企業文書からプライベートな QA ペア（指標、日付、エンティティ）を生成する。
- Bridge documents: 前の回答を利用して新しい文書を取得し、続く質問を生成し、ローカルとウェブの依存関係を作り出す。
- Validate chains: 回答可能性、取得可能性、そして前の回答が次のホップに厳密に必要であることを確認する。
プロンプトベースのプライバシー対策の失敗
プロンプトによって漏洩を防ごうとする試み（例：エージェントにウェブクエリでローカル情報を漏らさないよう指示する）は、一貫性に欠け、しばしば性能を低下させることが判明しました。Qwen3-4B モデルに対して、プライバシー対応プロンプトは回答/完全情報漏洩を 34.0% から 25.5% に削減しましたが、厳密なチェーン成功率は 48.7% から 44.5% に低下しました。プロンプトの主な効果は、より安全なクエリを構築することではなく、ウェブクエリの総数を減らすことでした。
性能とプライバシーのトレードオフ
エージェントをタスク性能だけで訓練すると、プライバシーリスクが増大します。Qwen3-4B を用いたテストでは、厳密なチェーン成功率だけを高めるように訓練すると、成功率は 48.7% から 59.3% に上昇しましたが、同時に回答/完全情報漏洩は 34.0% から 51.7% に増加しました。これは、モデルが検索性能向上のためにクエリにより多くのコンテキストを詰め込むことを学習し、その結果、敵対者が再構成できる断片が増えるためです。
プライバシー対応深層リサーチ (PA-DR)
PA-DR は、タスク成功とプライバシーの両方を最適化するために、2 つの異なる報酬を用いる RL 訓練手法です。
1. 状況タスク報酬
全体の軌跡を評価する代わりに、PA-DR は同じステージ・ホップで同一情報を用いた他の呼び出しと比較して各モデル呼び出しを評価する状況報酬を使用します。これにより、正しい情報源を検索する計画や正しい文書を選択するといった特定の行動に対して正確なクレジット割り当てが可能になります。
2. 学習されたプライバシー報酬
Qwen3-4B 分類器は、各ウェブクエリに対して 1) プライベート情報の直接漏洩、2) 既存ログに追加された際に新たなモザイク漏洩が生じるリスク、という 2 つのリスクを推定します。エージェントはこの 2 つのリスクのうち大きい方に基づいてペナルティを受けます。
結果
| 手法 | 厳密なチェーン成功率 | 回答または完全情報漏洩 |
|---|---|---|
| Base Qwen3-4B | 48.7% | 34.0% |
| Task reward | 59.3% | 51.7% |
| Task + PA-DR reward | 58.7% | 9.9% |
PA-DR は検索回数を減らすのではなく、クエリテキストから具体的な指標や日付といった開示につながる詳細を除去しつつ、正しい公開文書を取得することでこの成果を達成しています。
訓練効率
状況報酬は、結果のみを用いる RL に比べてサンプル効率が大幅に高いです。PA-DR は約 183k の生成サンプルで 55% の厳密なチェーン成功率に達し、結果報酬訓練では 963k のサンプルが必要でした。
範囲と制限
MosaicLeaks は、合成企業文書と固定ウェブコーパスを使用した制御ベンチマークです。プライバシーは「プロンプトで導入できず」「訓練で組み込む」必要があることを示していますが、結果は単一エージェントハーネスとマルチホップ QA タスクに特化しています。オープンエンドのリサーチや実際の導入に向けたさらなる研究が必要です.
要約:
Hugging Face は、研究エージェントが外部ウェブクエリを通じてプライベートな企業データを漏洩するのを防止するためのベンチマーク MosaicLeaks と、プライバシー対応深層リサーチ (PA-DR) 訓練手法を導入しました。
タイトル:
MosaicLeaks: 深層リサーチエージェントにおけるプライバシー漏洩への対策