当企业将内部文档与外部网页检索交给AI研究智能体处理时，一个隐蔽而危险的漏洞正在被忽视：多跳查询会像拼图一样，将看似无害的碎片信息组合成完整的隐私画面。Hugging Face上发布的一项新研究“MosaicLeaks”系统性地揭示了这个风险，并提供了可落地的解决方案。这不仅关乎技术细节，更直接影响企业级AI产品的合规与信任门槛。

研究团队构建了一个包含1,001条“多跳研究链”的测试集，每条链交替混合私有本地文档子问题与公共网络搜索子问题。在典型的企业场景中，用户可能先问“我们公司Q2的毛利是多少”，接着要求“对比同行报道中的毛利率”，再追问“哪些成本项未被公开披露”——每一步独立看均不敏感，但整体拼接后，竞争对手或内部员工就能推断出财报外的关键数据。测试发现，现有通用智能体（如基于GPT-4的检索增强生成系统）频繁将私有信息直接写入最终答案，或通过推理步骤的复用间接泄露。

更令人警觉的是，单纯给模型增加“不要泄露私密信息”的提示几乎无效。研究显示，当优化任务性能（如提高多跳检索的召回率或推理准确性）时，泄露率反而从基线水平上升，因为智能体倾向于将更多上下文——无论是本地的还是公开的——纳入回答。这意味着，传统“先提升能力，再补安全补丁”的产品迭代逻辑存在结构性缺陷：能力越强，风险越大。

基于这一发现，团队提出隐私感知深度研究（Privacy-Aware Deep Research, PA-DR）强化学习训练方法。其核心思想是：在奖励函数中同时惩罚泄露行为和奖励正确回答，让模型学会在“何时输出答案”与“何时保留信息”之间取舍。实验结果显示，PA-DR将严格链成功率（完整、准确且不泄露的多跳回答）从48.7%提升至58.7%，同时将答案中包含私有信息或全面上下文信息的泄露率从34.0%降至9.9%，且未牺牲任务表现。这一平衡点的达成，得益于将隐私约束嵌入训练循环而非后处理过滤，避免了两阶段方法常见的“过保护导致拒绝应答”或“过授权导致泄露”的两难。

对于正在构建企业级agent产品的团队，MosaicLeaks的价值不仅在于给出一个具体的数字门槛。它指出了当前AI安全评估中的一个盲区：我们习惯检测单次查询的直接隐私暴露，却未系统化测试跨步骤的信息拼接。在金融、医疗、法律等高度敏感的行业，一个研究助手即使每次回答都合规，也可能通过5到8次对话重构出客户名单或诉讼策略。建议团队在产品上线前，引入多跳隐私审计工具（论文已开源相关数据集和评价标准），并在训练或微调阶段加入类似PA-DR的隐私感知目标函数，而非仅依靠提示工程或内容过滤器。

从行业趋势看，AI agent正从“单次问答工具”进化到“多步研究助手”，而MosaicLeaks明确警告：隐私保护必须从架构层面前置设计。未来，能够证明自身具备“任务能力与隐私控制双达标”的原生安全agent，将成为企业采购的核心评估指标。这不是一篇学术论文的过度解读，而是产品对赌现实之前，必须回答的那个问题：你的研究智能体，能在完成任务的同时，真正保守秘密吗？