💬 NLP

DP-Fusion: Token-Level Differentially Private Inference for Large Language Models

Das Papier schlägt DP-Fusion vor, einen auf Token-Ebene basierenden differenziell privaten Inferenzmechanismus für große Sprachmodelle, der den Einfluss sensibler Kontext-Token auf Ausgaben nachweislich begrenzt, um eine hochwertige Dokumentenprivatisierung mit signifikant verbesserten Privacy-Utility-Abwägungen im Vergleich zu bestehenden Methoden zu ermöglichen.

Ursprüngliche Autoren: Rushil Thareja, Preslav Nakov, Praneeth Vepakomma, Nils Lukas

Veröffentlicht 2026-02-03

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Rushil Thareja, Preslav Nakov, Praneeth Vepakomma, Nils Lukas

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben einen sehr klugen, gesprächigen Roboter (ein großes Sprachmodell oder LLM), der Ihnen dabei hilft, Dokumente zusammenzufassen. Manchmal enthalten diese Dokumente geheime Informationen, wie etwa den Namen eines Patienten, ein bestimmtes Datum oder eine Bankkontonummer. Sie möchten, dass der Roboter die Geschichte zusammenfasst, ohne versehentlich diese Geheimnisse zu verraten.

Das Problem ist, dass aktuelle Roboter schlecht darin sind. Wenn Sie ihnen einfach sagen: „Nenne nicht den Namen“, könnten sie verwirrt sein und Kauderwelsch schreiben. Wenn Sie ihnen sagen: „Schreibe es schön um“, könnten sie trotzdem versehentlich ein Geheimnis verraten.

Hier kommt DP-FUSION: Der „geheimnis-sichere“ Mixer

Die Autoren dieses Papers haben eine neue Methode namens DP-FUSION entwickelt. Stellen Sie sich DP-FUSION als einen speziellen Text-Mixer vor, der garantiert, dass Geheimnisse verborgen bleiben, während die Geschichte lesbar bleibt. So funktioniert es, unter Verwendung einer einfachen Analogie:

Das Szenario: Die zwei Versionen einer Geschichte

Stellen Sie sich einen medizinischen Bericht über „Frau Smith“ vor, die eine Rechnung über 345,25 $ hatte.

Die Originalgeschichte: Enthält den Namen „Frau Smith“ und den exakten Rechnungsbetrag.
Die geschwärzte Geschichte: Sie nehmen einen Marker und schwärzen „Frau Smith“ und „345,25 $“ aus und ersetzen sie durch Platzhalter wie [NAME] und [BETRAG].

Wie DP-FUSION funktioniert (Der Mischprozess)

Anstatt sich einfach für eine der beiden Versionen zu entscheiden, vollführt DP-FUSION einen cleveren Tanz:

Den Roboter zweimal laufen lassen:
- Zuerst bittet es den Roboter, das nächste Wort basierend auf der geschwärzten Geschichte (der sicheren Version) vorherzusagen. Dies liefert eine „sichere“ Vermutung.
- Zweitens bittet es den Roboter, das nächste Wort basierend auf der Originalgeschichte (der geheimen Version) vorherzusagen. Dies liefert eine „riskante“ Vermutung, die das Geheimnis preisgeben könnte.
Der „Privatsphäre-Regler“ (Der Mixer-Knopf):
- Das System hat einen Regler namens $\epsilon$ (Epsilon).
- Regler ganz nach unten gedreht (Niedriges $\epsilon$ ): Der Mixer mischt die beiden Vermutungen so stark, dass die „riskante“ Geheimnisinformation fast vollständig von der „sicheren“ Vermutung überdeckt wird. Der Roboter sagt vielleicht „ein Patient“ anstatt „Frau Smith“. Dies ist sehr privat, aber die Geschichte könnte etwas generisch wirken.
- Regler hochgedreht (Hohes $\epsilon$ ): Der Mixer lässt mehr von der „riskanten“ Vermutung durch. Der Roboter könnte „Frau Smith“ sagen, wenn es gut in den Kontext passt. Die Geschichte klingt besser, aber es besteht eine leicht höhere Chance, dass ein Geheimnis durchsickert.
Die Garantie:
- Die Magie von DP-FUSION liegt darin, dass es mathematisch beweist, dass die Chancen eines Hackers, das Geheimnis zu erraten, ungeachtet dessen, wie hart er es versucht, durch die Einstellung auf diesem Regler streng begrenzt sind. Selbst wenn ein Hacker genau weiß, wie der Mixer funktioniert, kann er das Geheimnis nicht rückentwickeln.

