Position: Embodied AI Requires a Privacy-Utility Trade-off¶

会议: ICML 2026
arXiv: 2605.05017
代码: https://github.com/rminshen03/EAI_Privacy_Position
领域: AI 安全 / 具身智能 / 隐私保护
关键词: embodied AI、隐私-效用 trade-off、SPINE 框架、生命周期隐私、分级控制

一句话总结¶

本文是一篇 position paper，主张具身 AI 的隐私不能用单阶段补丁解决，必须当作横跨 instruction / perception / planning / interaction 全生命周期的架构级动态控制信号，并提出 SPINE 框架，用 L1-L4 四级隐私分类矩阵在每个阶段联动调整智能体行为。

研究背景与动机¶

领域现状：具身 AI（EAI）正快速从仿真走向家庭、医院、办公等真实环境，现有研究主要在 instruction understanding、environment perception、action planning、physical interaction 四个阶段内部各自优化任务成功率。

现有痛点：现有 EAI 的隐私防护几乎都是 stage-local 补丁——感知阶段做人脸打码、planning 阶段加点扰动等。但 (1) 这些补丁经常被下游环节 "还原"，比如感知层匿名了人脸，planning 日志里却记录了用户取颤抖药的精确动作模式，仍能反推帕金森病史；(2) 隐私-效用 trade-off 是非线性安全约束，激进限制 planning 不只是降效率，可能直接导致机器人撞墙撞人。

核心矛盾：隐私在 EAI 中本质是跨阶段、跨时间累积的属性，而当前架构把它当作每个阶段独立可控的局部 feature。法律层面又只有 GDPR / CCPA 这种高层原则，缺乏对 "具身闭环" 的可操作指引，技术与监管之间存在断层。

本文目标：(1) 论证为什么必须把隐私当作 lifecycle-level 架构约束；(2) 设计一个能在跨阶段一致传播隐私约束、并能在不同上下文动态调整 trade-off 的统一框架；(3) 用真实 case study 给出隐私如何 reshape 下游 utility 的初步证据。

切入角度：作者把具身导航当 controlled probe，因为导航天然耦合四个阶段，可以可控地观察 "上游强隐私 → 下游效用如何变化"，把 trade-off 从抽象口号变成可量化的工程关系。

核心 idea：把隐私从 "局部补丁" 升级为 "动态控制信号"，用四级隐私分类矩阵 + 跨阶段编排实现 "context-aware" 隐私架构。

方法详解¶

本文是 position paper，核心交付物是一个名为 SPINE 的概念框架——它不是一套训练算法，而是一张告诉工程师"在什么场景、什么阶段、该激活什么隐私原语"的设计蓝图，再用两个导航 case study 把抽象的 trade-off 落成可量化的曲线。

整体框架¶

SPINE 由三块拼成。第一块是 L1-L4 四级隐私分类矩阵，负责把任意一个真实场景映射到一个隐私等级。第二块是一张 4×4 概念架构图，纵轴是具身 AI 的四个阶段（Instruction / Perception / Planning / Interaction），横轴是 L1-L4 四个级别，每个 cell 写明该格子里应该激活的技术原语，等于把"哪个阶段在哪个级别该做什么"全部列表化。第三块是跨阶段编排策略，它靠一条 "highest-triggering-criterion" 规则把四个阶段串成一条整体流水线，并配上 utility 随隐私强度退化的量化分析。三块合起来，隐私就从散落在各阶段的补丁，变成贯穿整条 pipeline 的一个动态控制信号。

关键设计¶

1. 多准则隐私分类矩阵（L1-L4）：把"敏感/不敏感"二分升级成可形式化的隐私状态机。 传统做法只有 public 和 private 两档，粒度粗到无法区分"卧室"和"私人办公室"这种 sensitivity 完全不同的场景。SPINE 改用一个统一四元组 \(PL = \{S, I, C, \Phi\}\) 来描述每一级隐私状态：\(S\) 是场景上下文，\(I\) 是允许的信息流，\(C\) 是被 enforced 的 control primitive，\(\Phi\) 是该级别下主导的效用目标。四个级别由低到高依次是：L1（Public，如公园）允许云端推理加完整传感，\(\Phi\) 直接取 max utility；L2（Internal，如办公走廊）走混合信息流，去掉生物特征但保留几何信息；L3（Confidential，如私人办公室）切到本地处理加语义脱敏加隐私绕路；L4（Restricted，如卧室浴室）只留最小可用安全功能，用 LiDAR 顶替 RGB、用 TEE 容器做隔离。之所以要这样一个共同的"隐私状态机"，是因为跨阶段一致性需要每个阶段都能依据当前 level 去选匹配的技术原语；而那些高代价原语（FHE / ZKP）被明确限定只在 L4 必要时才触发，避免在低敏感场景里白白吞掉性能。

2. 跨阶段动态编排（Adaptive Privacy Orchestration）：让隐私约束端到端贯通、杜绝下游"打回原形"。 这条设计把 instruction / perception / planning / interaction 在每个级别下该做什么逐一定死。以感知阶段为例：L1 用全 FoV RGB-D，L2 对人脸/车牌做实时匿名化，L3 动态 mask 掉非任务区域并限制视场，L4 干脆切断 RGB 改用 LiDAR。Planning 阶段同理：L1 走最短路径，L2 在去身份化的语义地图上规划，L3 引入一张"隐私 cost map"给私人区域叠加高 traversal penalty，L4 退化到只保留 minimum viable navigation。把这些纵向打通的是 "highest-triggering-criterion" 规则——只要任何一个阶段触发了更高的 level 约束，整条 pipeline 立刻整体升级，直到触发条件解除或人工 audit 介入。这样设计的意义在于彻底打破 stage-local 补丁的老毛病：以前感知层匿名了人脸，planning 日志却照样记录精确动作模式、被下游还原出身份；现在一旦机器人感知到进了卧室，不是只让感知模块打码，而是连 planning 和 logging 一起切到 L4，任何下游环节都没机会泄露。

