手机使用代理是否尊重用户隐私？ Do Phone-Use Agents Respect Your Privacy?

方法步骤的完整描述包括四个阶段。第一，任务构建：从种子数据库状态开始，采样目标状态变化，渲染为自然语言用户请求，并从同一目标状态派生确定性SQL验证规则。字段级元数据（必填vs可选、LOW vs HIGH配置键、隐私探测位置）由应用模式和任务模板指定。第二，代理执行：每一步代理接收当前截图、用户指令、交互历史以及iMy隐私契约下当前可用的用户数据，必须从固定动作集中选择一个动作。环境执行所选动作并返回更新后的截图或工具响应，循环持续直到代理终止任务、任务失败或达到步数限制。第三，结果验证：通过确定性规则检查数据库写入和访问日志来评估任务完成和隐私结果。第四，评分计算：任务成功率为二进制；隐私分数总结三个探测，分数在0到1之间；隐私合格成功率是代理既完成任务又达到隐私阈值$\tau=0.7$的任务比例；跨会话偏好使用是配对任务中正确使用保存偏好的比例。

技术新颖性体现在多个方面。首先，iMy隐私契约是首个针对手机代理的可执行隐私边界框架，将抽象的隐私原则转化为具体的操作限制。其次，受控应用的form_drafts机制实现了对代理输入行为的细粒度记录，这是真实商业应用无法提供的透明度。第三，三种隐私探测（over-permissioning、trap resistance、form minimization）基于真实应用中反复出现的隐私风险模式，但转化为可复现的确定性测试。最后，隐私合格成功率指标通过联合评估任务完成和隐私合规，避免了只看平均隐私分数的误导性——弱代理可能早早失败而显得干净，强代理可能接触更多隐私相关时刻而暴露更多失败机会。

独立分析的弱点包括四个方面。第一，评估框架目前只覆盖表单中心的工作流程，对于非表单密集型场景（如视频观看、游戏交互、文件管理）的隐私压力了解不足，改进方向是扩展到更多应用领域和交互模式。第二，确定性用户模拟总是批准请求，这无法评估代理对拒绝的反应，改进方向是引入更复杂的用户模拟策略，包括随机拒绝、上下文感知的拒绝和基于信任度的动态决策。第三，隐私阈值$\tau=0.7$的选择缺乏理论依据，改进方向是基于用户研究和实际部署数据来校准不同应用场景和用户群体的可接受阈值。第四，当前框架无法检测更微妙的隐私违规，如跨应用的数据泄漏模式或时序上的隐私推理攻击，改进方向是引入跨应用的数据流分析和时序模式检测。

作者提出的未来工作方向包括扩展隐私覆盖范围以包含更广泛的跨应用泄漏、消息披露或网络级别的外渗。基于成果可延伸的方向包括：首先，开发更细粒度的隐私分类系统，超越LOW/HIGH二元划分，引入基于敏感度和上下文的动态隐私级别。其次，研究隐私感知的训练和微调方法，使代理从训练阶段就内化隐私约束而非仅依赖评估阶段的外部约束。第三，探索用户可定制的隐私契约，允许用户根据个人偏好调整数据访问边界。第四，开发实时隐私监控和干预机制，在代理执行过程中检测潜在的隐私违规并及时提醒用户或中断执行。最后，建立多模态隐私评估框架，不仅评估文本表单输入，还评估语音、图像、视频等多模态交互中的隐私行为。

论文声称所有代码、模拟应用和代理轨迹公开在https://github.com/FreedomIntelligence/MyPhoneBench。实验在Android模拟器上运行，具体配置为Pixel 6、API 33，通过AndroidWorld框架管理。每个任务框架恢复相应的种子数据库状态并在代理完成后评估数据库写入和审计日志。最大步数为独立任务100步、跨会话配对100步。所有模型温度设置为0.0。使用每模型坐标策略处理视觉语言模型分辨率差异。虽然没有明确报告算力需求和时间成本，但基于模拟应用和确定性评估的设计，复现的难度应该较低，主要是需要配置Android开发环境和获取模型API访问权限。