MemPrivacyの紹介：ローカル可逆仮名化を使用してユーザーデータを保護し、メモリユーティリティを損なわないエッジクラウドフレームワーク

大規模言語モデル（LLM）を搭載したエージェントが研究から実用化へ移行するにつれ、クラウドホスト型メモリの有用性が高まるほど、ユーザーのプライベートデータが露出するという設計上の緊張が無視できなくなっています。MemTensor（上海）、HONOR Device、同済大学の研究者らは、この緊張を解消し、パーソナライズされたメモリの有用性を犠牲にしないフレームワーク「MemPrivacy」を提案しました。

クラウドメモリの核心的問題

AIエージェントとの対話には、健康状態、メールアドレス、財務情報、パスワードなど、機密性の高い詳細が含まれることがよくあります。典型的なエッジクラウド展開では、ユーザーのデバイス（エッジ）が入力を処理し、計算負荷の高いメモリ管理と推論はクラウドで行われます。このアーキテクチャは効率的ですが、生の未処理ユーザーデータがクラウドシステムに転送され、永続化されることを意味します。リスクは理論上のものではなく、先行研究では、マルチターンメモリ攻撃により最大69%の成功率でプライバシー侵害が誘発され、メモリシステムに対する漏洩攻撃は最大75%の成功率に達することが示されています。間接的なプロンプトインジェクションは、エージェントを操作してユーザーから能動的にプライベート情報を引き出すことさえ可能です。機密コンテンツがクラウドログ、ベクターデータベース、外部メモリストアに一度入ると、元の対話を超えて、後の保存、検索、再利用の段階でアクセス可能なままになる可能性があります。

これまでの取り組みでは、機密値を*などのトークンに置き換えるマスキングが試みられてきましたが、問題はマスキングがセマンティクスを破壊することです。ユーザーがエージェントに医師へのメールの下書きを依頼し、血圧測定値とメールアドレスの両方が*に置き換えられた場合、クラウドモデルはタスクを有意義に完了できません。差分プライバシーや暗号化保護などのより原理的な手法は強力な保証を提供しますが、応答品質を低下させずにインタラクティブなメモリパイプラインに統合することは困難です。

MemPrivacyの革新的アプローチ

MemPrivacyは、プライベートコンテンツをマスキングする代わりに、ローカルデバイスを離れる前に入力を型付きプレースホルダー（<email>や<health>など）に置き換えます。クラウドモデルは意味的に完全なテキストを受け取り、通常通り推論してメモリを保存できますが、実際の値を見ることはありません。クラウドがプレースホルダーを含む応答を返すと、ローカルデバイスは安全なローカルデータベースから元の値を検索して置き換えます。ユーザーは完全に一貫性のあるパーソナライズされた応答を見ることができます。この設計はローカル可逆仮名化と呼ばれ、3段階のパイプラインで動作します。ステージ1（アップリンク匿名化）：軽量なオンデバイスモデルが入力内のプライバシーに敏感なスパンを識別し、タイプと感度レベルごとに分類して型付きプレースホルダーに置き換えます。元の値とプレースホルダーのマッピングはローカルに保存され、セッションを超えて永続化されるため、同じ値は常に同じプレースホルダーになります。ステージ2（クラウド処理）：匿名化された入力がクラウドエージェントまたはメモリシステムに送信されます。型付きプレースホルダーは、メモリ形成と検索が正しく機能するのに十分なセマンティック構造を保持します。ステージ3（ダウンリンク復元）：プレースホルダーを含む可能性のあるクラウド応答は、ローカルでの軽量なデータベース検索と文字列置換により復元され、無視できるレイテンシを追加します。

4段階のプライバシー分類

研究チームの重要な貢献は、4段階のプライバシー分類（PL1-PL4）を定義したことです。PL1は、個人を特定しない一般的な好み、習慣、スタイルの選択をカバーし、デフォルトでは保護されません。PL2は、個人を特定または追跡できるPII（実名、電話番号、メールアドレス、住所、アカウントユーザー名など）を含みます。PL3は、政府文書番号、金融口座詳細、健康記録、正確な位置と軌跡データ、生体認証、生の通信内容、宗教的信念や民族性などの機密性の高い身元属性など、漏洩が安全、健康、または財務に重大な損害を引き起こす可能性のあるデータをカバーします。PL4は最高位であり、パスワード、PIN、確認コード、セッショントークン、APIキー、秘密鍵、シードフレーズ、未公開のビジネス資料など、直ちに悪用可能な資格情報と秘密です。このレベルの露出は、アカウント乗っ取り、金銭的損失、大規模なデータ流出に直接つながる可能性があります。ユーザーはマスキングしきい値を設定でき（例：PL3とPL4のみ保護、またはPL2-PL4全体に適用）、プライバシーとユーティリティのトレードオフをきめ細かく制御できます。

