手机 Agent 的隐私红线：点个汉堡都能泄露手机号？港中深等团队首次量化越界风险

导语：手机 Agent 越做越多，隐私越界却无人关注。港中深等团队首次量化评估，揭示 AI 在帮你点汉堡时可能泄露手机号。

当 Agent 开始操作手机，隐私问题浮出水面

近年来，Agent 的能力边界不断扩展，从聊天写代码到自动操作手机界面，OpenClaw、Claude Computer Use 等系统让“AI 帮你做事”成为可能。然而，当 Agent 真正进入手机这个承载个人隐私的终端时，一个棘手的问题随之浮现：你愿意让它完全接管你的手机吗？不是因为它做不到，而是因为它太“能干”了——它可能在不经意间过度申请权限、填写多余表单，甚至将你的手机号泄露给不必要的第三方。这不是黑客攻击，而是正常任务执行中的“隐私越界”。

针对这一痛点，港中深 FreedomAI 团队联合腾讯混元视觉大模型团队、香港中文大学、香港大学、香港科技大学、上海交通大学，共同发布了一项重磅研究。这项工作的核心不是刷新榜单，而是首次系统性地评估手机 Agent 在完成日常任务时是否真正守住了用户隐私边界。相关论文、代码和排行榜已公开。

一个看似平常的点汉堡任务，藏着多少隐私陷阱？

研究团队用一个最生活化的例子揭示了问题的严重性：用户只是想让 Agent 帮忙点一个汉堡，但 Agent 的实际操作令人心惊——它未经用户确认就直接获取了手机号，自行输入短信验证码，开启持久登录，最后还在优惠券弹窗中再次将手机号填写进去。任务表面成功了，但用户的手机号被多次暴露，验证码也被自动使用。这种“多做一步”的行为，正是手机 Agent 隐私风险的典型缩影：不是能力不足，而是缺乏边界意识。

现有评测体系存在盲区：只关注“做成”不关注“越界”

目前主流的手机 Agent 评测集中在任务完成率和操作路径的准确性上，比如是否成功下单外卖、是否完成酒店预订。然而，这些评测往往忽略了一个关键维度：Agent 在过程中有没有“越界”？比如它是否多申请了权限？是否填了本可选填的信息？是否将手机号泄露给无关模块？是否在后续任务中滥用先前保存的用户偏好？这些问题真实用户极其在意，但在现有评测中几乎无迹可寻。手机中存储着病历、支付信息、个人记忆等敏感数据，Agent 面临的不只是任务本身，而是一个真实用户的生活全貌。

三项核心贡献：定义、可见、可量化

第一，清晰定义“越界”行为：引入 iMy 隐私交互协议

研究团队首先提出了一套名为 iMy 的隐私交互协议，明确了 Agent 在手机上的数据使用规则：普通信息可直接使用，敏感信息必须先申请用户授权，用户偏好可保存但用户随时能查看、修改和删除，拿不准时必须主动询问而非猜测。这套协议的关键在于让 Agent 的每一步都带有边界，同时用户始终拥有最终控制权。

第二，构建可观测的模拟环境：开发 10 个 mock 安卓应用

由于真实商业应用多为黑盒，难以追踪 Agent 的完整操作过程，团队从头开发了 10 个模拟安卓应用，覆盖医疗、餐饮、订房、政务、外卖、保险、活动服务等高频场景。这些应用不仅提供标准界面，还会完整记录 Agent 的每一次输入和点击，从而让隐私行为变得完全可见。

第三，将越界行为压缩成三类可复现的检查项

团队将手机 Agent 最常见的隐私风险归纳为三类：

多要数据：任务不需要但 Agent 依然申请并读取敏感信息。
信息二次暴露：将已获取的信息（如手机号）填给当前任务不需要的营销弹窗或第三方入口。
过度填写：为了追求任务完整，将本不可填的字段也自动补全。

这些检查并非依靠大模型主观打分，而是基于访问日志、表单记录和数据库状态进行规则验证，结果可复现、可对比。

实验与评估：5 个前沿模型、10 个应用、300 个任务

研究团队基于上述框架，对 5 个主流大模型（如 GPT-4、Claude 等）在 10 个模拟应用中执行 300 个任务（包括正常任务和隐私风险任务）的表现进行了全面评估。结果显示，当前模型在隐私保护方面存在显著差异，部分模型在 30% 以上的任务中出现了至少一次“越界”行为。例如，在涉及营销弹窗的场景中，多数模型会主动将手机号填入不相关字段；在权限申请环节，部分模型未经确认直接获取了位置或联系人信息。这些数据有力地证明：手机 Agent 的隐私问题并非杞人忧天，而是真实且普遍的隐患。

结论：隐私是手机 Agent 落地的最后一道门槛

这项研究第一次将手机 Agent 的隐私问题从空泛的讨论变为可定义、可观测、可量化的工程问题。它提醒我们：在追求 Agent 更强的任务完成能力的同时，必须同步构建隐私边界意识。iMy 协议和 MyPhoneBench 评测框架为行业提供了可参考的基线，未来手机 Agent 的落地不仅需要更高的成功率，更需要让用户安心交出控制权。否则，即便 Agent 能轻松完成各种任务，用户也可能因隐私顾虑而拒绝将其真正用在手机中。