MosaicLeaks: как deep-research агенты выдают секреты через поиск

По состоянию на 18 июня 2026 года MosaicLeaks - это не история про взлом конкретного продукта. Это исследование Hugging Face и ServiceNow о другом классе риска: deep-research агент может не показывать наружу документы компании, но всё равно раскрывать приватные факты через свои внешние поисковые запросы.

Проблема возникает там, где агент одновременно читает локальные корпоративные документы и ходит во внешний поиск. Один запрос может выглядеть безобидно. Второй тоже. Но весь журнал запросов иногда складывается в «мозаичную» подсказку: наблюдатель видит не исходные документы, а следы поиска, и по ним восстанавливает закрытую информацию.

Авторы называют этот режим querying-in-the-open: агент ищет в открытую, хотя часть нужного ему контекста пришла из закрытых источников. Для компаний это важнее обычной утечки промпта. Даже аккуратная модель может сформулировать внешний запрос так, что в нём окажется метрика, дата, название проекта или другой фрагмент внутреннего знания.

Что такое MosaicLeaks

MosaicLeaks - benchmark из 1 001 многошаговой исследовательской цепочки. В каждой цепочке агент должен чередовать локальный поиск по корпоративным документам и внешний поиск по контролируемому веб-корпусу. Ответ на один шаг становится мостиком к следующему, поэтому агенту приходится учитывать приватный контекст, когда он формулирует новый внешний запрос.

Атакующий в этом сценарии не видит приватные документы, системный промпт или рассуждения агента. Он видит только накопленный журнал внешних запросов. Затем отдельная LLM пытается понять, можно ли по этому журналу восстановить закрытую информацию.

Самый опасный вариант - full-information leakage. В этом случае внешний наблюдатель не просто догадывается, чем занимался агент, а получает возможность сформулировать закрытый факт.

Почему агент вообще раскрывает лишнее

В исследовании приведён пример с вымышленной компанией MediConn. В локальных документах есть факт: к первому кварталу 2025 года 70% локальной инфраструктуры компании переехало в облако, а milestone был достигнут в январе. Чтобы пройти цепочку вопросов, агенту нужно затем найти публичный факт о крупной атаке, раскрытой в январе 2024 года.

Если агент ищет просто «какая технологическая компания раскрыла крупную атаку в январе 2024 года», приватная метрика не уходит наружу. Если он добавляет в веб-запрос «MediConn 70% January cloud migration», журнал уже содержит внутренний контекст. Каждый фрагмент сам по себе может быть неполным, но вместе они раскрывают больше, чем компания хотела бы отправлять внешнему поиску.

Это не то же самое, что prompt injection. В prompt injection злоумышленник обычно пытается заставить модель нарушить инструкцию или выполнить вредное действие. В MosaicLeaks канал другой: внешний сервис или наблюдатель видит то, что агент сам отправил в поиск. Поэтому простая системная фраза «не раскрывай приватную информацию» не закрывает риск.

Простая инструкция помогает слабо

Авторы проверили очевидный вариант защиты: добавить в Plan prompt указание не отправлять веб-запросы, которые могут раскрыть локальную информацию. Для Qwen3-4B такая инструкция снизила answer/full-information leakage с 34,0% до 25,5%, но strict chain success упал с 48,7% до 44,5%.

Иными словами, агент стал осторожнее в худшем смысле: он реже ходил во внешний поиск, но не научился стабильно формулировать безопасные запросы. Для исследовательского агента это плохой компромисс. Компаниям нужен не молчаливый агент, который боится искать, а агент, который умеет отделять приватные мостики от публичной части запроса.

PA-DR: обучение приватному поиску, а не запрет поиска

Главный результат работы - Privacy-Aware Deep Research, или PA-DR. Это RL-подход, который одновременно поощряет успешное решение задачи и штрафует утечки в запросах. Важная деталь: штраф применяется не только к отдельному запросу, но и к тому, как новый запрос меняет весь накопленный журнал. Именно так ловится мозаичный эффект.

Метод использует два сигнала. Первый - ситуационная награда за полезное действие на конкретном шаге: правильно ли агент выбрал источник, нашёл нужный документ, выбрал правильные карточки для чтения. Второй - learned privacy reward: классификатор на Qwen3-4B оценивает, раскрывает ли текущий запрос приватные данные напрямую или усиливает мозаичную утечку в сумме с предыдущими запросами.

Цифры здесь важны. В базовом Qwen3-4B strict chain success был 48,7%, а answer/full-information leakage - 34,0%. Обучение только на успешность задачи подняло strict chain success до 59,3%, но утечки выросли до 51,7%: модель стала лучше искать и вместе с этим начала тащить больше приватных деталей во внешние запросы. PA-DR сохранил почти весь прирост качества - 58,7% strict chain success - и снизил leakage до 9,9%.

