هل يستطيع وكيل الأبحاث الخاص بك الحفاظ على السر؟

ليرة تركية؛ د

يقوم وكلاء البحث العميق بشكل متزايد بدمج المستندات المحلية الخاصة مع أدوات خارجية مثل استرجاع الويب، مما يخلق خطرًا على الخصوصية: قد تؤدي الاستعلامات الخارجية للوكيل إلى تسرب معلومات حساسة. تسريبات الفسيفساء يقترح مهمة جديدة للبحث العميق تتضمن أسئلة متعددة القفزات تتداخل فيها المعلومات العامة والخاصة. عبر النماذج التي اختبرناها، كان العملاء يسربون معلومات خاصة في كثير من الأحيان، وكان التدريب على أداء المهام فقط يجعل الأمر أسوأ. نحن نقترح طريقة تدريب RL مع مراعاة تسرب الفسيفساء، البحث العميق المراعي للخصوصية (PA-DR)، مما يرفع نسبة نجاح السلسلة الصارمة (حصة السلاسل التي يتم فيها الإجابة على كل قفزة بشكل صحيح) من 48.7% إلى 58.7% مع تقليل تسرب الإجابة/المعلومات الكاملة من 34.0% إلى 9.9%.

تسرب الخصوصية في وكلاء الأبحاث العميقة

يعمل وكيل أبحاث في إحدى شركات الرعاية الصحية على حل سؤال روتيني، وعلى طول الطريق يطلق مجموعة من عمليات البحث على الويب ذات المظهر العادي. يشير أحدهما إلى أحد إنجازات الترحيل السحابي، والآخر إلى الكشف الأمني ​​في يناير 2024، والآخر يضيق نطاق البائع الذي تعرض للضرب. لا يوجد استعلام واحد يكشف بالضرورة السر بأكمله. لكن أي شخص يراقب حركة المرور الصادرة للوكيل يمكنه إعادة تجميع الأجزاء: فقد قامت شركة MediConn بترحيل 70% من بنيتها التحتية إلى السحابة بحلول يناير 2025، وهي حقيقة لا تزال موجودة فقط في المستندات الخاصة. هذا هو تأثير الفسيفساء، وهو وضع الفشل في مركز MosaicLeaks.

تتعامل MosaicLeaks مع استعلامات الويب هذه باعتبارها قناة تسرب: لا يرى الخصم أبدًا المستندات الخاصة أو منطق الوكيل، بل فقط سجل الاستعلام التراكمي، ويحاول استنتاج معلومات المؤسسة الخاصة منه.

نقوم بقياس التسرب بثلاث طرق، اعتمادًا على ما يمكن أن يستنتجه الخصم من الاستفسارات المرصودة:

وتمثل هذه الثلاثة مستويات متزايدة من القلق. يكشف تسرب النية ما يحقق فيه الوكيل. تسرب الإجابة يعني أن سجل الاستعلام يحتوي على ما يكفي للإجابة على سؤال خاص لدى شخص ما بالفعل. إن تسرب المعلومات الكاملة هو الحالة الأقوى: حيث يمكن للمراقب اكتشاف الحقائق الخاصة وذكرها دون أن يتم إخباره عما يجب البحث عنه.

كيف يقود تأثير الفسيفساء إجراءات التسرب الثلاثة التي قامت بها MosaicLeaks: نية ( التنبؤ بأسئلة البحث ) إجابة (الإجابة على الأسئلة المعطاة حول المستندات الخاصة)، و معلومات كاملة (اذكر المطالبات الخاصة الحقيقية التي يمكن التحقق منها). هنا يقوم الوكيل بالبحث مرتين عن نمو حركة مرور Lee’s Market لعام 2020، وتسرب نيته، ثم يصدر استعلامًا ثالثًا للإجابة على المتابعة. يبدو كل استعلام حميداً بمفرده، ولكن عند رؤيتهم معًا، يسمحون للمراقب باستنتاج أن الإجابة كانت 15%، وبالتالي يزعمون أن حركة مرور Lee عبر الإنترنت زادت بنسبة 15% في عام 2020.

بناء MosaicLeaks

يحتوي MosaicLeaks على 1001 سلسلة بحثية متعددة القفزات على مستندات المؤسسات المحلية ومجموعة ويب خاضعة للرقابة. الهدف هو إنشاء مهام ذات احتمال كبير للتسبب في تسرب الخصوصية من مستندات المؤسسة، ولكن لا يزال من الممكن حل ذلك دون حدوث تسرب.

تتداخل كل سلسلة مع الأسئلة الفرعية المحلية وأسئلة الويب. تصبح الإجابة على أحد الأسئلة الفرعية بمثابة كيان جسر في السؤال التالي، لذلك يجب على الوكيل استرداد المعلومات المحلية قبل أن يتمكن من تشكيل استعلام الويب المفيد التالي. تأتي المستندات المحلية من مهام المؤسسة بأسلوب DRBench، وتأتي مستندات الويب من BrowseComp-Plus. يحتوي التقسيم النهائي على 559 سلسلة تدريب، و98 سلسلة تحقق، و344 سلسلة اختبار تابعة للشركة.

