上海AI实验室AgentDoG：67950条工具调用记录暴露Agent隐私痕迹

AI 时代最私密的那段信息，未必是你亲口发出去的话，反而可能是 Agent 替你发起的一次工具调用。

你请 AI 助手查下周去伦敦怎么走，它顺手就调了地图服务；你让它整理体检报告，它又连上了健康数据库。按说你和它的对话内容，只有你和模型厂商能看见。可上海人工智能实验室 AgentDoG 团队新近发布的一项研究给出了提醒：对话即便全程保密，AI Agent 在后台调工具时留下的那些“作业痕迹”，照样够观察者拼出你住哪儿、信什么教、身体什么状况，勾出一幅挺完整的画像——名字倒是猜不出来。

这项研究题为《工具调用能在多大程度上暴露你？来自工具调用轨迹的隐私泄露》，由上海人工智能实验室联合电子科技大学、悉尼大学完成，搭了一个名为 PrivacyTrace 的基准，把此前被忽略的这层风险做了系统量化。结论不玄，是一组可以复现的数字。

（论文地址：https://arxiv.org/abs/2610.41885）

有人或许要问：AI 圈天天聊隐私，这研究新在哪？新就新在攻击面上。以往的安全研究盯两类问题：Agent 会不会主动去要不该要的数据，恶意工具会不会骗 Agent 泄密。这项研究里，所有工具都守规矩，协议调用完全合法，没有任何一方“作恶”，风险却依然在。这其实是数字隐私史上一个老剧本的新版本：二十年前，一份匿名化的搜索日志，就让用户仅凭搜索关键词被认出了真实身份；十多年前，Facebook 上的点赞暴露了性取向和政治倾向；如今轮到 Agent 的工具调用了。

一场没有对话的“读心术”

先把攻击者的位置讲清楚。大模型 Agent 的主流架构里，模型通过 MCP（Model Context Protocol，模型上下文协议）这类标准接口调用外部工具：地图、日历、健康服务、购物平台。每调一次就生成一条记录，里面有工具名、传入的参数、返回结果和调用顺序，这便是所谓的“工具调用轨迹”（tool-call traces）。

要害在于：工具服务器看不到你和 Agent 的对话，却能把调用记录看得一清二楚。而夹在中间的网关或聚合平台，甚至能拿到你所有任务的全部轨迹。研究者把这两类观察者分别叫作“本地观察者”和“全局观察者”。它们都属于半诚实（semi-honest）观察者：本职工作老老实实做完，只是顺手“多看了一眼”自己本来就有权限看的数据。这类观察者恰恰最难防，因为它不违反任何规则。

图 1：工具调用轨迹构成一条隐私侧信道。从地理编码结果、出行时间以及交通方式所呈现的规律中，可以推断出用户的位置、健康状况和宗教信仰（图源：论文 Figure 1）

举个例子。你让 Agent 规划下周的通勤和办事路线，轨迹里就会留下目的地的地理编码结果、出行时间和交通方式。单拎出哪一条都平平无奇，可这些线索凑到一块儿：目的地落在伦敦某医院区域，出行严格避开安息日，从周五日落到周六夜间一律只步行——一个旁观的服务器就能推出来：你可能住在伦敦，患有慢性肾病，信仰犹太教。你一个字没说，行为已经替你说完了。

PrivacyTrace：给一千个虚拟用户做“CT”

想量化这种风险，最大的坎是拿不到真实隐私数据。谁乐意把自己的病历交给研究者做攻击实验？团队的办法是合成：参照联合国、世界银行、UNESCO、国际劳工组织等机构的人口统计分布，用迭代比例拟合（IPF）造出 1,000 个统计上贴近真实人口结构的虚拟用户，每人带 17 项属性，涵盖国籍、年龄、职业、宗教信仰、身心健康、收入等。

然后围绕旅行、健康、购物、职业学习四个领域，拿 25 个真实 MCP 服务器的真实工具去执行任务，产出 4,000 条 Agent 轨迹、合计 67,950 条工具调用记录。最后请四个主流大模型（DeepSeek-V4-Flash、GPT-5.5、Gemini-3-Flash、MiniMax-M3）扮演“攻击者”，只读轨迹、不碰对话，去推断这 17 项属性。

设计上的巧处在于对照：攻击者只拿属性清单去“盲猜”，这是基线；拿到轨迹之后再猜，多出来的那截准确率，就是轨迹泄露的净证据。为了公平，评分采用强制预测：17 项属性每项都得给答案，猜错算错，语义匹配交给另一个没接触过轨迹的裁判模型裁定，模糊地带一律判错。整套流程对每个攻击者一视同仁。

还有个挺现实的细节：四位攻击者的成绩其实拉不开差距，从 25.29% 到 28.32%，但成本差得远。论文估算的成本里，GPT-5.5 跑完全部实验约 1,080 美元，DeepSeek-V4-Flash 只要约 46 美元，效果几乎持平。换句话说，发动这类画像攻击的门槛，比大多数人想的低得多。