Warum ist das besser als das, was wir bisher haben?

Das Paper vergleicht DP-FUSION mit anderen Methoden:

Der „Schwärzer“ (NER): Dies ist so, als würde man mit einem schwarzen Marker Geheimnisse durchstreichen. Es ist sicher, hinterlässt aber hässliche Lücken im Text, was es schwer lesbar macht (geringe Nützlichkeit/Utility).
Der „Paraphrasierer“ (Prompt Engineering): Dies ist so, als würde man den Roboter bitten: „Schreibe dies schön um.“ Das klingt gut, aber der Roboter verrät oft trotzdem versehentlich das Geheimnis, weil er nicht gezwungen wurde, vorsichtig zu sein.
DP-FUSION: Dies ist der „Sweet Spot“. Es hält den Text flüssig (hohe Qualität/Utility), während es mathematisch garantiert, dass die Geheimnisse verborgen bleiben.

Die Ergebnisse

Die Forscher haben dies an echten juristischen und medizinischen Dokumenten getestet. Sie fanden heraus:

Qualität: Der von DP-FUSION generierte Text war viel natürlicher und lesbarer als bei anderen Privatsphäre-Methoden. Tatsächlich war er 6 Mal besser (gemessen an der „Perplexity“, einem Maß dafür, wie verwirrend ein Text ist) als die nächstbeste Privatsphäre-Methode.
Sicherheit: Selbst wenn Hacker versuchten, die verborgenen Namen oder Daten zu erraten, scheiterten sie fast so oft wie beim bloßen Zufallsraten.
Bonus-Sicherheit: Die Methode hilft auch, „Jailbreak“-Angriffe zu stoppen, bei denen Hacker versuchen, den Roboter dazu zu bringen, seine Regeln zu ignorieren. Indem sie verdächtige Eingaben als „sensible Token“ behandelt, kann der Mixer deren Einfluss abschwächen und den Roboter sicher halten.

Zusammenfassend

DP-FUSION ist eine neue Art, KI zur Zusammenfassung sensibler Dokumente einzusetzen. Es fungt als intelligenter Mixer, der eine „sichere“ Version des Textes mit der „echten“ Version vermischt, gesteuert durch einen Privatsphäre-Regler. Dies stellt sicher, dass Geheimnisse (wie Namen oder Daten) mathematisch garantiert verborgen bleiben, während die resultierende Geschichte qualitativ hochwertig und leicht lesbar bleibt.

Technisches Resümee: DP-FUSION

Problemstellung

Large Language Models (LLMs) verfügen nicht über inhärente Datenschutzgarantien während der Inferenz. Wenn LLMs mit Werkzeugen oder externen Datenbanken ergänzt werden, die sensible Informationen (z. B. personenbezogene Daten oder PII) enthalten, können die Ausgaben des Modells unbeabsichtigt diesen Kontext offenbaren. Bestehende Methoden zur datenschutzfreundlichen Inferenz leiden unter erheblichen Einschränkungen:

Mangel an beweisbaren Garantien: Methoden wie Prompt Engineering oder einfaches Scrubbing (Schwärzung) bieten keine formale Datenschutzgarantie und sind anfällig für Rekonstruktions- oder Membership-Inference-Angriffe.
Schlechte Nutzen/Datenschutz-Abwägung: Methoden der differenziell privaten (DP) Inferenz wie DP-Decoding (Interpolation mit Uniform-Rauschen) oder DP-Prompt (Clipping von Logits) führen oft zu einer stark verschlechterten Textqualität (hohe Perplexität), um Datenschutz zu erreichen.

Die spezifische Herausforderung, die adressiert wird, ist die Dokumenten-Privatisierung: das Paraphrasieren eines Dokuments, das sensible Token enthält, sodass ein Angreifer die ursprünglichen sensiblen Token nicht zuverlässig aus dem paraphrasierten Output ableiten kann, während gleichzeitig eine hohe Textqualität beibehalten wird.