سلسلة المثال

سلسلة الهجرة السحابية لـ MediConn

لا تحتوي خطوة الويب النهائية بطبيعتها على أي معلومات خاصة ويمكن الرد عليها من مستندات الويب العامة. ومع ذلك، نظرًا لأن المسار إليه يعتمد على حقائق محلية خاصة، فإن الاستعلام الذي يحمل “MediConn” و”70%” و”January” يمنح الخصم سياقًا كافيًا لاستعادة المعلومات الداخلية.

وكيل تسخير

نحن نستخدم مجموعة أدوات مبسطة مقتبسة من DRBench. يجيب النموذج على كل سؤال فرعي بإجابة قصيرة وتبرير، مما يسمح لنا بتقييم كل قفزة على حدة من خلال مطابقة السلسلة الطبيعية.

في كل تكرار، يمكن للنموذج استخدام أربع أدوات. يخطط يُنتج استعلامات البحث المحلية واستعلامات الويب، والتي يتم تنفيذها وإعادتها كبطاقات مستندات. يختار يختار المستندات المستردة للقراءة. يقرأ يحاول الإجابة على القفزة الحالية من كل مستند محدد بالتوازي. حل يقرر ما إذا كان سيجيب، أو يقرأ المزيد من المستندات، أو يخطط لبحث آخر.

طرح وكيل واحد. كل صف عبارة عن خطوة، تحمل علامة محلية (ل) أو الويب (دبليو) مع إجابتها المقبولة. تُظهر الكتل الملونة الوقت الذي تقضيه ساعة الحائط في التخطيط لهذه القفزة واسترجاعها واختيارها وقراءتها وحلها.

ألا يمكنك أن تخبر الوكيل بعدم التسريب؟

الحل الواضح هو أن نسأل فقط. أضف سطرًا إلى موجه الخطة لإخبار الوكيل بعدم إصدار استعلامات الويب التي تؤدي إلى تسرب المعلومات المحلية، ومعرفة ما يحدث للأداء والتسرب وسلوك الاستعلام.

تساعد المطالبة قليلاً في بعض النماذج، لكن تأثيرها غير متناسق ويظل هناك تسرب كبير. كما أنه غالبًا ما يكون له تأثير سلبي على أداء المهمة. بالنسبة لـ Qwen3-4B، تعمل المطالبة على تقليل تسرب الإجابة/المعلومات الكاملة من 34.0% إلى 25.5%، لكن نجاح السلسلة الصارم ينخفض ​​من 48.7% إلى 44.5%. يبدو أن التغيير السلوكي الأساسي يتمثل في عدد أقل من استعلامات الويب، وليس بناء استعلام أكثر أمانًا بشكل مستمر.

نجاح سلسلة صارم وتسريب الخصوصية مع أو بدون مطالبة سريعة تثبط استعلامات الويب التي قد تؤدي إلى تسرب المعلومات المحلية. تعمل المطالبة السريعة على تقليل التسرب قليلاً في بعض الطرازات، ولكن يظل هناك تسرب كبير.

جعل العامل أفضل جعله يتسرب أكثر

قبل التدريب على الخصوصية، جربنا الأمر الواضح: تدريب العميل فقط على حل المزيد من السلاسل بشكل صحيح. لقد نجحت. ارتفع نجاح السلسلة الصارمة من 48.7% إلى 59.3%. لكن تسرب الإجابات/المعلومات الكاملة ارتفع بجانبه من 34.0% إلى 51.7%. لقد تعلم النموذج تضمين المزيد من السياق في استعلامات الويب الخاصة به، مما ساعده في استرداد المستند الصحيح ولكنه يضر بالخصوصية، نظرًا لأن كل استعلام أكثر ثراءً يمنح المراقب جزءًا آخر.

هذا هو التوتر المركزي الذي تكشفه MosaicLeaks. غالبًا ما يكون الاستعلام الأكثر إفادة أفضل للمهمة وأسوأ بالنسبة للخصوصية. تم تصميم PA-DR للتدريب على كلا الجانبين في وقت واحد.

تعليم الوكيل البحث بأمان: PA-DR

يجمع PA-DR بين مكافأتين.

الأول هو أ الظرفية مكافأة المهمة. يمكن لمسار بحثي واحد أن يصل إلى عشرات من نماذج الاستدعاء، لذا فإن منحهم جميعًا نفس درجة المسار النهائي يعد أمرًا ضعيفًا للغاية: فالتشغيل الناجح يمكن أن يعزز البحث المتسرب، والتشغيل الفاشل يمكن أن يعاقب القرار السليم محليًا. وبدلاً من ذلك، فإننا نحكم على كل مكالمة مقابل المكالمات الأخرى التي يتم إجراؤها في نفس المرحلة والقفزة، وبنفس المعلومات المتاحة. تتم مكافأة مكالمة الخطة للبحث عن المصدر الصحيح واسترداد المستند الصحيح؛ إذا كان هذا المستند في متناول اليد بالفعل، فسيتم مكافأته على عدم البحث مرة أخرى. تتم مكافأة اختيار المكالمة لاختيار المستند الذي يحتوي على الإجابة. نقوم بتدريب هذه المراحل لأنه يمكن التحقق من سلوكها المرغوب فيه مباشرة.

