LLM Agents Can’t Keep It: Evaluating Privacy in Multi-Agent Systems (ACM CAIS 2026)论文重点这篇发表在ACM CAIS 2026的论文揭示了一个令人不安的事实当LLM智能体从孤立的单轮对话环境进入多轮社交互动场景时隐私泄露风险会急剧攀升——OpenAI系列模型的隐私泄露率从基准的19.95%猛增至45.30%。更值得警惕的是隐私泄露具有“社交传染性”智能体在目睹同伴泄露信息后自身泄露敏感信息的概率会提高8倍。核心研究内容问题定义当前LLM安全性评估主要在隔离环境下测试模型然而现实世界中部署的AI智能体越来越多地需要在持续的社交环境中与其他智能体协同运作。这种评估范式与真实部署场景之间的鸿沟可能导致我们对智能体隐私风险的系统性低估。论文要回答的核心问题是当LLM智能体被置于社交环境中时它们能否保守秘密创新方法研究团队构建了一个Moltbook式的大规模多智能体模拟平台让数千个LLM智能体在124个社区中跨越一个模拟月份进行交互。这个平台的核心设计理念是模拟真实社交网络中的信息传播机制而非传统的静态问答测试。研究者利用该平台评估隐私作为“下游安全性问题”在不同社交压力程度下的表现。与传统安全基准如CIMemories的单轮评估不同该平台支持多轮社交互动能够捕捉智能体在持续对话中逐步放松警惕的动态过程。这种设计更贴近AI智能体在实际部署中的行为模式——它们不是一次性回答一个问题而是在长期互动中不断处理信息、建立关系、受到同伴影响。研究成果论文的核心发现可以归纳为三个层面第一量化风险的跃升。从单轮评估转向多轮社交评估后OpenAI系列模型的隐私泄露率从CIMemories基准的19.95%飙升至45.30%增幅超过一倍。这不是小幅波动而是质的飞跃。第二泄露的传染性。隐私泄露在智能体群体中呈现“社交传染”特征——智能体在观察到同伴泄露敏感信息后自身泄露的概率会提高8倍。这意味着单个智能体的失误可能引发连锁反应在群体中形成“泄露风暴”。第三防护的局限性。即便加入明确的隐私保护指令泄露率仍然维持在37.8%以上。这揭示了一个深层问题当前的防护机制如系统提示词中的隐私约束在社交压力面前显得力不从心无法从根本上消除风险。实际落地应用的可能性这项研究的应用价值主要体现在三个方向安全评估体系的升级。现有的LLM安全基准主要基于静态对话测试论文证明这种评估方式存在系统性偏差。未来AI系统的安全认证可能需要引入“社交压力测试”——在模拟的多智能体社交环境中评估模型的隐私保护能力。多智能体系统的架构设计。对于正在构建多智能体协作平台的企业和开发者这项研究提供了关键警示不能让智能体在缺乏隐私隔离的环境中自由交换信息。需要在架构层面引入“最小权限原则”和“信息围栏”机制。监管政策的参考依据。随着AI智能体逐渐渗透到医疗、金融、法律等敏感领域监管机构需要基于实证数据制定隐私保护标准。这项研究提供的量化证据如45.30%的泄露率、8倍的传染效应可作为政策制定的重要参考。技术细节模拟平台架构论文构建的Moltbook式模拟平台是一个大规模多智能体社会模拟环境其核心设计包含以下要素规模数千个LLM智能体同时运行空间结构124个社区模拟真实社交网络的分层结构时间维度跨越一个模拟月份支持长期行为演化交互模式多轮、多方向的社会对话而非单轮问答评估指标与方法研究采用了对比评估框架将传统基准CIMemories专注于持久记忆中上下文完整性的组合式基准与论文提出的多轮社交评估进行对照。CIMemories此前已发现前沿模型存在高达69%的属性级隐私违规。论文在此基础上进一步引入社交压力变量考察不同程度的社交互动如何影响隐私泄露行为。这种“压力测试”思路在AI安全评估中具有方法论上的创新意义。关键数据公式化表达论文的核心发现可以用以下关系概括泄露率增幅R s o c i a l 45.30 % R_{social} 45.30\%Rsocial45.30%vsR b a s e l i n e 19.95 % R_{baseline} 19.95\%Rbaseline19.95%OpenAI模型传染效应P ( l e a k ∣ o b s e r v e _ l e a k ) 8 × P ( l e a k ∣ n o _ o b s e r v e ) P(leak|observe\_leak) 8 \times