AI Agent 學會你的個性後，真的會變成你嗎？

近年來，大型語言模型（LLM）逐漸從單純的聊天工具，進化成能夠自主完成工作的 AI Agent。為了提供更個人化的體驗，許多 Agent 開始建立長期記憶（Memory），甚至進一步將使用者的聊天紀錄、工作流程與偏好整理成可重複使用的 Persona Skill。

Persona Skill 可以理解成一份高度濃縮的『人格說明書』。它不只是記錄你喜歡什麼，更會整理你的思考方式、溝通習慣、決策模式與行為規律，讓不同 Agent 都能快速模仿你的工作方式。

然而，最新論文《When Agents Learn to Be You》指出，這種設計雖然提升了個人化能力，也帶來前所未有的隱私與身份冒用風險。

Persona Skill 與傳統 Memory 有什麼不同？

傳統的 AI Memory 比較像資料庫。當使用者提出問題時，AI 再從歷史聊天紀錄中搜尋相關資訊。

Persona Skill 則完全不同。它會先分析大量聊天紀錄，再萃取出一套可直接執行的規則，例如使用者偏好的回答方式、常見決策模式、語氣風格以及工作流程。

這代表 Agent 不再只是『查詢你的歷史』，而是真正學會『如何像你一樣思考』。

研究團隊認為，這種設計最大的特色就是 Skill 可以跨 Agent 使用，不需要重新訓練模型，也不用再次讀取完整聊天紀錄，因此未來可能成為 AI Agent 生態系的重要基礎。

為什麼 Persona Skill 比聊天紀錄更危險？

論文提出三個主要原因。

第一，是風險集中（Risk Concentration）。

原本散落於數百甚至數千段聊天中的個人資訊，經過 Skill Distillation 後會濃縮成單一文件。如果這份 Skill 外洩，攻擊者不需要閱讀所有聊天紀錄，就可能掌握大量使用者資訊。

第二，是影響力放大（Impact Amplification）。

Persona Skill 可以部署到不同 Agent 上，因此一份 Skill 可以被重複使用於多個系統，而不是只存在單一聊天平台。

第三，是防禦能力下降（Defense Degradation）。

即使移除姓名、地址等明顯個資，模型仍可能根據語言風格、教育背景、工作內容、人格特質等間接資訊推論出使用者身份，因此傳統匿名化方法未必足夠。

AntiSkillBench：第一個 Persona Skill 安全基準

為了研究這些問題，研究團隊建立了 AntiSkillBench。

資料集包含 50 個具有完整背景設定的人物，每位人物建立 50 組不同情境的提問，再透過三輪對話擴充，總共產生 2,500 筆對話與 7,500 個 Persona Grounded User Turns。

除了基本的人口資訊之外，每位角色還包含：

• Demographics（人口資訊）
• Background（背景經歷）
• Personality（Big Five 人格特質）
• Communication Style（溝通風格）

因此，模型學習的不只是身份資料，而是真正的行為模式。

他們如何衡量 AI 是否開始模仿使用者？

研究提出三項核心評估指標。

第一個是 Skill Coverage。

這項指標直接分析 Persona Skill 本身，看它保留了多少使用者資訊，例如背景、人格、語言風格等。如果保存越完整，代表 Skill 本身就越容易造成隱私洩漏。

第二個是 Field QA Accuracy。

研究者會直接詢問裝載 Persona Skill 的 Agent，例如『這個人的職業是什麼？』『他大概幾歲？』『他的個性如何？』，觀察 Agent 是否能回答出與原始人物一致的資訊。

第三個則是 VocabGain，也是本研究相當有趣的一項指標。

它不是測試 AI 是否知道你的資料，而是觀察 AI 是否開始使用你的語言習慣。例如是否開始模仿你的口頭禪、句型、思考邏輯與常用詞彙。這代表 AI 已經不只是知道你，而是真的開始『像你』。

結果：三家主流模型都出現相同問題

研究分別測試 GPT-5.4、Claude Haiku 4.5 與 Gemini 3.6 Flash。

結果顯示，不論採用哪一種 Skill Distillation 方法，也不論是哪一家模型，都能保留大量 Persona 資訊。

其中最容易被保留下來的，並不是姓名或年齡，而是使用者的背景知識、人格特質與溝通風格。

研究指出，Agent 在部署 Persona Skill 後，不只容易回答出使用者相關資訊，也會逐漸產生與目標人物相近的回答風格與語言習慣，形成身份模仿（Impersonation）。

現有防禦措施效果有限

研究團隊同時測試三種主要防禦方式。

Privacy Sanitization 會在聊天過程中移除職業、地點等容易辨識身份的資訊。

Adversarial Obfuscation 則故意加入錯誤的人格資訊，希望干擾 Skill Distillation。

Semantic Backdoor Injection 則加入特殊語義水印，用於追蹤 Skill 是否遭到未經授權的重複利用。

結果發現，雖然這些方法可以降低部分風險，但對於人格特質、溝通風格等深層資訊效果仍然有限，尤其當 Persona Skill 已經完成萃取後，仍可能保留大量身份特徵。

結語

這篇研究提出一個重要觀點：Persona Skill 不只是 AI 的記憶，而是一份可攜式的人格模型。

它讓 AI 能夠跨平台延續使用者的工作方式，同時也讓個人特徵變得更容易被複製、傳播與模仿。

隨著未來越來越多 AI Agent 導入長期記憶與 Persona Skill，如何在個人化與隱私保護之間取得平衡，將成為 AI 安全領域的重要課題。