PrivDrift: Auditing User-Secret Leakage Under Topic Drift in Active LLM Conversations
作者: Luciano Maldonado
分类: cs.AI, cs.CL, cs.CR
发布日期: 2026-09-24 (更新: 2026-09-25)
备注: Preprint, 10 Pages, 6 figures
💡 一句话要点
提出PrivDrift以审计主动LLM对用户秘密泄露的风险
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 用户隐私 大型语言模型 对话系统 信息泄露 主题漂移 审计机制
📋 核心要点
- 核心问题：现有方法未能有效评估用户在对话中披露的敏感信息在主题漂移后的泄露风险。
- 方法要点：PrivDrift通过构建包含多轮对话的基准，审计用户秘密在对话转变后的恢复情况。
- 实验或效果：实验结果显示，混合泄露率在38.7%到54.6%之间，且受模型和说服强度影响显著。
📝 摘要（中文）
随着大型语言模型（LLM）在用户交互、共享会话和工具增强环境中的应用日益广泛，用户在对话中披露的敏感信息可能在对话转向无关主题后仍然可被恢复。本文提出PrivDrift，一个用于审计用户披露秘密在对话主题漂移后是否仍然可恢复的基准。PrivDrift包含1000个控制的多轮对话，设定了秘密、内容密集的漂移回合和标准化的提取探针。通过对三种具有扩展上下文窗口的LLM的测试，发现对话级别的混合泄露仍然显著，范围在38.7%到54.6%之间，并且强烈依赖于模型、秘密类型和说服强度。在测试的漂移窗口内，额外的主题漂移并未可靠地减少泄露，表明在主动LLM环境中，隐私风险应被视为一种持久的行为失效模式，而不仅仅是训练数据的记忆或即时越狱行为。
🔬 方法详解
问题定义：本文旨在解决用户在与大型语言模型（LLM）交互时，披露的敏感信息在对话主题漂移后仍然可能被恢复的问题。现有方法未能充分考虑这种隐私泄露的风险，尤其是在多轮对话中。
核心思路：PrivDrift的核心思路是通过设计一个基准，系统地审计用户披露的秘密在对话主题变化后的可恢复性。该方法强调对话的持久性和信息泄露的行为特征，而不仅仅是训练数据的记忆。
技术框架：PrivDrift的整体架构包括三个主要模块：1) 控制的多轮对话生成，2) 内容密集的漂移回合设计，3) 标准化的提取探针。通过这些模块，研究者能够系统地评估信息泄露的程度。
关键创新：PrivDrift的主要创新在于其审计机制，能够在对话主题漂移后有效评估用户秘密的恢复风险。这一方法与现有的隐私保护技术相比，提供了更为细致的行为分析视角。
关键设计：在实验中，设置了多种参数以控制对话的复杂性和漂移的强度，采用了混合泄露的评估指标，确保了结果的可靠性和可重复性。
🖼️ 关键图片
📊 实验亮点
实验结果显示，在三种不同的LLM中，混合泄露率高达54.6%，表明在对话主题漂移后，用户秘密的恢复风险依然显著。这一发现强调了在设计LLM时需要考虑的隐私保护措施，尤其是在多轮对话场景中。
🎯 应用场景
该研究的潜在应用领域包括智能助手、在线客服和社交媒体平台等，能够帮助开发者更好地理解和管理用户隐私风险。通过审计用户秘密的泄露情况，能够提升用户信任度和系统安全性，未来可能影响隐私保护技术的发展方向。
📄 摘要（原文）
Large language models increasingly operate as persistent assistants in user-facing, shared-session, and tool-augmented settings. When users disclose sensitive information during an active conversation, that information may remain behaviorally recoverable through later prompts even after the dialogue shifts to unrelated topics. We introduce PrivDrift, a benchmark for auditing whether user-disclosed secrets remain recoverable after conversational topic drift and persuasion-based probing. PrivDrift contains 1,000 controlled multi-turn dialogues with seeded secrets, content-dense drift turns, and standardized extraction probes. Across three LLMs with extended context windows, dialogue-level hybrid leakage remains substantial, ranging from 38.7% to 54.6%, and varies strongly by model, secret type, and persuasion intensity. Within the tested drift window, additional topic drift does not reliably reduce leakage, suggesting that privacy risk in active LLM contexts should be evaluated as a persistent behavioral failure mode rather than only as training-data memorization or immediate jailbreak behavior.