Wie Forschungsagenten über Suchanfragen vertrauliche Daten verraten
💡 Quellen-Hinweis: Dieser Beitrag ist eine redaktionelle Zusammenfassung basierend auf einem Originalbericht von Hugging Face Blog.
Deep-Research-Agenten verbinden interne Dokumente mit öffentlichen Webquellen. Genau dabei kann ein bislang unterschätztes Datenschutzproblem entstehen: Nicht erst die finale Antwort, sondern bereits die Folge externer Suchanfragen kann vertrauliche Fakten offenlegen. Der neue Benchmark MosaicLeaks untersucht diesen sogenannten Mosaik-Effekt systematisch.
Viele harmlose Anfragen ergeben ein sensibles Gesamtbild
Der Angreifer sieht weder interne Dateien noch die Überlegungen des Agenten, sondern lediglich dessen ausgehende Suchanfragen. Einzelne Begriffe wirken unverdächtig, lassen sich in ihrer Kombination aber zu internen Kennzahlen, Terminen oder Projektzielen zusammensetzen. MosaicLeaks unterscheidet deshalb zwischen dem Erkennen der Rechercheabsicht, dem Ableiten einer gesuchten Antwort und der freien Rekonstruktion privater Informationen.
Der Benchmark umfasst 1.001 mehrstufige Rechercheketten, in denen lokale Unternehmensdokumente und ein kontrollierter Webbestand abwechselnd benötigt werden. Frühere Antworten dienen dabei als Brücke für spätere Suchschritte. So lässt sich messen, ob ein Agent die Aufgabe korrekt löst und zugleich vermeiden kann, private Details in öffentliche Suchanfragen zu tragen.
Mehr Leistung kann den Datenschutz verschlechtern
Ein einfacher Hinweis im Prompt, keine sensiblen Daten preiszugeben, reduzierte die Leckage nur begrenzt und verschlechterte teilweise die Aufgabenerfüllung. Noch deutlicher war der Zielkonflikt beim Training: Mit einer reinen Aufgabenbelohnung stieg die strikte Erfolgsquote von 48,7 auf 59,3 Prozent, gleichzeitig aber auch die Leckage von 34,0 auf 51,7 Prozent. Der Agent lernte, Suchanfragen mit mehr Kontext anzureichern – nützlich für das Retrieval, riskant für die Privatsphäre.
Datenschutz muss Teil des Trainingsziels sein
Die vorgeschlagene Methode Privacy-Aware Deep Research (PA-DR) kombiniert situationsbezogene Aufgabenbelohnungen mit einem erlernten Datenschutzsignal. Ein Klassifikator bewertet sowohl die aktuelle Anfrage als auch ihre Wirkung im bisherigen Suchprotokoll. Damit erreichte das System 58,7 Prozent strikten Erfolg bei nur noch 9,9 Prozent Antwort- oder Vollinformationsleckage. Bemerkenswert ist, dass der Agent nicht einfach weniger suchte, sondern präzisere Anfragen ohne verräterische Details formulierte.
Für Unternehmen ist das eine wichtige Einordnung: Zugriffskontrollen für Dokumente allein reichen bei agentischen Systemen nicht aus. Auch ausgehende Abfragen, Protokolle und Trainingsziele gehören in das Datenschutzkonzept. MosaicLeaks bleibt ein kontrollierter Benchmark mit synthetischen Unternehmensdaten; die Resultate liefern dennoch einen konkreten Ansatz, um Suchverhalten messbar sicherer zu gestalten.
Originalquelle: Hugging Face Blog – MosaicLeaks: Can your research agent keep a secret?
