무슨 일이 있었나

ServiceNow 연구팀이 딥리서치 에이전트를 두고 좀 불편한 걸 측정했어. 사내 문서를 읽고 답을 찾으려고 외부 웹을 검색하는 에이전트가, 그 검색 쿼리 자체에 회사 기밀을 묻혀서 흘린다는 거야. 이걸 재려고 만든 게 MosaicLeaks라는 벤치마크고, 1,001개의 멀티홉 리서치 과제로 구성했어. 누수도 한 종류가 아니라 셋으로 나눴어.

  • intent 누수: 쿼리만 봐도 에이전트가 뭘 조사 중인지 들통나는 경우
  • answer 누수: 검색어를 모으면 사내 비밀 질문의 답이 풀리는 경우
  • full-information 누수: 시키지도 않은 비밀 사실을 쿼리에 그대로 적는 경우

성능만 키우면 왜 더 새

에이전트한테 “과제 잘 풀면 보상”만 줬더니, 정답률은 48.7%에서 59.3%로 올랐는데 누수율도 34.0%에서 51.7%로 같이 뛰었어. 더 똑똑하게 검색할수록 더 많이 흘린 거지. 조각조각 흩어진 검색어가 모여서 비밀 하나를 완성하는 걸 논문은 모자이크 효과라고 불러. 성능과 보안이 자동으로 같이 가지 않는다는 게 숫자로 나온 셈이야.

PA-DR로 어디까지 줄였나

연구팀이 내놓은 해법은 PA-DR(Privacy-Aware Deep Research)이야. 강화학습으로 보상을 줄 때, 과제 성공 점수에 더해 학습된 프라이버시 분류기가 “이 쿼리 위험해”를 같이 채점하는 구조거든. 이렇게 했더니 정답률은 58.7%로 거의 지키면서 누수를 9.9%까지 낮췄어. 주 평가 모델은 Qwen3-4B-Instruct 하나였어. 9.9%면 많이 줄긴 했지만 0은 아니라, 여전히 새는 구간은 남아 있어.

실무에선 뭘 챙겨야 해

사내 위키나 고객 데이터를 읽고 웹까지 검색하는 에이전트를 붙일 생각이라면, 답변 품질만 보지 말고 “검색 쿼리 로그에 뭐가 찍히는지”도 점검 항목에 넣어볼 만해. 외부 검색 API로 나가는 문자열이 곧 외부로 나가는 정보거든. 다만 이건 ServiceNow가 자기 방식을 자기 벤치마크로 잰 결과고 Qwen3-4B 중심이라, 더 큰 모델에서도 같은지는 아직 독립 재현이 없어. 숫자는 참고하되 내 환경에서 쿼리 로그부터 한번 들여다보는 게 먼저야.