SPILLage: Web上のエージェント的過剰共有

SPILLage: Agentic Oversharing on the Web

February 13, 2026

著者: Jaechul Roh, Eugene Bagdasarian, Hamed Haddadi, Ali Shahin Shamsabadi

cs.AI

要旨

LLM駆動エージェントは、電子メールやカレンダーなどのユーザーリソースへのアクセス権を持ち、オープンワブ上でユーザーのタスクを自動化し始めている。制御されたチャットボット環境で質問に答える標準的なLLMとは異なり、ウェブエージェントは「野生環境」で動作し、第三者と対話し、行動痕跡を残す。そこで我々は次の問題を提起する：ウェブエージェントは、ユーザーに代わって実際のウェブサイト上でタスクを遂行する際、ユーザーリソースをどのように扱うのか？本論文では、**Natural Agentic Oversharing（自然的代理的過剰共有）**――エージェントのウェブ上での行動痕跡を通じた、タスクに関連しないユーザー情報の意図しない開示――を形式化する。我々は、過剰共有を**チャネル（内容 vs 行動）** と**直接性（明示的 vs 暗黙的）** の2次元に沿って特徴づけるフレームワーク **SPILLage** を提案する。この分類体系は、従来の研究がテキスト漏洩に焦点を当てている一方で、ウェブエージェントはクリック、スクロール、ナビゲーションパターンといった行動を通じても過剰共有を行い、それが監視可能であるという重大な見落としを明らかにする。我々は、実際のEコマースサイトで180のタスクをベンチマークし、タスク関連属性とタスク非関連属性を分離したグランドトゥルース注釈を付与した。2つのエージェントフレームワークと3つの基盤LLMにわたる1,080回の実行を通じて、過剰共有が広範に存在し、行動的過剰共有が内容的過剰共有を5倍上回ることを実証する。この効果は、プロンプトレベルの緩和策の下でも持続し、場合によっては悪化さえする。しかし、実行前にタスク非関連情報を除去すると、タスク成功率が最大17.9%向上し、過剰共有の削減がタスク成功の向上につながることを示す。我々の発見は、ウェブエージェントにおけるプライバシー保護が根本的な課題であり、エージェントが「入力する内容」だけでなく、ウェブ上で「行う行動」も考慮した、より広い視野での「出力」の捉え方が必要であることを強調する。データセットとコードは https://github.com/jrohsc/SPILLage で公開している。

English

LLM-powered agents are beginning to automate user's tasks across the open web, often with access to user resources such as emails and calendars. Unlike standard LLMs answering questions in a controlled ChatBot setting, web agents act "in the wild", interacting with third parties and leaving behind an action trace. Therefore, we ask the question: how do web agents handle user resources when accomplishing tasks on their behalf across live websites? In this paper, we formalize Natural Agentic Oversharing -- the unintentional disclosure of task-irrelevant user information through an agent trace of actions on the web. We introduce SPILLage, a framework that characterizes oversharing along two dimensions: channel (content vs. behavior) and directness (explicit vs. implicit). This taxonomy reveals a critical blind spot: while prior work focuses on text leakage, web agents also overshare behaviorally through clicks, scrolls, and navigation patterns that can be monitored. We benchmark 180 tasks on live e-commerce sites with ground-truth annotations separating task-relevant from task-irrelevant attributes. Across 1,080 runs spanning two agentic frameworks and three backbone LLMs, we demonstrate that oversharing is pervasive with behavioral oversharing dominates content oversharing by 5x. This effect persists -- and can even worsen -- under prompt-level mitigation. However, removing task-irrelevant information before execution improves task success by up to 17.9%, demonstrating that reducing oversharing improves task success. Our findings underscore that protecting privacy in web agents is a fundamental challenge, requiring a broader view of "output" that accounts for what agents do on the web, not just what they type. Our datasets and code are available at https://github.com/jrohsc/SPILLage.