CIPL：面向 LLM 智能体可恢复隐私泄露的通道感知框架

LLM 智能体中的隐私泄露通常在记忆、检索或工具调用流水线等单个组件内进行评估，这使得人们难以区分内部暴露的信息与外部观察者实际能够恢复的信息。我们提出 CIPL（Channel Inversion for Privacy Leakage），一种面向 LLM 智能体黑盒隐私泄露的通道感知评估框架。CIPL 通过敏感源、选择、组装、执行、观测和提取等阶段对目标进行表示，并在统一协议下评估从选定敏感单元到攻击者可恢复输出的转变。针对基于记忆、经检索介导和经工具介导的目标开展的实验，以及 BrowserUse 实时智能体案例研究表明，仅凭存储标签无法决定信息的可恢复性。记忆目标构成近乎饱和的参考案例；经检索介导的泄露通常是不完整的；而经工具介导的泄露和实时智能体中的泄露则会随观测面、提示词与通道的对齐程度、检索深度以及提供方行为而发生显著变化。分层语义审计进一步识别出对攻击者有用、但规范精确匹配无法发现的披露信息。因此，CIPL 提供了一个通用框架，用于比较在异构智能体流水线中，内部对敏感信息的依赖如何转化为外部可恢复的泄露。