Methodik: DP-FUSION

Die Autoren schlagen DP-FUSION vor, einen Mechanismus für die differenziell private Token-Inferenz (DPI), der den Einfluss sensibler Kontext-Token auf den generierten Output beweisbar begrenzt. Die Methode arbeitet unter einem Bedrohungsmodell, bei dem ein adaptiver Gray-Box-Angreifer die Inferenzmethode, die Modellarchitektur und die Gewichte kennt sowie den privatisierten Output und den editierten Input beobachtet.

Kernmechanismus

DP-FUSION adaptiert das Konzept der Ensemble-basierten privaten Vorhersage (ähnlich wie PMixED) auf das Inferenz-Szenario. Der Prozess umfasst vier Hauptschritte:

Token-Labeling: Eine Teilmenge sensibler Token im Eingabedokument wird identifiziert und mithilfe eines Taggers (z. B. NER) in Datenschutzgruppen ( $G_1, \dots, G_m$ ) gruppiert.
Baseline-Inferenz (Öffentlich): Das LLM wird auf dem Dokument ausgeführt, wobei alle sensiblen Token geschwärzt (durch Platzhalter gleicher Länge ersetzt) wurden, um eine „öffentliche“ Next-Token-Verteilung ( $p_{pub}$ ) zu erhalten.
Private Inferenz: Das LLM wird $m$ -mal ausgeführt (einmal für jede Datenschutzgruppe), wobei nur die Token einer spezifischen Gruppe $G_i$ zusammen mit dem editierten Kontext offengelegt werden. Dies liefert $m$ „private“ Next-Token-Verteilungen ( $p_{priv, i}$ ).
Verteilungs-Blending (Mollifikation): Für jede Gruppe $i$ $i$ wird ein Koeffizient $\lambda_i \in [0, 1]$ $λ_{i} \in [0, 1]$ mittels Bisektionssuche berechnet. $\lambda_i$ $λ_{i}$ ist der maximale Wert, für den die Rényi-Divergenz zwischen der gemischten Verteilung ( $\lambda_i p_{priv, i} + (1-\lambda_i) p_{pub}$ $λ_{i} p_{p r i v, i} + (1 - λ_{i}) p_{p u b}$ ) und der Baseline $p_{pub}$ $p_{p u b}$ ein vordefiniertes Datenschutzbudget $\beta_i$ $β_{i}$ erfüllt.
- Die endgültige Next-Token-Verteilung ist der Durchschnitt dieser gemischten Verteilungen.
- Ein Token wird aus dieser gemischten Verteilung gesampelt.

Datenschutzgarantien

Die Methode bietet pro-Gruppe $(\alpha, \beta_i)$ -Rényi Differential Privacy (RDP).

Nachbarschaftsdefinition: Zwei Dokumente gelten als benachbart, wenn sie sich nur durch das Vorhandensein/Fehlen aller Token einer einzelnen Datenschutzgruppe unterscheiden.
Theoretische Schranke: Der Algorithmus stellt sicher, dass die symmetrische Rényi-Divergenz zwischen den Output-Verteilungen benachbarter Dokumente begrenzt ist. Dies übersetzt sich in $(\epsilon, \delta)$ -DP-Garantien für das gesamte generierte Transkript, wobei $\epsilon$ durch die Anzahl der generierten Token, die Rényi-Ordnung $\alpha$ und die Gruppenbudgets $\beta_i$ kontrolliert wird.
Robustheit: Der Mechanismus begrenzt den Vorteil des Angreifers, selbst wenn die Abfrage adversariell gewählt wurde (z. B. Jailbreak-Versuche).

Wichtigste Beiträge

Token-Level DP Inferenz: Einführung einer Methode, die beweisbare DP-Garantien auf Token-Ebene während der LLM-Inferenz bietet, speziell für Paraphrasierungsaufgaben.
Verbesserte Nutzen/Datenschutz-Abwägung: Im Gegensatz zu bisherigen Methoden, die Rauschen zur Output-Verteilung hinzufügen oder Logits clippen, mischt DP-FUSION Verteilungen basierend auf dem Unterschied zwischen „sensiblen“ und „nicht-sensiblen“ Kontexten. Dies ermöglicht die Beibehaltung von mehr semantischen Informationen, während der Leakage spezifischer Token strikt begrenzt wird.
Abschwächung von Prompt Injection: Die Autoren zeigen, dass der Mechanismus auch auf Sicherheit angewendet werden kann, wobei „sensible Token“ als Chunks definiert werden, die aus unzuverlässigen Quellen stammen (z. B. in RAG-Pipelines). Durch die Begrenzung des Einflusses dieser Chunks mildert DP-FUSION Prompt-Injection-Angriffe ab.
Open-Source-Implementierung: Die Autoren stellen ein PyPI-Paket und ein GitHub-Repository bereit, die die Anwendung von DP-FUSION auf beliebige LLMs und Datensätze ermöglichen.