MemPrivacy-Benchとモデルトレーニング

アプローチをトレーニングおよび評価するために、研究チームはMemPrivacy-Benchデータセットを構築しました。200の合成ユーザープロファイルと15万5千以上のプライバシーインスタンス（トレーニング125,776、テスト29,967）を含み、中英対話のバランスを取り、7つの高レベルシナリオカテゴリと23の詳細なサブカテゴリをカバーします。テストセットには、6つのメモリタスクタイプ（基本メモリ、時間的推論、敵対的質問、動的更新、暗黙的推論、情報集約）にわたる615の質問回答ペアが含まれています。アノテーションは最初にGemini-3.1-ProとGPT-5.2を使用したデュアルモデルパイプラインで生成され、その後6人の人間のアノテーターによって検証され、最終的なアノテーション精度は98.08%に達しました。

MemPrivacy抽出モデルは、Qwen3ベースモデルを0.6B、1.7B、4Bパラメータスケールで、教師ありファインチューニング（SFT）とその後のグループ相対ポリシー最適化（GRPO）を用いた強化学習によりファインチューニングされています。GRPOは、入力ごとにサンプリングされた複数の出力にわたる相対報酬に基づいて利点を推定し、報酬信号としてF1スコアを使用するため、個別に訓練された批評家の計算オーバーヘッドを回避します。トレーニングにはトレーニング分割用に160ユーザー、テスト分割用に40ユーザーが使用されました。

実験結果

MemPrivacy-Benchでは、最良のパフォーマンスモデルであるMemPrivacy-4B-RLが85.97%のF1スコアを達成し、テストされた最強の汎用モデルであるGemini-3.1-Proの78.41%を上回りました。最小モデルのMemPrivacy-0.6B-SFTでさえ83.09%のF1に達し、評価されたすべての汎用モデルを上回りました。分布外のPersonaMem-v2ベンチマークでは、MemPrivacy-4B-RLが94.48%のF1を達成し、そのセットで最良の汎用モデルであるDeepSeek-V3.2-Thinkの92.18%を上回りました。

OpenAIが最近リリースしたPrivacy-Filterは、PII検出用の双方向トークン分類モデルでオープンソース化されています。MemPrivacy-Benchでは35.50%のF1スコアを達成し、最良のMemPrivacyモデルに50パーセントポイント以上の差をつけられましたが、レイテンシは大幅に低くなっています（MemPrivacy-BenchでMemPrivacyモデルの約2秒に対して0.34秒）。

ダウンストリームのメモリユーティリティに関して、MemPrivacyは3つの広く使用されているメモリシステム（LangMem、Mem0、Memobase）でテストされました。PL2-PL4コンテンツをすべて保護した場合、MemPrivacy-Benchでの精度低下は0.73%～1.30%、PersonaMem-v2では0.71%～1.60%に抑えられました。対照的に、不可逆マスキングはMemPrivacy-Benchで16.99%～41.87%の精度低下を引き起こし、型なしプレースホルダーマスキングはMemPrivacy-Benchで4.72%～6.67%、PersonaMem-v2で2.67%～8.71%の低下を引き起こしました。

主なポイント

MemPrivacyは、クラウド転送前にデバイス上で機密ユーザーデータをセマンティックに型付けされたプレースホルダーに置き換えるため、クラウドメモリシステムは生のプライベート値を受け取ることはありません。フレームワークは4段階のプライバシー分類（PL1-PL4）を導入し、ユーザーが設定可能なマスキングしきい値を提供します。MemPrivacy-4B-RLはMemPrivacy-Benchで85.97%のF1、PersonaMem-v2で94.48%を達成し、プライバシースパン抽出でGPT-5.2（68.99%）やGemini-3.1-Pro（78.41%）を上回ります。LangMem、Mem0、Memobase全体で、PL2-PL4レベルでMemPrivacyを適用すると、メモリユーティリティの損失は1.6%以内に抑えられ、不可逆マスキングでは最大41.87%の精度低下と比較されます。モデルは0.6Bから4Bパラメータの範囲で、メッセージあたりの推論時間は2秒未満であり、目立ったレイテンシなしでオンデバイス展開に適しています。