Felet uppsatsen handlar om
Mosaikeffekten är ett gammalt problem i sekretessklassning: flera uppgifter som var för sig får lämnas ut ger tillsammans en slutsats som inte får lämnas ut. En uppsats inlämnad till arXiv den 21 oktober, “Agent Mosaic: Recognizing Confidentiality Leaks in Agentic LLM Systems” av Daniel Ruiz, Luca Luceri och Emilio Ferrara, prövar om hämtningsagenter återskapar det.
Uppställningen är medvetet odramatisk. Frågorna är ofarliga, och uppsatsen säger att var och en borde gå att besvara ur ett enda dokument. Agenten hämtar flera ändå, och frågan är om den kombinerar dem till något den inte skulle säga.
Siffrorna
Studien omfattar 10 800 slutsvar från tre språkmodellsagenter i kontrollerad simulering, plus 1 440 svar från levande agenter i två öppna ramverk. Scenarierna är 30 syntetiska exempel inom cybersäkerhet, medicin och militära sammanhang.
Den modell som presterade bäst i simulering, som uppsatsen anger som GPT-5.6-Sol, röjde förbjudna sammanställningar i 7,08 procent av svaren på ofarliga frågor, med ett 95-procentigt konfidensintervall på 3,75 till 10,67 procent. Läckagenivåerna i de levande ramverken var högre än i simuleringen.
Det resultat som betyder mest är vad som hände med skydd på plats. Med klassificeringsrubriker på dokumenten och uttryckliga sammanställningsregler givna till agenten kvarstod osäkra röjanden i 32,37 procent av de simulerade svaren, sammanslaget över alla avsikter, med ett konfidensintervall på 28,33 till 36,19 procent.
Det är nära en tredjedel av svaren som läcker just det reglerna skrevs för att hindra — och det är högre än den oskyddade nivån för den bästa modellen, eftersom det slår ihop alla avsikter i stället för att isolera det ofarliga fallet. Riktningen är poängen: att märka dokumenten och uttala regeln slöt inte luckan.
Att vägra är inte detsamma som att inte röja
Uppsatsens andra fynd är det som är lättast att missa när man bygger ett system. Vägran garanterar inte sekretess, eftersom vissa vägranden ändå röjer den förbjudna slutsatsen.
Det är självklart när det väl sagts. En agent som avböjer att svara genom att förklara vad den skulle behöva kombinera, eller vilken bestämd slutledning den undviker, har publicerat slutledningen. En vägran som ett utvärderingsramverk räknar som ett säkert utfall kan i praktiken vara en osäker utdata, vilket betyder att läckagemätningar som räknar vägran som framgång underskattar problemet.
Varför det är svårt att konstruera bort
Åtkomstkontroll på dokumentnivå förutsätter att känsligheten bor i dokumentet. Mosaikeffekten är precis fallet där den inte gör det: den bor i sammanfogningen. Ett behörighetssystem som prövar varje hämtning för sig kan inte se en egenskap som bara finns över mängden, och en hämtningsagents hela funktion är att sätta ihop mängder.
Uppsatsen gör inte anspråk på att lösa det. Den erbjuder ett sätt att känna igen det, en uppsättning scenarier att pröva mot, och siffror som ger ett golv snarare än ett tak — 30 syntetiska exempel i tre domäner är ett litet urval, och författarna beskriver arbetet som utvärdering, inte försvar. Det är ett förhandstryck inlämnat till ACL Rolling Review och är inte sakkunniggranskat.
Vad den däremot fastställer är att läckan sker utan angripare. Här finns inget jailbreak, ingen fientlig prompt, ingen promptinjektion: frågorna är ofarliga och agenten beter sig som den är byggd. För den som sätter hämtningsagenter på material med blandad känslighet är det den obekväma delen. Felläget kräver inte att någon försöker.