3. 威胁模型与隐私-效用边界量化：给"trade-off"一个可调旋钮和明确的失效临界点。 光喊"隐私和效用要平衡"没法指导工程，所以 SPINE 先把对手讲清楚——三类威胁分别是 honest-but-curious 的云服务方、被攻陷的存储或内部人、以及外部/越权限观察者；再把 trade-off 落成效用降幅关于隐私强度的函数。在导航 case study 里，作者拿像素化强度 \(K\) 当 trade-off knob：\(K=1\) 对应 L1 原图，\(K>1\) 逐渐逼近 L3，由此测出任务成功率随 \(K\) 单调下降的曲线。关键是这条曲线上存在一个 "operational boundary"——\(K\) 一旦越过某个临界值任务就彻底失败，这个边界正是该场景下隐私可以 enforce 的上界。有了它，产品经理和工程师才能在不同部署上下文里做出有依据的选择，而不是凭口号拍脑袋。

SPINE 本身是 position 加 framework，没有端到端的训练目标；两个 case study 都跑在现成 EAI 模拟器加真实机器人上，把不同 \(K\) 下的导航成功率、路径长度等指标记录下来，最终汇成上面那条 trade-off 曲线。

实验关键数据¶

本文是 position paper，提供的是 conceptual validation 而非完整实验对比。

主实验¶

用四阶段 × 四级别概念架构对比 SPINE 与 stage-local 补丁的差异：

隐私级别	典型场景	Instruction	Perception	Planning	Interaction
L1 Public	公园	云端 LLM	全 FoV RGB-D	最短路径	完整日志
L2 Internal	办公走廊	本地日志	人脸 / 车牌实时匿名化	去身份化语义地图规划	标准延迟，脱敏后存储
L3 Confidential	私人办公室	本地语义脱敏	限视场 + 动态 mask	隐私 cost map + 绕路	session-only 加密日志
L4 Restricted	卧室 / 浴室	TEE 内处理	切 RGB 换 LiDAR	minimum viable navigation	trace-free 易失执行

消融实验¶

论文用导航 case study 在不同像素化强度 \(K\) 下观察任务成功率和路径长度退化：

配置	隐私级别	任务成功率	路径长度	说明
\(K=1\) 原图	L1	基线高	基线短	无隐私约束
\(K\) 中等	L3	中等下降	略增	部分语义丢失但仍可完成
\(K\) 高	L4 边界	显著下降	大幅增	接近 operational boundary
超过边界	不可行	失败	不可达	任务无法完成

关键发现¶

stage-local 隐私补丁会被下游 "还原"：感知阶段匿名化人脸后，planning 日志的动作模式仍能反推身份或健康状况，说明必须从生命周期视角设计。
隐私-效用关系是非线性的，存在 "operational boundary" ——超过某个隐私强度任务直接失败，这个临界点应是部署时的关键考量。
当前固定隐私策略在实验室能用、在真实部署常失败，因为它无法根据场景自适应调整，凸显动态分类机制的必要性。

亮点与洞察¶

"隐私 as a dynamic control signal" 这个 framing 把隐私从合规问题升级成系统控制问题，和 control theory / safety filter 等领域可以无缝对接，是非常 generative 的概念迁移。
L1-L4 四元组 \(\{S, I, C, \Phi\}\) 给隐私分级提供了一个可形式化的载体，远胜于工业界常见的 "敏感 / 不敏感" 二分类，可以直接指导 SDK 设计。
highest-triggering-criterion 规则借鉴了实时系统里的 priority inheritance 思想，简单但能彻底解决 stage 之间的责任推诿问题——一旦某阶段触发高 level，全 pipeline 都得跟着升级。
把导航当 controlled probe 来量化 trade-off 是个聪明的做法，因为导航天然耦合四个阶段，并且效用指标（成功率、路径长度）非常成熟，可复用到其它 EAI 子任务的隐私评测。

局限与展望¶

框架还停留在概念层，case study 只做了导航和家居像素化，缺少对操作机器人、医疗辅助等更复杂场景的覆盖。
L1-L4 分级的具体阈值如何定义、谁来定义还没说清楚，存在 "分级越多越保守、效用越差" 的退化风险，需要有原则的分级算法而非工程师手调。
highest-triggering-criterion 在多任务并发时可能造成 "隐私级别长期锁定在 L4" 的退化，需要触发解除机制和精细化的 audit log 设计。
文中虽提及 FHE / ZKP 等重型原语，但没给计算开销 budget 分析，实际部署里这部分常常成为系统瓶颈。

评分¶

新颖性: ⭐⭐⭐⭐ "lifecycle privacy as control signal" 的 framing 在具身 AI 文献里是较早的系统化尝试。
实验充分度: ⭐⭐⭐ 仅有导航 + 像素化 case，缺少操作 / 医疗等多样化验证。
写作质量: ⭐⭐⭐⭐ 结构清晰，从问题 → 分级 → 编排 → case 一气呵成。
价值: ⭐⭐⭐⭐ 给具身机器人 / 家庭服务 Agent 的隐私架构设计提供了可借鉴的蓝图。