数字说话：26.25% 意味着什么

实验结果是这样的：盲猜的攻击成功率（ASR）为 17.97%，拿到单域轨迹后升到 26.25%，净增 8.28 个百分点。换算下来，17 项属性平均只猜对四到五项，比盲猜多对一两项：拼个轮廓够了，离看穿还差得远。

图 2：观察者可见范围越大，推断越准。跨四个领域串联轨迹后，成功率升至 32.77%（图源：论文 Figure 4）

观察者范围带来的影响更值得留意：单个 MCP 服务器只能做到 24.24%，单个域是 26.25%，而把同一用户跨四个领域的会话串起来，成功率就跳到 32.77%。可见范围越大，画像越清晰。这里得说明，论文同时提醒这三个数字出自三组不同的统计口径，只能看作关联而非因果；在同一口径的配对实验里，从单服务器视角扩到单域视角，成功率实际只提升了 3.09 个百分点。

按属性拆分后，国籍（57.73%）与宗教信仰（50.03%）的泄露程度最高，出行、购物这两类任务的泄露也显著高于职业与学习类任务。也有让人稍感宽慰的一面：精确身份标识被猜中的难度很大。16,000 个标识符预测槽中仅猜对 35 次，这 35 次里有 34 次是姓名、1 次是电话号码，邮箱和政府身份标识则一次都没猜对。说到底，轨迹泄露出去的是“画像”，而非“身份”。

图3展示了各项属性的推断成功率，以及不同任务域之间的泄露差异。购物类任务最"多嘴"，达到31.86%。（图源：论文 Figure 5）

泄露的源头在哪：参数比结果更"多嘴"

把轨迹拆成元数据、调用顺序、参数、返回结果四部分，逐一做消融实验，结论很直接：工具参数贡献最大。单靠元数据和调用顺序，成功率只有14.53%，比盲猜还低；加上参数后升到27.71%，净增13.18个百分点；若只加入返回结果，则为24.54%，净增10.01个百分点。参数这条通道的信息量确实最大。

图4：各轨迹通道的推断成功率。参数（+ Args）是最大的信息源（图源：论文 Figure 6）

这并不难理解：参数是Agent替你做的选择。你查哪个地址、问什么药、预算定多少，都写在参数里。返回结果里往往夹着与用户无关的候选项——完整轨迹的成功率26.25%，反而低于只看参数的27.71%。论文对此的解释是，返回内容既可能印证参数中的线索，也可能把线索冲淡，两种机制眼下还分不清。有个细节耐人寻味：哪怕服务器只拿到请求参数、完全看不到返回内容，泄露程度也几乎不打折扣。这给防御提了个醒：与其纠结返回数据，不如先把请求参数管住。

研究还验证了一种"两段式"攻击：先从轨迹中挑出有证据支撑的属性，第一阶段只选中17.06%的属性槽，但这部分的准确率高达45.90%；再拿这些局部画像去推断其余属性，整体成功率被推到25.83%，与一次性攻击的26.25%几乎持平，且约四分之三的正确预测彼此重合。也就是说，少量有证据支撑的线索确实能带动后续推断：用局部画像补全剩余属性，可使这部分的准确率从18.48%升到21.78%，净增3.30个百分点。不过论文也明确表示，这一增益有一部分来自模型先验，并不能证明真实攻击者就是按"先锚定、再推理"的路子操作的。

痕迹不会说谎，但可以少留

要说明的是，这项研究把合成用户和真实工具组合在一起，虚拟用户的行为未必和真人完全一样，26.25%也远没到"一眼看穿"的地步。它的价值在于证伪了一个常见的安全假设——"对话保密就等于用户隐私安全"。到了Agent时代，这个等式不再成立。

从越权获取、外传敏感数据，到提示注入、工具投毒，业界围绕MCP安全的讨论多集中在这些具体风险上。这项研究指向的则是更安静的一类风险：没有任何一方作恶，所有调用都符合协议，画像照样能被拼出来。结合近期行业内陆续冒出的Agent安全产品与治理实践，工具调用的"留存"与"关联"正在变成值得重视的合规议题。

论文给出的防御方向相当具体，归纳起来是三道闸门。

第一道是模糊化：对查询参数做降噪，让请求不必带上高精度的位置、时间和身份线索，比如把"步行14分钟到某医院"泛化成"市中心出行"。第二道是最小化：限制轨迹的保存时长和内容颗粒度，日志留得越久，风险敞口越大。第三道是切断跨服务的会话关联，别让同一个用户在四个不同服务器上的痕迹被串成一条线。不过论文同时声明，三类防御的有效性都还没经过实验验证，目前只是方向性建议。

对企业用户而言，这份研究还带来一层部署层面的启示。Agent逐步走进办公流程，员工每授权Agent连接一个新工具，公司的行为数据暴露面就在无形中扩大。安全团队过去习惯守住"数据和模型"，现在恐怕得再加一条：守住"调用"。工具网关的可观测性和隐私审计，是本文在论文之外的引申，正在成为Agent时代安全架构里值得补上的一环。

Agent 本事越大，留下的痕迹就越多。它帮你办的每件事，都会变成一份记录你行为的材料；这些痕迹攒下来，往后都可能被拿来给你画像。