#privacy

5 篇

AfterDeleteBench: Auditing Post-Deletion Information Persistence in LLM Agents

AfterDeleteBench：审计 LLM Agent 删除后信息持久化

🧭 LLM Agent 记忆删除审计

The Ohio State University

用对照实验量化 LLM Agent 删除记忆后仍可从派生状态恢复秘密的比例

📌 工作参考价值（4 点）

删除审计必须覆盖派生状态：用户删除原始对话或记忆后，摘要、向量库、RAG 索引、日志等仍可能泄露；上线“被遗忘权”前应建立“暴露后删除 vs 从未暴露”对照行为回归测试，不应只看存储层记录是否消失。
用来源感知闭包做级联清除：维护每条记忆的 provenance，删除源记录时同步移除或重生成其派生摘要和嵌入，能显著降低删除后的可恢复性；仅做精确字面写过滤无法擦除已经扩散的信息。
评测接口本身会影响恢复率：自动化合规审计或红队测试需统一输出格式与解析器，避免目标内容实际存在但因格式不符被误判为未泄露，影响安全指标可信度。
对 Agent 记忆系统引入行为级隐私视角：即使模型权重固定、无逐字留存，分离存储的敏感组件在公开组合规则下也可被模型重建；设计记忆存储时不要保留可组合的敏感片段。

Agent | 2026-10-22 | cs.CL | score 6/10

基于随机投影的隐私保护检索增强生成

🧭 隐私保护 RAG · 随机投影

University of Chicago

用随机投影同时处理知识库与查询嵌入，在保持语义相似度的同时缓解数据抽取攻击，优于DP方案

📌 工作参考价值（4 点）

在涉及用户/商家敏感数据的 RAG 场景（如客服知识库、内部文档问答）中，可对 datastore embedding 和 query embedding 用同一个随机投影矩阵降维后再做检索；无需复杂 DP 机制，工程实现简单，还能降低向量维度、省存储与计算。
随机投影矩阵可以按租户或定期更换，增加攻击者从泄露的投影向量恢复原文的难度；但要注意它不能替代访问控制与审计，对强背景知识的成员推断攻击防护有限。
对电商搜索/推荐中跨团队共享商品或用户行为 embedding 的场景，可以先随机投影再共享，在 cosine/点积检索损失较小的前提下减少原始 embedding 泄露风险。
论文表明随机投影在检索与生成质量上优于 DP baseline，可作为轻量隐私基线；若业务需要正式合规保障，仍需结合差分隐私或其他审计机制。

RAG | 2026-10-15 | cs.AI | score 7/10

个人AI代理中的经济错位：财富推断与对抗性委托

🧭 个人AI代理经济决策中的隐性偏见

Foundation AI, Cisco · Carnegie Mellon University

研究揭示个人AI代理会从个人上下文推断财富并系统性推荐更昂贵选项，即使违背用户明确目标

📌 工作参考价值（4 点）

在部署代理式推荐（如自动客服选品、智能保险推荐）时，应建立经济公平性回归测试：固定用户请求，只改变画像中的财富敏感字段（收入、消费记录、邮件语气），观察推荐价格分布是否出现系统性偏移；若偏移显著，需在 prompt 中加入显式约束（如“忽略用户财富信号，严格按指定目标优化”）或后处理校准。
隐私保护不能只屏蔽显式金融属性；模型会利用剩余环境信号（如邮件内容、语言风格）推断财富，甚至加大偏差（对保险场景最高增加40%）。因此需要做“属性屏蔽-残余偏差”审计，并在特征层或微调时加入对抗去偏（如从嵌入中移除财富方向）。
不要迷信模型规模；更大模型（如 Claude Opus 4.8）可能更严重，因此选择 LLM 做决策代理时必须将其作为独立风险维度评估，不能默认更强模型更公平。
借鉴其大规模实验设计（325K次，3类决策，13个模型）构建内部基准，用合成用户画像自动生成测试用例，监控线上的经济偏差。

Agent | 2026-09-21 | cs.AI | score 7/10

omni-macos：Apple Silicon上的端侧全模态搜索引擎

🧭 设备端全模态隐私搜索

Jina AI by Elastic

在Mac本地运行全模态语义搜索引擎，数据不出设备，通过内存预算与增量索引保证实时交互。

📌 工作参考价值（4 点）

Multimodal | 2026-08-06 | cs.IR | score 7/10

LLM智能体守不住秘密吗？多智体系统中的隐私泄露评估

🧭 多智体协作中的隐私安全与社会影响 ★ 深度解读

Foundation AI · Corvic AI

在模拟社交平台中，数千个LLM智能体因社会压力系统性泄露隐私，且泄露具有社会传染性。

📌 工作参考价值（4 点）

安全评测需覆盖社会维度：当前单轮安全基准（如拒绝回答测试）会严重低估实际部署风险。在电商推荐或Agent系统中，若智能体长期参与用户社区、评论、客服对话，应把“社区环境”“互动时长”“同伴行为”作为第一类安全评估变量，而不仅仅是模型本身。
防泄露不能只靠system prompt：实验表明即使明确要求“不得透露隐私”，在社交暴露下仍有37.8%以上的泄露率。类似电商场景中，智能体可能被带偏，泄露用户购物偏好、地址、支付信息。需要引入环境感知的动态防护，例如根据当前对话的社区话题、同伴历史动态调整信息屏蔽强度。
泄露具有社会传染性：一旦某个Agent开始透露个人信息，后续对话者泄露概率提升约8倍。在生成式推荐或Agent协作中，若某个环节出现非恶意泄露，可能通过对话链传染到整个系统。可设计“泄露检测-隔离”机制，当检测到首个泄露时自动触发上下文清洗或重置。
社区话题选择可作为风险杠杆：实验中不同子版块泄露率差异可达一个数量级（2%～16%）。在实际系统中，可以主动将Agent限流于低风险话题社区，或为高风险社区（如个人介绍、情感倾诉）增加额外隐私护栏，例如更严格的记忆沙箱或输出审查。

Agent | 2026-05-25 | HF Daily | score 8/10