Experimentelle Ergebnisse

Die Experimente wurden mit dem Modell Qwen 2.5 7B-Instruct auf dem TAB-ECHR Datensatz (Europäischer Gerichtshof für Menschenrechte mit handannotierten PII) durchgeführt.

Nutzen (Perplexität): DP-FUSION erreichte eine Perplexität (PPL) von 1,426 bei einer entspannten Datenschutz-Einstellung ( $\alpha\beta = 0,10$ $α β = 0, 10$ ) und 1,459 bei einer strengen Einstellung ( $\alpha\beta = 0,01$ $α β = 0, 01$ ).
- Dies ist signifikant besser als DP-Decoding (PPL > 3,9) und DP-Prompt (PPL > 4,26 für Breite 50, und > 100 für Breite 5).
- DP-FUSION erreicht eine 6-mal niedrigere Perplexität als die beste Baseline (DP-Prompt) bei vergleichbarem Datenschutzniveau.
Nutzen (LLM-as-a-Judge): In Paarvergleichen gegen andere Methoden gewannen die Paraphrasen von DP-FUSION in >95 % der Fälle gegen DP-Decoding und DP-Prompt. Es übertraf auch die „No DPI - NER“ (reine Redaktion) Baseline in 45 % der Fälle bei strengen Datenschutz-Einstellungen.
Datenschutz (Attack Success Rate): Die Autoren evaluierten Token-Recovery-Angriffe (Min-K% und LOSS Angriffe).
- DP-FUSION hielt eine Attack Success Rate (ASR) nahe am Zufallsraten-Niveau (ca. 26–29 % für $|C|=5$ ) selbst bei hohem Nutzen.
- Im Gegensatz dazu zeigte DP-Prompt (Breite 50) eine ASR von ~50 %, was auf ein Versagen beim empirischen Datenschutz trotz niedrigerer Perplexität hindeutet.
- DP-FUSION bot einen etwas besseren Datenschutz als die No-DPI NER Baseline in strengen Einstellungen aufgrund der durch die Verteilungs-Mischung eingeführten Randomisierung.

Bedeutung und Behauptungen

Das Paper behauptet, dass DP-FUSION einen bedeutenden Fortschritt bei der Bereitstellung von LLMs mit sensiblen Daten darstellt, indem es beweisbare Datenschutzgarantien bietet, ohne die schwere Nutzen-Degradierung zu verursachen, die bei bestehenden DP-Inferenzmethoden zu beobachten ist.

Paradigmenwechsel: Die Autoren argumentieren, dass Datenschutz anstatt als Post-Processing-Schritt oder globale Rauschinjektion verwaltet werden sollte, indem man den Einfluss spezifischer Token-Gruppen explizit modelliert und diesen Einfluss über Distribution Blending begrenzt.
Praktikabilität: Die Methode ist rechentechnisch machbar (parallelisierbar) und funktioniert mit bestehenden LLMs, ohne dass ein Retraining erforderlich ist.
Doppelter Nutzen: Über den Datenschutz hinaus wird behauptet, dass der Mechanismus auch effektiv gegen Sicherheitsbedrohungen wie Prompt Injection in RAG-Systemen ist, indem er einen einheitlichen Ansatz zum Umgang mit unzuverlässigem Kontext bietet.

Die Autoren bleiben bescheiden hinsichtlich der Abhängigkeit von der Qualität des initialen Token-Taggers (NER) und räumen ein, dass False Negatives im Tagging außerhalb der theoretischen Garantien liegen, wenngleich die empirischen Ergebnisse darauf hindeuten, dass handelsübliche Tagger für die demonstrierten Anwendungsfälle ausreichend sind.