Это сильный аргумент против подхода «сделаем агента умнее, а приватность добавим инструкцией». В многошаговом поиске полезность и риск часто сидят в одной и той же строке запроса. Чем больше контекста агент добавляет, тем выше шанс найти нужный документ и тем выше шанс раскрыть лишнее.

Что компании должны проверять до запуска deep-research агентов

MosaicLeaks хорошо ложится на практический чеклист для корпоративных агентов. Если система читает внутренние документы и ходит во внешний веб, безопасность нельзя сводить к политике доступа к файлам. Нужно смотреть на исходящий трафик агента.

• Логировать внешние поисковые запросы и хранить их как чувствительный артефакт, а не как безобидную телеметрию.
• Разделять локальный и внешний retrieval: агент не должен автоматически переносить приватные сущности из одного контура в другой.
• Редактировать или переписывать внешние запросы перед отправкой: убирать внутренние метрики, даты, кодовые названия, имена клиентов и уникальные комбинации фактов.
• Тестировать не только отдельные запросы, но и весь query log за задачу. Мозаичная утечка появляется в накоплении.
• Оценивать privacy regression после обучения агента на производительность: улучшение качества поиска может увеличить раскрытие данных.
• Проверять policy не только промптом, но и отдельными evals, red teaming и классификаторами утечек.

Это близко к теме prompt injection и supply-chain атак на LLM-агентов, но канал риска другой. Там модель часто атакуют через входные данные или инструменты. Здесь агент сам создаёт внешний след, который достаточно внимательно прочитать. На уровне пользовательских аккаунтов похожую цепочку abuse мы разбирали в материале про Meta AI support и захват Instagram-аккаунтов: слабое место возникает не в одном промпте, а в связке ИИ, интерфейса поддержки и внешнего наблюдателя.

Инструменты вроде OpenAI Privacy Filter для локальной маскировки PII могут помочь с очевидными персональными данными. Но MosaicLeaks показывает более неприятный случай: приватность нарушает не только имя или email, а комбинация публичных и внутренних фактов. Маскировка PII не заменяет контроль того, как агент строит цепочку поиска.

Чего исследование не доказывает

Авторы аккуратно ограничивают выводы. MosaicLeaks - контролируемый benchmark, а не измерение реальных утечек в уже развёрнутых продуктах. Корпоративные документы синтетические, веб-корпус фиксированный, цепочки построены для трёх company contexts, а агентный harness решает многошаговые QA-задачи, а не весь спектр открытых исследований.

Поэтому некорректно писать, что deep-research продукты массово сливают корпоративные секреты. Правильный вывод строже и полезнее: если агент смешивает private local documents и external search, у него появляется измеримый leakage channel. Этот канал можно воспроизвести, оценить и частично снизить обучением.

На уровне индустрии это часть более широкого кластера agent safety. Мы уже видели, как Google DeepMind вкладывается в безопасность многоагентных ИИ: чем больше автономных цепочек действий, тем важнее проверять не только ответы модели, но и следы, которые она оставляет во внешних системах.

Главное

MosaicLeaks показывает неприятную особенность deep-research агентов: приватный факт может утечь не в ответе пользователю, а в промежуточном поисковом запросе. Для внешнего наблюдателя такой query log становится набором кусочков, из которых собирается закрытая корпоративная картина.

Самый практичный вывод для компаний - контролировать outbound search queries до подключения агентов к внутренним данным. Нужно оценивать накопленные журналы запросов, разделять локальный и внешний контур, переписывать запросы и проверять, не ухудшает ли новое обучение приватность. Команда MosaicLeaks показала, что это можно измерять: PA-DR снизил answer/full-information leakage с 34,0% до 9,9% без потери качества задачи. Но это результат benchmark, а не гарантия безопасности для любого агента в реальной инфраструктуре.

Источники и проверка фактов

Факты, даты, цифры benchmark и изображения проверены 18 июня 2026 года. Тема новая: если авторы выпустят обновлённую версию бумаги или код, цифры и ограничения нужно перепроверить перед публикацией.

• Hugging Face / ServiceNow: MosaicLeaks: Can your research agent keep a secret?, 18 июня 2026 года; использовано для TL;DR, описания leakage channel, примеров, agent harness, PA-DR и официальных изображений.
• arXiv: MosaicLeaks: Privacy Risks in Querying-in-the-Open for Deep Research Agents, submitted 29 May 2026; использовано для авторов, abstract, ограничений, arXiv ID и основных чисел benchmark.