Wenbiao Li氏とYuqiao Xu氏の研究チームは2026年8月26日(現地時間)、大規模言語モデル (LLM) エージェントがツールを利用する際に発生するプライバシー機密データ (PSD) の過剰共有問題に対処するミドルウェア「ツールミニマイズ (ToolMinimize)」を発表した。発表された研究によれば、プロダクション環境で使用されている3つの主要なLLM（GPT-4o、Claude 3.5 Sonnet、Llama-3.3-70B）において、デフォルト設定では81〜88%のツール呼び出しが不要なPSDを含んでいたことが明らかになった。
大規模言語モデル (LLM) エージェントは、外部ツールを活用することで機能範囲を大幅に拡張する。しかし、このプロセスにおいて、ツール機能にとって不要なプライバシー機密データ (PSD) がツール呼び出しに含まれることが頻繁に指摘されており、これが深刻なプライバシーリスクにつながる可能性が懸念されている。例えば、チャットボットがユーザーの健康情報を含むクエリを処理する際、特定のAPIが必要とする情報以上に広範な個人情報が共有されてしまうといったケースが挙げられる。
既存の防御策は、ツール呼び出し自体の許可・ブロックや、データフローに関する高レベルな情報フロー制御に焦点を当ててきた。しかし、これらの手法は、ツール呼び出しの引数に含まれる具体的な値を精査し、必要な部分だけを保持して不要な部分を書き換えるといった、より詳細な粒度での制御機能を欠いていた。また、個人識別情報 (PII) を検出するツールも存在するものの、メモリアル・スローン・ケタリング (Memorial Sloan Kettering) のような組織名が暗黙的なPSDとなり得るケースを見逃す傾向にあると指摘されている。
こうした課題に対し、Wenbiao Li氏とYuqiao Xu氏が開発したツールミニマイズ (ToolMinimize)は、ツール呼び出しを傍受し、その引数をツール機能に必要最低限なデータのみに書き換えるミドルウェアとして機能する。このシステムは、ツールスキーマを認識し、各引数がツールの実行に本当に必要か否かを分析する「スキーマ認識に基づく必要性分析」を中核とする。この分析に基づき、「削除 (Deletion)」一般化 (Generalization)置換 (Substitution)切り捨て (Truncation)という4つのプライバシー保護操作を適用し、引数の内容を最適化する。
具体的には、「削除」は完全に不要なデータを引数から取り除く。「一般化」は、特定の個人を識別可能な情報をより抽象的なカテゴリーに置き換える。例えば、具体的な住所を都市名のみにする、といった具合だ。「置換」は、機密情報をダミーの値やトークンに置き換える手法であり、「切り捨て」は、長い文字列の必要な部分だけを残し、残りを省略する。これらの操作を組み合わせることで、ツールが正常に機能するために必要な最小限のデータセットを構築する。
研究チームは、GPT-4o、Claude 3.5 Sonnet、Llama-3.3-70Bという3つの主要なLLMを対象に、合計307件のツール呼び出しを用いた検証を行った。その結果、「ツールミニマイズ」はプライバシーコストを81.2%から92.0%削減することに成功した。同時に、引数レベルでのタスク有効性は100%を維持し、プライバシー保護と機能性の両立を実現したことが示された。さらに、注釈が付けられていない25件のモデル・コンテキスト・プロトコル (MCP) スキーマを用いた評価では、79.0%の削減効果が確認された。
オプション機能として導入された「LLMコンテンツ必要性レイヤー」を組み合わせることで、ライブLLM環境におけるプライバシーコストの削減率は85.1%から95.6%に向上した。このレイヤーは、LLM自身に特定のデータが必要か否かを判断させることで、より高度な文脈認識に基づくデータ削減を可能にする。この高度な処理にもかかわらず、システムの平均レイテンシは1.77ミリ秒と非常に低く、実用的なパフォーマンスを確保できることが示された。この研究は、LLMエージェントの安全性とプライバシー保護を向上させる上で重要な一歩となるものと見られている。
参考: arXiv cs.CR (アーカイブ) — 2026年8月27日 13:00 (JST)
原文ハイライト"Auditing and Rewriting LLM Agent Tool Calls to Minimize Privacy Exposure"