arxiv.org·2026/10/23
论文研究LLM代理的mosaic effect：即使用户可访问各低密文档，代理也可能在回答中合成未授权的高敏结论，造成混合密级环境下的保密泄露。作者构造网络安全、医疗、军事合成场景，设定禁止复合结论，交叉benign、explicit、adversarial查询、分类标头与聚合规则，评测GPT、Claude、Qwen受控仿真及Pi、Hermes live harness；人工校准的LLM judge判定最终答案是否泄露或拒绝。结果显示，无需合成的benign查询也会触发泄露，仿真中最好的GPT泄露率为7.08%，live harness中更高；开启分类标头与聚合规则后，总体泄露率仍达32.37%，且Claude部分拒绝回复会在解释中说出禁止结论。作者据此认为提示级防护无法守住组合敏感边界，需在检索、工具执行与答案释放处加确定性控制，并评估多代理工作流；局限为合成样例有限、只测最终答案、live对比无法隔离工具使用。
为什么重要 证明把机密文档交给 agent 检索合成时，per-doc 权限控制不足以防 mosaic 泄密，且简单护栏无法归零适合 AI 安全对齐、agent 工程、机密数据检索合成的工程师与研究员
现代 LLM 智能体可以从可访问文档中检索信息，然后披露由这些信息拼凑出的敏感结论。这种马赛克效应对在机密数据上运行的智能体构成了严重风险。
我们使用 30 个合成的网络安全、医疗和军事示例量化了这种现象，在受控模拟中从三个 LLM 智能体获得 10,800 个最终答案，并在两个开源测试框架中从实际运行的智能体获得 1,440 个答案。
即使在设计为可从单一文档回答的良性查询下，表现最佳的受测模型 GPT-5.6-Sol 在模拟中有 7.08% 的回答披露了被禁止的组合信息（95% CI：3.75-10.67%），在实际测试框架中的披露率更高。
添加可见的分类标题和明确的聚合规则大幅降低了综合披露率，但即便有这些防护措施，在所有意图下仍有 32.37% 的模拟回答存在不安全披露（95% CI：28.33-36.19%）。
此外，增加的拒绝并不能保证机密性，因为明显的拒绝本身仍会泄露被禁止的结论。这些结果指向一个令人不安的结论：在所评估的设置中，经由马赛克式事件导致的敏感数据泄露是一种已观测到的、发生率不可忽视的机密性失效模式。它们促使对具有混合权限用户的敏感数据环境中智能体可以推断和披露的内容采取更强控制。
Modern LLM agents can retrieve information from accessible documents, and then disclose a sensitive conclusion assembled from them.
This mosaic effect creates a critical risk for agents operating over confidential data.
We quantify its realization with 30 synthetic cybersecurity, medical, and military examples, yielding 10,800 final answers from three LLM agents in controlled simulation and 1,440 answers from live agents in two open-source harnesses.
Even under benign queries designed to be answerable from one document, GPT-5.6-Sol, the best performing model tested, discloses forbidden composites in 7.08% of answers (95% CI: 3.75-10.67%) in simulation, with worse disclosure rates in live harnesses.
Adding visible classification headers and explicit aggregation rules reduces pooled disclosure rates substantially, yet unsafe disclosures persist in 32.37% of simulated answers (95% CI: 28.33-36.19%) across all intents despite these safeguards.
Furthermore, increased refusals do not guarantee confidentiality, since significant refusals reveal the prohibited conclusion regardless.
These results point to a troubling conclusion: sensitive data leaks via mosaic-style events are an observed confidentiality failure mode in the evaluated settings at non-negligible rates.
They motivate stronger controls on what agents may infer and disclose in sensitive data environments with mixed-clearance users.
注释 · 三模型均摊全部 24 配置；池化行为等权混合三模型，不是三者的独立人群出自 §5.1 表 2
注释 · 这是 RQ1 的核心证据：不问复合结论、仅问单文档可答的问题仍会泄露出自 §5.2 图 1
EVIDENCE / METHODS
判断
Agent Mosaic 把 术语解释多个低密级事实组合后推断出高密级结论，从而造成泄密 变成了可量化评测目标，结论是护栏不足
作者报告：即使每个文档都在用户权限内，agent 仍会跨文档合成并输出更高密级的禁止结论。良性查询就能触发；可见密级头与聚合规则只能把池化泄露从约 69% 降到 32%，不能归零。对机密数据上的 agent 部署，这条等于宣告 per-doc 权限控制不足。
注释 · 这是首个把「源权限 vs 复合保密边界」当作显式实验目标的受控多域评测出自 §1·§6
原版排版与图表 · 手机无法内嵌时可在浏览器打开。PDF 插件内选文不能传给网页助手。