Agent riset bisa membocorkan rahasia lewat kueri pencariannya sendiri

Peneliti ServiceNow memaparkan celah privasi yang senyap pada deep research agent, yaitu jenis agent yang membaca dokumen internal perusahaan sekaligus mencari di web untuk melengkapi informasi. Setiap kueri web tampak tidak berbahaya bila berdiri sendiri, tapi siapa pun yang mengamati log kueri bisa merangkai potongannya. Dalam contoh mereka, tiga pencarian soal migrasi cloud, insiden keamanan Januari 2024, dan nama vendor tertentu bersama-sama mengungkap bahwa sebuah perusahaan kesehatan telah memindahkan 70% infrastrukturnya ke cloud, fakta yang sebenarnya hanya ada di dokumen privat. Mereka menyebutnya mosaic effect dan memilahnya menjadi kebocoran niat, kebocoran jawaban, dan kebocoran informasi penuh.

Dua temuan membuat masalah ini sulit diabaikan. Menyuruh agent "jangan bocor" lewat prompt nyaris tidak membantu. Lebih buruk lagi, melatih agent semata agar pandai menyelesaikan tugas justru memperbesar kebocoran: keberhasilan tugas naik dari 48,7% ke 59,3%, tapi kebocoran melonjak dari 34,0% ke 51,7%, karena agent yang lebih cakap mengajukan pertanyaan yang lebih tajam dan lebih membongkar. Solusi mereka, Privacy-Aware Deep Research, menambahkan reward privasi yang dipelajari di samping reward tugas. Pada Qwen3-4B, keberhasilan tugas bertahan di 58,7% sementara kebocoran ditekan ke 9,9%. Agent hasil pelatihan justru mengirim lebih banyak kueri, tapi membuang detail yang membongkar seperti angka dan tanggal pasti. Menurut mereka, privasi tidak bisa diselipkan lewat prompt, melainkan harus ditanamkan lewat pelatihan.

Kenapa ini penting

Kalau kamu membangun agent riset di atas data rahasia, kueri pencarian itu sendiri adalah jalur kebocoran yang tidak akan ditutup oleh system prompt. Riset ini menunjukkan kebocorannya nyata, bahwa mengoptimalkan kualitas tugas saja malah memperparahnya, dan bahwa solusinya harus ada di cara agent dilatih.