本文（ToolMinimize）针对LLM智能体在工具调用中过度暴露隐私敏感数据（PSD）的问题开展研究。作者通过在GPT-4o、Claude 3.5 Sonnet和Llama-3.3-70B三个生产级大语言模型上的受控测量发现，在默认提示词下，81%至88%的工具调用参数包含工具运行所不必要的数据；即便添加显式隐私指令，仍有36%至76%的调用存在过度共享。现有防御手段（如允许/阻断的调用门控、信息流控制标签）无法重写参数值，而传统PII检测工具难以识别隐式PSD（例如“Memorial Sloan Kettering”作为医院名称可隐含疾病诊断）。为此，作者提出ToolMinimize中间件：它拦截工具调用，通过结合模式感知的必要性分析，对参数执行四种操作——删除、泛化、替换和截断——将参数重写为维持工具功能所需的最小数据。在307个实际工具调用上的验证表明，该方法在参数级任务有效性达到100%的前提下（TOST等价检验p<0.001，Delta=1.0），将隐私成本降低81.2%至92.0%。在25个未标注的MCP（Model Context Protocol）模式上，即使没有minimum_necessary元数据，也能降低79.0%。文章还提出可选的内容必要性层，利用LLM从本为必要的自由文本字段中剥离与任务无关的PSD，使实际LLM的降幅提升至85.1%-95.6%，作者自定义模式的降幅从71.1%提升至90.9%。系统中间延迟为1.77毫秒。该研究兼具工程实用性与学术贡献，适合LLM应用开发者、隐私工程师和AI安全研究员阅读。

本文研究工具增强型语言代理（tool-augmented language agents）中投机性工具调用（speculative tool calls）带来的隐私泄露问题。这类代理为了隐藏延迟，会在未确定最终执行分支前，提前向外部的工具服务发出可能需要的调用。然而，这些投机调用实际上会泄露用户的原始意图信息——即使代理随后放弃该分支，外部服务已经接收并保留了该信息。作者将这种调用称为“鬼影工具调用”（ghost tool calls），并指出问题的核心是时间性而非授权：任何事后清理、只读限制或访问控制列表都无法撤回已发送给观察者的数据。 为解决此问题，作者提出了投机工具隐私契约（Speculative Tool Privacy Contracts, STPC）——一种运行时抽象，将承诺前的观察行为视为与状态变更并列的一等效果。该抽象允许代理在调用前定义隐私策略，控制何时以及如何向外部服务透露参数或目标。作者实现了一个原型运行时，并在三个语料库上评估了十二种策略（包括后验过滤器、只读限制、访问控制白名单和问题时间策略）。实验表明，投机调度会增加观察者对用户意图的推断能力；后验过滤器、只读限制和访问控制白名单均无法消除这种推断；只有那些在调度前改变或抑制投机调用参数或目标投影的问题时间策略（issue-time policies）才能有效降低推断。 主要贡献：（1）首次明确提出并形式化鬼影工具调用问题；（2）提出投机工具隐私契约作为解决方案；（3）通过实验比较多种策略，证明问题时间策略的必要性。本文适合关注 LLM 代理安全与隐私的研究者和工程师阅读。