P(leak|no\_observe)P(leak∣observe_leak)8×P(leak∣no_observe)防护失效R s o c i a l w i t h _ s a f e g u a r d s 37.8 % R_{social}^{with\_safeguards} 37.8\%Rsocialwith_safeguards37.8%研究设定实验设计研究采用对照实验设计主要变量包括交互模式单轮 vs 多轮社交互动社交压力程度从低到高多个梯度隐私保护措施有无明确的隐私指令模型类型OpenAI系列模型为主可能涵盖其他主流LLM硬件与软件配置虽然论文未在摘要中详细披露具体硬件配置但基于同类大规模多智能体模拟研究的惯例可以推断计算资源需要GPU集群支持数千个LLM智能体的并行推理模拟框架可能基于或参考了Moltbook等已有的AI智能体社会模拟平台API调用大规模调用OpenAI等商业模型的API接口综合分析论文的理论贡献这篇论文的理论贡献在于它将隐私问题从“模型能力”层面提升到了“系统行为”层面。传统隐私研究关注的是模型在单轮对话中是否会泄露训练数据中的个人信息而这篇论文揭示的是即使在没有任何“恶意”的情况下智能体在正常的社交互动中也会“自发地”泄露敏感信息。这背后的机制值得深思。LLM本身没有“保守秘密”的意图或意识——它们只是在做下一个token的预测。当社交环境中的对话历史包含了同伴的“榜样行为”模型自然会将这种模式内化为自己的输出风格。这不是模型的“背叛”而是统计学习的必然结果。与相关工作的关联论文与多篇前沿研究形成了对话CIMemories揭示了持久记忆中的上下文完整性违规问题为本研究提供了基准参照OpenClaw Agents on Moltbook展示了智能体在社交网络中的选择性规范执行行为隐私作为上下文完整性Nissenbaum, 2004的理论框架为本研究提供了隐私概念化的哲学基础研究的局限性基于现有信息可以推测论文可能存在以下局限模型覆盖范围主要聚焦于OpenAI系列模型对其他开源模型如Llama、Mistral的适用性有待验证模拟与现实的距离Moltbook式模拟虽然比单轮测试更接近真实但与真实世界中的多智能体部署仍有差距防护措施的单一性仅测试了“明确的隐私指令”这一种防护手段其他更复杂的防护机制如差分隐私、加密通信未被充分评估实践应用对开发者的建议第一重新审视安全评估策略。如果你的团队正在开发多智能体系统不要仅仅依赖静态的安全基准测试。建议在测试环境中构建小规模的“社交压力测试”——让多个智能体在模拟对话中互动观察信息是否会在不经意间跨边界流动。第二架构层面的隐私隔离。研究发现在多智能体系统中一个智能体可以读取另一个智能体的私有字段。这要求在系统设计层面实施严格的访问控制智能体之间的信息共享不应是“全有或全无”的而应基于“最小必要”原则。第三监控而非仅依赖前置防护。既然明确的隐私指令只能将泄露率从45.30%降至37.8%仍处于高位开发者不能指望“告诉智能体保守秘密”就能解决问题。需要在运行时部署监控机制实时检测和阻断敏感信息的跨智能体传播。对研究者的启示基准设计的范式转变。这项研究为AI安全评估指明了一个新方向从“静态问答”走向“动态社交模拟”。未来的安全基准可能需要包含多智能体互动场景才能真实反映部署环境中的风险。防护机制的根本性反思。37.8%的泄露率即便有防护说明当前的防护思路可能存在根本性问题。研究者需要思考是否应该从“教模型保密”转向“设计不让模型有机会接触秘密”的架构这涉及从“对齐”到“隔离”的思路转变。对决策者的建议对于正在将AI智能体引入敏感业务场景如客户服务、医疗咨询、金融顾问的组织这项研究提供了重要的风险量化依据。在部署之前建议对智能体系统进行“社交压力测试”评估其在真实互动场景中的隐私保护表现建立敏感信息的“最小暴露”原则——只让必须知道某些信息的智能体接触这些信息部署实时的隐私泄露检测机制而非仅依赖事前的安全配置参考资料来源原始论文: https://arxiv.org/abs/2605.27766会议: ACM Conference on AI and Agentic Systems (ACM CAIS 2026), San Jose, CA, USA, May 26–29, 2026作者: Aman Priyanshu, Supriti Vijay, Esha PahwaHugging Face论文页: https://huggingface.co/papers/2605.27766