How Much Can Tool Calls Reveal About You? Privacy Leakage from Tool-Call Traces

📄 arXiv: 2610.41885v1 📥 PDF

作者: Donghang Duan, Qingyu Liu, Yifei Liu, Na Zou, Xia Hu, Dongrui Liu

分类: cs.CR, cs.CL

发布日期: 2026-10-30

备注: 24 pages, 12 figures, 8 tables, including references and appendices

🔗 代码/项目: GITHUB

💡 一句话要点

提出PrivacyTrace以解决工具调用痕迹带来的隐私泄露问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 隐私泄露 用户画像 工具调用 大型语言模型 模型上下文协议 行为信号 数据安全

📋 核心要点

  1. 现有方法在用户与工具交互时，缺乏对隐私泄露风险的系统性研究，导致用户特征可能被推断。
  2. 论文提出PrivacyTrace基准，通过合成用户档案和代理轨迹，系统评估MCP工具调用痕迹的隐私泄露风险。
  3. 实验结果显示，使用工具调用痕迹进行用户画像推断的成功率显著高于传统猜测方法，验证了该方法的有效性。

📝 摘要（中文）

基于大型语言模型（LLM）的代理通过模型上下文协议（MCP）与外部工具交互，生成的工具调用痕迹可能暴露用户的行为信号。本文系统研究了从MCP工具调用痕迹推断用户特征的风险，提出了PrivacyTrace基准，包含1000个合成用户档案和4000个代理轨迹。实验表明，工具调用痕迹使得用户档案推断的攻击成功率达到26.25%，相比于先前基于猜测的17.97%有显著提升。分析显示，工具参数和返回结果是主要的证据来源，而跨会话链接进一步加大了用户画像的风险。这些发现表明MCP工具调用痕迹可以作为有效的用户画像侧信道，推动隐私保护机制的发展。

🔬 方法详解

问题定义：本文旨在解决从MCP工具调用痕迹中推断用户特征的隐私泄露问题。现有方法未能充分考虑工具调用痕迹可能带来的用户画像风险。

核心思路：通过构建PrivacyTrace基准，系统性地分析工具调用痕迹对用户隐私的影响，旨在揭示工具调用如何成为用户特征推断的有效渠道。

技术框架：研究首先生成1000个合成用户档案，并通过25个服务器的真实MCP工具生成4000个代理轨迹。然后，利用四种主流LLM攻击者进行实验，评估工具调用痕迹的隐私泄露风险。

关键创新：最重要的创新在于系统性地揭示了MCP工具调用痕迹作为用户画像侧信道的有效性，攻击成功率显著高于以往方法。

关键设计：在实验中，工具参数和返回结果被识别为主要证据来源，跨会话链接的设计进一步增强了推断能力，提升了攻击成功率。实验中使用的参数设置和损失函数经过精心设计，以确保结果的可靠性和有效性。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

实验结果显示，利用工具调用痕迹进行用户画像推断的攻击成功率达到26.25%，相比于传统猜测方法的17.97%有显著提升。这一发现强调了MCP工具调用痕迹在用户隐私泄露中的重要性，推动了隐私保护机制的必要性。

🎯 应用场景

该研究的潜在应用领域包括智能助手、自动化服务和任何依赖于用户交互的系统。通过理解工具调用痕迹的隐私风险，可以推动隐私保护机制的设计，确保用户数据的安全性和保密性，具有重要的实际价值和未来影响。

📄 摘要（原文）

Large language model (LLM)-based agents interact with external tools through protocols such as the Model Context Protocol (MCP), producing tool-call traces that may expose behavioral signals about users. In this work, we systematically study the risk of user-profile inference from MCP tool-call traces, where observers infer user attributes from protocol-valid tool interactions without access to user conversations. We introduce PrivacyTrace, a benchmark containing 1,000 synthetic user profiles and 4,000 agent trajectories across four domains, generated with real MCP tools from 25 servers. Experiments with four mainstream LLM attackers show that tool-call traces enable a 26.25% attack success rate for profile inference, compared with 17.97% from prior-based guessing. Further analysis reveals that tool arguments and returned results provide the main trace-grounded evidence, while linking traces across sessions further amplifies profiling risk. These findings demonstrate that MCP tool-call traces can act as effective behavioral side channels for user profiling, motivating the development of privacy-aware mechanisms for agent-tool interactions. Code and data are available at https://github.com/AI45Lab/PrivacyTrace.