Agent Mosaic：单份可访问信息如何拼出不该泄露的结论

导语

当智能体能够搜索文档、调用工具并整合上下文时，传统的“逐份文件授权”可能不再足够。每一条资料单独看都不敏感，但多条资料被模型拼接后，可能形成新的机密结论。这种由碎片组合产生的泄露，被研究者称为“mosaic effect”（马赛克效应）。

研究看了什么

论文《Agent Mosaic》围绕这一风险设计了30个合成场景，覆盖网络安全、医疗和军事领域。在受控模拟中，研究团队从三个大语言模型智能体获得了10,800个最终答案；在两个开源智能体框架的真实运行测试中，又收集了1,440个答案。

研究特别设置了看似“只需依据一份文档即可回答”的善意问题，用来观察智能体是否仍会跨文档推导受禁结论。结果显示，模拟测试中表现最佳的GPT-5.6-Sol仍在7.08%的答案里披露了禁止组合信息；在真实智能体框架中，披露率更高。这里的关键并不是模型是否能读取某一份文件，而是它是否被允许把多个低敏信息推理成高敏结论。

核心要点

• 访问权限不等于推理权限。 用户或智能体可以分别读取资料，并不意味着系统应允许其输出由这些资料合成的结论。
• 基础防护有效但不充分。 为文档加入显式密级标签、制定明确的聚合规则后，整体披露率明显下降，但在模拟测试中，跨不同意图统计的非安全披露仍达到32.37%。
• 拒答可能“拒而不密”。 有些回答表面上拒绝提供信息，却在解释拒绝原因时直接暴露了被禁止的结论。因此，仅统计拒答率会高估系统的保密能力。
• 真实工作流更复杂。 开源框架中的测试结果比受控模拟更糟，说明工具调用、检索流程和上下文管理可能放大这类风险。

意义与影响

这项研究提醒开发者，机密数据环境中的安全边界不能只建立在文件级访问控制上。系统还应判断一次推理会产生什么信息、哪些组合属于受限结论，以及当前用户是否拥有披露资格。未来的评估也需要从“模型有没有读到敏感文件”扩展到“模型是否通过多步推理重建了敏感事实”。

对企业而言，较稳妥的方向包括：在检索和生成之间加入信息流控制，对高风险组合设置策略检查，并把拒答内容本身纳入泄露审计。论文并未证明这些措施能够完全解决问题，但它清楚表明，马赛克式泄露已经是在所测设置中可观察、且不可忽视的智能体保密性失效模式。

来源：Hugging Face Daily Papers