论文揭示个性化LLM Agent即使删除原文，黑盒攻击者仍能从其行为中恢复用户隐私。提出的UMPeek方法通过假设引导的自适应追问，在多个任务间试探，恢复分数超现有攻击六倍。防御仅靠响应级措施不足，需状态化反事实控制，但会牺牲个性化性能。研究为预印本，结论有边界条件。