阅读笔记

以下为个人阅读笔记，原文见 arXiv:2606.13949v1。

arXiv 2606.13949v1 阅读笔记：Minim - 基于可信本地净化的隐私感知 Agent 最小视图

1. 研究背景与问题定义

随着基于大语言模型（LLM）的自主 Agent 在复杂数字环境中日益普及，它们越来越依赖于丰富的用户界面（UI）状态观察来实现可靠的动作落地。然而，论文指出，当前的许多部署方案倾向于将完整的 UI 状态传输到远程推理服务器，即使其中大部分元素与当前任务无关。这种做法会导致敏感但非必要的上下文泄露，例如认证代码、私人通知和后台应用状态等。

作者将这种失效模式定义为语义过度特权观察（Semantic Over-Privileged Observation）。在这种模式下，结构化层次中与任务无关的元素与其功能语义一起被暴露。例如，在执行“总结这封邮件”的任务时，远程 Agent 可能会观察到侧边栏通知、后台应用窗口或不相关的浏览器标签页，从而泄露个人身份信息（PII）和跨会话行为轨迹。

现有的隐私范式难以应对这一场景：

• 任务无关实体过滤（如 Presidio）：依赖静态 PII 类别，可能会移除任务关键上下文或遗漏敏感的非 PII 属性。
• 差分隐私（DP）：引入随机扰动，可能扭曲结构化界面中可靠操作所需的精确语义线索。
• 加密 LLM 方法（如 MPC、FHE）：虽然保护计算过程，但无法防止从披露给远程服务器的状态中进行敏感推理，且延迟通常不兼容实时 Agent 控制循环。

2. MINIM 系统架构与方法

为了解决上述问题，作者提出了 MINIM，这是一个在客户端设备上执行披露前最小化的可信本地代理（Trusted Local Broker）。MINIM 在观察数据离开设备之前，对 Agent 的观察进行隐私感知净化。

与依赖 Agent 自身推理的基于提示的净化器不同，MINIM 使用专门的本地模型为结构化观察中的每个元素预测两个标量分数：

1. 敏感性分数（Sensitivity Score, $s$）：捕捉固有的信息风险。
2. 任务条件必要性分数（Task-conditioned Necessity Score, $n$）：捕捉对当前意图的效用。

这两个分数驱动一个基于**情境完整性（Contextual Integrity, CI）**的披露策略，限制高敏感性内容的披露，除非预测其对于完成用户任务是必要的。

论文展示了 MINIM 的系统架构，如图 1 所示。可信的本地代理拦截原始结构化观察（例如无障碍树），并执行基于情境完整性的净化。通过联合预测敏感性和任务条件必要性，MINIM 实施了一个结构瓶颈，在传输到远程 Agent 之前过滤或抽象信息。

3. 理论基础：情境完整性与优化目标

论文将情境完整性（CI）作为规范披露和社会推理的透镜。CI 认为隐私是由对适当信息流规范的遵守来管理的，而不是绝对的保密。这些规范由四个参数表征：情境、参与者（发送者和接收者）、属性（信息类型）和传输原则（信息流动的约束）。

在 MINIM 的设置中：

• 用户的活跃任务 $T$ 建立了情境。
• 客户端设备和远程推理服务器充当参与者。
• $X_t$ 中的数据字段对应属性。
• 目标是实现任务条件必要性的传输原则，即只有在对完成当前任务至关重要时才共享具有高披露风险的信息。

为了操作化这一原则，作者学习预测信号以驱动披露策略。优化目标是一个感知 CI 的目标函数，它对高风险内容上的必要性错误施加更重的惩罚。这使得系统能够在保留任务关键信息的同时，实现激进的剪枝。

4. 实验评估与结果

作者在源自 WebArena 的真实 Agent 观察上评估了 MINIM，涵盖了多个领域（购物、Reddit 和 Gmail）。实验结果表明，MINIM 在保留任务关键语义上下文和可靠 Agent 动作所需的交互功能的同时，显著减少了任务无关的敏感泄露。

论文通过图 2 展示了在必要性阈值扫描下的隐私 - 效用权衡。该图反映了 MINIM 如何在不同阈值设置下平衡隐私保护（减少敏感信息泄露）与任务效用（保持 Agent 完成任务的能力）。

5. 总结与贡献

论文主要做出了以下三点贡献：

1. 问题形式化：识别了依赖结构化观察的 Agent 系统中的“语义过度特权观察”隐私风险，并将披露前最小化形式化为学习一个符合 CI 的结构瓶颈。
2. 方法提出：提出了 MINIM，通过联合敏感性和必要性预测，将上下文评分与策略执行解耦，并通过感知 CI 的目标函数进行训练，以惩罚高风险内容的非必要披露。
3. 实证评估：在基于 WebArena 的真实 Agent 观察上进行了评估，证明了 MINIM 在减少任务无关敏感泄露方面的有效性，同时保留了完成任务所需的关键信息。

该工作强调了在数据离开设备之前最小化结构化观察的重要性，为构建隐私感知的自主 Agent 系统提供了新的思路。