上海人工智能实验室AgentDoG团队联合电子科技大学、悉尼大学完成的一项研究，系统量化了AI Agent在后台调用工具时产生的”工具调用轨迹”所引发的隐私泄露风险。研究团队构建了名为PrivacyTrace的基准，基于1,000个虚拟用户、4,000条Agent轨迹和67,950条工具调用记录展开实验，结果显示：在完全不读取对话内容的前提下，攻击者仅凭工具调用记录即可将用户属性推断成功率从盲猜的17.97％提升至26.25％，净增8.28个百分点。
该研究的核心发现指向一个此前被忽视的攻击面。在主流Agent架构中，模型通过MCP（模型上下文协议）等标准接口调用地图、日历、健康服务、购物平台等外部工具，每次调用都会生成包含工具名、传入参数、返回结果和调用顺序的记录。工具服务器无法看到用户与Agent的对话，却能完整掌握这些调用记录；而位于中间的网关或聚合平台甚至可以看到用户所有任务的全部轨迹。研究者将这两类观察者分别定义为”本地观察者”和”全局观察者”，并强调它们均为半诚实观察者——正常完成本职工作，只是”多看了一眼”自己本就有权限访问的数据，不违反任何规则，因而最难防范。
研究给出的典型场景是：用户让Agent规划通勤与办事路线，轨迹中会出现目的地地理编码、出行时间和交通方式。单条信息并不敏感，但组合后可推断出用户可能居住在伦敦、患有慢性肾病、信仰犹太教——目的地落在医院区域，出行严格避开安息日且从周五日落到周六夜间一律只步行。用户未透露任何文字信息，行为轨迹已完成了表达。
为突破真实隐私数据难以获取的障碍，团队采用合成方法：参考联合国、世界银行、UNESCO、国际劳工组织等机构的人口统计分布，通过迭代比例拟合生成1,000个统计上贴近真实人口结构的虚拟用户，每人携带国籍、年龄、职业、宗教信仰、身心健康、收入等17项属性；围绕旅行、健康、购物、职业学习四个领域，使用25个真实MCP服务器的真实工具执行任务。随后由DeepSeek-V4-Flash、GPT-5.5、Gemini-3-Flash、MiniMax-M3四个主流大模型扮演攻击者，仅依据轨迹推断17项属性，评分采用强制预测机制，语义匹配由未接触轨迹的裁判模型裁定。
实验数据显示，观察者可见范围越大，推断越准确：单个MCP服务器视角下成功率为24.24％，单个领域为26.25％，跨四个领域串联同一用户会话后升至32.77％。论文同时说明，这三个数字来自三组不同统计口径，只能视为关联而非因果；同口径配对实验中，从单服务器扩大到单域视角的实际提升为3.09个百分点。分属性看，国籍（57.73％）和宗教信仰（50.03％）泄露最为严重，出行与购物类任务的泄露明显高于职业学习，购物类任务推断成功率最高，达31.86％。精确身份标识则难以还原：16,000个标识符预测槽中仅35次猜对，其中34次为姓名、1次为电话号码，邮箱和政府身份标识正确次数为零。
对轨迹四个组成部分的消融实验进一步定位了泄露源头。仅有元数据和调用顺序时，成功率为14.53％，甚至低于盲猜；加入工具参数后升至27.71％，净增13.18个百分点；仅加入返回结果则升至24.54％，净增10.01个百分点。参数是信息量最大的通道，其本质是Agent替用户做出的选择——查询的地址、询问的药品、设定的预算均记录在参数中。完整轨迹26.25％反而低于仅看参数的27.71％，论文对此的解读是返回结果中常夹带与用户无关的候选项，形成信息稀释。
成本维度同样值得关注。四位攻击者的成绩差距不大，介于25.29％至28.32％之间，但开销差异显著：GPT-5.5完成全部实验约需1,080美元，DeepSeek-V4-Flash仅约46美元，效果几乎持平。这意味着发动此类画像攻击的门槛远低于普遍预期。
该研究将Agent工具调用轨迹置于数字隐私泄露史的延长线上：二十年前的匿名搜索日志、十多年前的社交点赞，均曾以类似方式暴露用户敏感属性。随着Agent从对话工具演化为任务执行主体，工具调用记录的留存、聚合与跨域串联将成为企业部署Agent时必须纳入考量的数据治理议题，尤其是在网关与聚合平台层面，轨迹的可见范围直接决定了用户画像的可还原程度。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