والثاني هو أ تعلمت مكافأة الخصوصية. عندما يقوم الوكيل بإنتاج استعلامات ويب، يقوم مصنف Qwen3-4B بتقدير خطرين: ما إذا كانت الاستعلامات الحالية تسرب معلومات خاصة مباشرة، وما إذا كانت إضافتها إلى سجل الاستعلام الحالي تؤدي إلى تسرب فسيفساء جديد. يعاقب PA-DR الأكبر من الاثنين، وبالتالي فإن تكلفة الخصوصية تقع على قرار التخطيط الدقيق الذي جعل سجل الاستعلام أكثر كشفًا.

يعمل RL المخصص للمهمة فقط على تحسين أداء البحث ولكنه يزيد من التسرب. يحافظ PA-DR على كل مكاسب الأداء تقريبًا مع تقليلها بشكل حاد.

هذه النسبة 9.9% أقل من نسبة 34.0% للنموذج الأساسي غير المدرب. إن التدريب على الخصوصية لم يلغي ببساطة التسرب الذي أحدثه التدريب على الأداء. لقد ترك العامل يتسرب بشكل أقل مما كان عليه في البداية.

ولم يصبح الأمر أكثر أمانًا بمجرد البحث بشكل أقل. PA-DR يصدر بالفعل أكثر استعلامات الويب أكثر من النموذج الأساسي، ولكن تلك الاستعلامات تسقط التفاصيل الكاشفة: مقاييس محددة مثل “15%” أو “2024”، وأدلة حول نوع الإجابة التي تبحث عنها. لا يزال الوكيل يجد الوثائق العامة الصحيحة. إنه يتوقف فقط عن حمل الأجزاء الخاصة في نص الاستعلام.

نظرة فاحصة: المكافآت الظرفية وكفاءة العينة

المكافآت الظرفية تؤتي ثمارها مرة أخرى، أثناء التدريب نفسه. نظرًا لأنهم يقارنون المكالمات المتطابقة بدلاً من تسجيل عملية الطرح بأكملها مرة واحدة، فإنهم يعينون رصيدًا أكثر دقة بكثير، دون وجود نموذج قيمة منفصل ولا حاجة إلى محاذاة مؤشرات الخطوات عبر عمليات الطرح. كما أنها أكثر كفاءة في استخدام العينات: تصل مكافأة المهمة الظرفية إلى نفس أداء المهمة مثل RL للنتائج فقط مع عينات تدريب تم إنشاؤها أقل بحوالي 5-6 مرات، ويحافظ PA-DR على هذه الكفاءة مع إضافة مكاسب الخصوصية.

كفاءة التدريب. العمود الأخير هو عدد العينات التي تم إنشاؤها والتي تحتاجها كل طريقة للوصول إلى نجاح سلسلة صارم بنسبة 55% تقريبًا. أقل هو أفضل.

تصل المكافآت الظرفية إلى نجاح المهمة على مستوى النتيجة والمكافأة باستخدام عدد أقل من العينات التي تم إنشاؤها بحوالي 5 إلى 6 مرات. يحافظ PA-DR على فائدة كفاءة العينة مع تقليل التسرب بشكل كبير.

ما يفعله هذا وما لا يظهر

يعتبر MosaicLeaks معيارًا خاضعًا للرقابة، وليس قياسًا للتسرب في الأنظمة المنشورة. مستندات المؤسسة مصطنعة، ومحتوى الويب ثابت، والسلاسل تمتد لثلاثة سياقات للشركة، وكل نتيجة تأتي من مجموعة وكيل واحدة تدير إجابة لأسئلة متعددة القفزات بدلاً من البحث المفتوح. هذا التحكم هو ما يجعل التسرب قابلاً للقياس خطوة بخطوة، لكن المهام الأوسع وعمليات النشر الحقيقية وتصميمات العملاء الأخرى لا تزال بحاجة إلى دراستها الخاصة.

الوجبات الجاهزة بسيطة. لا يمكنك المطالبة بالخصوصية. يجب عليك تدريبها. إن إخبار الوكيل بأن يكون حذرًا بالكاد يحرك الإبرة، بينما يكافئ كيف فهو يبني كل استعلام مما يقلل التسرب بأكثر من 3 مرات ويترك نجاح المهمة سليمًا بشكل أساسي. يأتي تأثير الفسيفساء من الطريقة التي يبحث بها الوكيل بمرور الوقت، ويتضح أن هذا شيء يمكنك قياسه وتخصيص الفضل له والتدريب عليه.

الاقتباس

@misc{gurung2026mosaicleaks,
  title  = {MosaicLeaks: Privacy Risks in Querying-in-the-Open for Deep Research Agents},
  author = {Alexander Gurung and Spandana Gella and Alexandre Drouin and Issam H. Laradji and Perouz Taslakian and Rafael Pardinas},
  year   = {2026},
  eprint = {2605.30727},
  archivePrefix = {arXiv},
  url    = {https://arxiv.org/abs/2605.30727}
}