共计 1271 个字符，预计需要花费 4 分钟才能阅读完成。
你的 AI 助手正在“出卖”你:67950 条工具调用记录的隐私实验
很多人以为, 只要和 AI 助手的对话不被泄露 , 隐私就是安全的。上海人工智能实验室 AgentDoG 团队联合电子科技大学、悉尼大学发布的一项研究给出了不同答案: 即便对话内容完全保密,AI Agent 在后台调用地图、日历、健康、购物等工具时留下的轨迹, 仍可能被用来推断用户的国籍、信仰、健康状况等敏感属性。研究团队构建了 PrivacyTrace 基准, 用 67,950 条工具调用记录量化了这条此前被忽视的泄露路径。
📌 被忽视的观察面: 工具调用轨迹
在主流 Agent 架构中, 模型通过 MCP 等标准接口调用外部工具。每次调用都会产生一条记录, 包含工具名、参数、返回结果和调用顺序。工具服务器看不到用户与模型的对话, 却能完整看到这些记录; 位于中间的网关或聚合平台, 甚至可能掌握同一用户跨任务的轨迹。研究者将两类观察者分别称为“本地观察者”和“全局观察者”, 并强调它们都是半诚实角色——正常完成本职工作, 只是“多看了一眼”权限内的数据。
🔍 实验怎么做的
真实隐私数据难以获取, 团队采用合成方式: 参考联合国、世界银行、UNESCO、国际劳工组织等机构的人口统计分布 , 生成 1,000 个虚拟用户, 每人带 17 项属性, 覆盖国籍、年龄、职业、宗教信仰、身心健康、收入等。随后围绕旅行、健康、购物、职业学习四个领域, 用 25 个真实 MCP 服务器的工具执行任务, 产出 4,000 条 Agent 轨迹、共 67,950 条工具调用记录。DeepSeek-V4-Flash、GPT-5.5、Gemini-3-Flash、MiniMax-M3 四个模型被要求只看轨迹、不看对话, 推断这 17 项属性。
💡 核心结果: 能拼出画像, 但难锁定身份
实验显示, 盲猜的攻击成功率为 17.97%; 拿到单域轨迹后升至 26.25%, 净增 8.28 个百分点。跨四个领域串联同一用户轨迹后, 成功率进一步升至 32.77%。论文同时提醒, 这几个数字来自不同统计口径, 只能视为关联, 不能直接当作因果关系。
- 泄露最明显的属性: 国籍推断成功率为 57.73%, 宗教信仰为 50.03%。
- 任务差异: 购物类任务最“多嘴”, 成功率达 31.86%; 出行和购物类整体高于职业学习。
- 身份标识仍难猜:16,000 个标识符预测槽中仅 35 次猜对, 其中 34 次是姓名、1 次是电话号码, 邮箱和政府身份标识正确次数为零。
📊 参数比结果更“多嘴”, 防御有三道闸门
论文给出的防御方向可概括为三道闸门: 一是模糊化, 对查询参数降噪 , 避免携带高精度位置、时间和身份线索; 二是最小化, 限制轨迹保存时长和内容颗粒度; 三是切断跨服务会话关联, 防止同一用户在多个服务器上的痕迹被串成一条线。需要说明, 这些防御的有效性尚未经过实验验证, 目前仍是方向性建议。
🚀 行业观察: 安全边界要从“数据”延伸到“调用”
围绕“你的 AI 助手正在“出卖”你:67950 条工具调用记”，这一部分可从背景、现状与影响三个角度理解其关键信息。结合已公开内容来看，核心结论是趋势已较为明确，但细节仍需结合后续进展持续观察。
