上海人工智能实验室等发布PrivacyTrace：工具调用轨迹可泄露国籍和宗教

上海人工智能实验室联合电子科技大学、悉尼大学于11月4日发布研究《工具调用能在多大程度上暴露你？来自工具调用轨迹的隐私泄露》，构建基准PrivacyTrace，量化AI Agent工具调用轨迹的隐私泄露风险。在基于MCP等标准接口的主流Agent架构中，工具服务器看不到对话，却能完整看到每次调用的工具名、参数、返回结果和调用顺序。研究合成1,000个虚拟用户、4,000条Agent轨迹和67,950条工具调用记录，让四个主流大模型仅凭轨迹推断用户的17项属性。

结果显示，盲猜成功率17.97%，拿到单域轨迹后升至26.25%；将同一用户跨四个领域的轨迹串联后可达32.77%。论文提醒，三组数字来自不同统计口径，只能视为关联而非因果；同一口径配对实验中，从单服务器视角扩大到单域视角仅提升3.09个百分点。分属性看，国籍（57.73%）和宗教信仰（50.03%）泄露最明显，邮箱和政府身份标识的正确猜测次数为零。消融实验表明，工具参数是最大的信息通道：仅加入参数时成功率升至27.71%，高于完整轨迹的26.25%；只有元数据和调用顺序时仅14.53%。

研究提出模糊化查询参数、限制轨迹留存、切断跨服务会话关联三道防御方向，但论文声明其有效性尚未经实验验证。此外，GPT-5.5跑完实验约需US$1,080，DeepSeek-V4-Flash仅约US$46，效果几乎持平。（论文：https://arxiv.org/abs/2610.41885）