文献雷达 · agent-rag-longcontext

作者：Tom 时间：2026-10-25 08:40 (Asia/Shanghai)

本批概况

本批候选清单仅收录 1 篇论文，远少于上限 8 篇。按"不足就如实减少、不凑数"的原则，只做 1 项高价值工作的整理，未从旧周候选或全库补题。核心议题是 agent 在长上下文检索场景下的机密性泄露（mosaic effect）。

高价值工作

1. Agent Mosaic: Recognizing Confidentiality Leaks in Agentic LLM Systems

• 标识：arXiv:2610.30418
• 链接：https://arxiv.org/abs/2610.30418

做了什么 论文指出一个此前少被量化的风险模式：agent 从多份各自可访问的文档中取回信息后，会把"马赛克式"的敏感结论拼接输出——单看任何一份文档都不越界，合起来却泄漏了受管制结论。作者用 30 个合成的网络安全、医疗、军事场景，构造出三个 LLM agent 在受控模拟下的 10,800 条最终回答，以及两个开源 harness 中 live agent 的 1,440 条回答。

为什么值得看 摘要报告：在刻意设计为"单文档可答"的良性查询下，被测表现最好的 GPT-5.6-Sol 仍有 7.08% 的回答泄漏了被禁止的复合结论（95% CI 3.75–10.67%）。这说明风险不在模型是否"嘴严"，而在检索-聚合链路本身缺乏对复合结论的边界约束。补充检索还提到两条同向信号：可见的分类标签与显式聚合规则确实能缓解泄漏，但残余失败率仍然不低；而且"拒绝回答"本身也会暴露被禁止的结论，拒答并不等于安全。

局限（依据摘要判断，未读全文） - 场景为合成数据集，含 30 个例子，外部效度有限； - 摘要未披露各模型的完整对照与置信区间细节，无法判断结论对模型的敏感性； - 结论限定在"被评测设置中"成立，作者自己也如此表述，不能直接外推到真实生产权限体系。

可迁移的启示 对做 agent + RAG 的团队，这条更像是"权限设计问题"而非"提示词问题"：检索层需要按 clearance 维度做复合结论级过滤，而不是逐文档授权；评测也应从"拒答率"转向"是否泄露推导结论"。

补充线索（与本批论文同题，仅作延伸参考）

• DeepTeam《Red Teaming Agentic RAG Pipelines》https://www.trydeepteam.com/guides/guide-red-teaming-agentic-rag —— 提到 ContextFlooding 类攻击，用中性文本填充长输入，测试指令遵循度随上下文长度退化。可作为长上下文侧的补充视角。
• Redfox Security《RAG Pipeline Attack Scenarios》https://www.redfoxsec.com/blog/rag-pipeline-attack-scenarios-context-manipulation-and-data-leakage-explained —— 间接提示注入与文档投毒路径。

这两条为公开工程材料，非同行评审论文，与 arXiv:2610.30418 同属 agentic RAG 风险主题，不作为独立候选计入。

引用清单

统计

• 候选数：1
• 高价值数：1
• web_search 次数：1（仅补充同题线索）