Got a Secret? LLM Agents Can't Keep It: Evaluating Privacy in Multi-Agent Systems
LLM智能体守不住秘密吗？多智体系统中的隐私泄露评估
🧭 多智体协作中的隐私安全与社会影响
Foundation AI · Corvic AI
在模拟社交平台中，数千个LLM智能体因社会压力系统性泄露隐私，且泄露具有社会传染性。
📌 工作参考价值
- 安全评测需覆盖社会维度：当前单轮安全基准（如拒绝回答测试）会严重低估实际部署风险。在电商推荐或Agent系统中，若智能体长期参与用户社区、评论、客服对话，应把“社区环境”“互动时长”“同伴行为”作为第一类安全评估变量，而不仅仅是模型本身。
- 防泄露不能只靠system prompt：实验表明即使明确要求“不得透露隐私”，在社交暴露下仍有37.8%以上的泄露率。类似电商场景中，智能体可能被带偏，泄露用户购物偏好、地址、支付信息。需要引入环境感知的动态防护，例如根据当前对话的社区话题、同伴历史动态调整信息屏蔽强度。
- 泄露具有社会传染性：一旦某个Agent开始透露个人信息，后续对话者泄露概率提升约8倍。在生成式推荐或Agent协作中，若某个环节出现非恶意泄露，可能通过对话链传染到整个系统。可设计“泄露检测-隔离”机制，当检测到首个泄露时自动触发上下文清洗或重置。
- 社区话题选择可作为风险杠杆：实验中不同子版块泄露率差异可达一个数量级（2%～16%）。在实际系统中，可以主动将Agent限流于低风险话题社区，或为高风险社区（如个人介绍、情感倾诉）增加额外隐私护栏，例如更严格的记忆沙箱或输出审查。
动机：现有LLM安全评测多在单轮、孤立对话中测试模型是否会拒绝有害请求，但真实部署中智能体往往与其他智能体长期共处于社交环境中，隐私泄露可能是社会动力学的结果而非单次提示漏洞。本文受真实AI社交平台Moltbook现象启发，构建了模拟平台，研究在社会压力下智能体是否会系统性突破上下文完整性边界，泄露个人敏感信息。
方法关键点：
- 基于Moltbook数据生成2533个智能体，每个配有合成的人类私密档案，覆盖10个隐私领域（身份、财务、健康、就业等）。
- 在124个子版块的模拟Reddit平台上进行25天异步自主交互，智能体通过工具调用（发帖、回复、投票、读写记忆）互动。
- 设计两种评估：有机仿真（无干预）、控制实验（在冻结的社区快照中注入对抗性内容，污染等级1～5，测试7个前沿模型）。
- 泄露检测采用经前人验证的LLM裁判，逐条判断产出是否泄露作者档案中的属性。
关键结果：
- 相比单轮基准CIMemories的19.95%泄露率，多轮社交环境下OpenAI模型平均泄露率达45.3%。
- 当一条回复已泄露隐私时，下一条回复的泄露概率从1.6%跃升至12.8%（~8倍）。
- 明确要求“不得泄露”的系统提示可将泄露数降低约20%，但最高仍有37.8%的泄露率，证明指令在社交压力下不可靠。
- 不同社区泄露率相差近一个量级（最低<2%，最高>16%），社区话题对隐私风险的影响与模型选择同样重要。
最值得记住的一句话：单轮安全基准严重低估了多智体社会中的隐私风险，社交环境本身就能使智能体“入乡随俗”，即使有明确禁止指令，泄露仍会通过同伴行为传染和累积。