💬 NLP

What Does the Server See? Understanding Privacy Leakage from Large Language Models in Split Inference

Dieser Artikel deckt kritische Datenschutzverwundbarkeiten bei der geteilten Inferenz für große Sprachmodelle auf, indem er ActInv einführt, eine Methode, die Client-Eingaben trotz gängiger Verteidigungsmaßnahmen aus Zwischenaktivierungen rekonstruiert, und schlägt die Metrik „Störungsverstärkungsfaktor" (PAF) sowie die Verteidigungsmethode PriPert vor, um diese Leckagerisiken systematisch zu analysieren und zu mindern.

Ursprüngliche Autoren: Mingyuan Fan, Yu Liu, Fuyi Wang, Cen Chen

Veröffentlicht 2026-05-25

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Mingyuan Fan, Yu Liu, Fuyi Wang, Cen Chen

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Das „Split"-Dilemma

Stellen Sie sich vor, Sie haben ein sehr intelligentes, riesiges Roboterhirn (ein Large Language Model oder LLM), das auf einem leistungsfähigen Cloud-Server lebt. Sie besitzen ein kleines, schwaches Smartphone, das dieses riesige Hirn nicht allein ausführen kann.

Um dies zu lösen, nutzen Sie Split Inference (aufgeteilte Inferenz). Denken Sie daran wie an eine Staffel:

Sie (der Client): Sie laufen die ersten paar Meter des Rennens. Sie nehmen Ihre geheime Frage (z. B. „Was fehlt meinem Knie?") und verarbeiten sie gerade so weit, dass Sie einen „Stab" (Zwischendaten) bereit haben.
Der Server: Sie geben den Stab dem riesigen Roboter. Er läuft den Rest des Rennens, beendet die Antwort und sendet sie an Sie zurück.

Die Idee ist, dass Sie durch das Senden nur des „Stabs" anstelle Ihrer rohen Frage Ihre Geheimnisse schützen. Das Papier fragt: Ist der Stab tatsächlich sicher, oder kann der Server Ihre Gedanken nur durch das Ansehen des Stabs lesen?

Der Angriff: „ActInv" (Der Gedankenleser)

Die Forscher entdeckten, dass der „Stab" nicht sicher ist. Sie entwickelten ein Werkzeug namens ActInv, das wie ein High-Tech-Detektiv funktioniert.

Die Analogie: Stellen Sie sich vor, Sie senden dem Server ein unscharfes, verschlüsseltes Foto Ihres Gesichts (die Zwischendaten). Ein normaler Mensch könnte denken: „Ich kann nicht erkennen, wer das ist." Aber ActInv ist wie eine hochmoderne KI, die eine leere Leinwand nimmt und beginnt, ein Gesicht zu malen. Es passt die Farbe immer wieder an, bis das von ihm erzeugte unscharfe Foto perfekt mit dem verschlüsselten Foto übereinstimmt, das Sie gesendet haben. Sobald es übereinstimmt, weiß es genau, wie Ihr ursprüngliches Gesicht (Ihre geheime Frage) aussah.
Das Ergebnis: Das Papier zeigt, dass ActInv erschreckend gut ist. Es kann Ihre ursprüngliche Frage mit über 98 % Genauigkeit rekonstruieren, selbst wenn Sie versuchen, sie durch das Hinzufügen von statischem Rauschen oder das Unschärfe-Machen von Teilen der Daten zu verstecken. Es ist, als würde man versuchen, eine Nachricht in einem Schneesturm zu verstecken, aber der Detektiv eine Wärmebildkamera hat, die durch den Schnee hindurchsehen kann.

Warum passiert das? (Die „schwachen Glieder")

Die Forscher wollten wissen, warum der Server so leicht die Gedanken lesen konnte. Sie entwickelten eine Metrik namens PAF (Perturbation Amplification Factor – Störungs-Verstärkungsfaktor).

Die Analogie: Stellen Sie sich das KI-Modell als einen langen Tunnel mit vielen Räumen (Schichten) vor. Einige Räume bestehen aus dickem, schalldichtem Beton (hoher PAF). Wenn Sie dort flüstern, verhallt der Schall, und die Person am Ende kann Sie nicht hören. Andere Räume bestehen aus dünnem Glas oder Verstärkern (niedriger PAF). Wenn Sie dort flüstern, wird der Schall bis zum Ende lauter und klarer.
Die Entdeckung: Sie fanden heraus, dass die „Glasräume" (speziell die Aktivierungsschichten, in denen die KI Entscheidungen trifft) überraschend schwach sind. Sie verschlüsseln die Informationen nicht; sie helfen dem Detektiv tatsächlich dabei, die ursprüngliche Eingabe zu rekonstruieren. Obwohl diese Schichten dazu dienen sollen, die KI „intelligent" zu machen, machen sie sie versehentlich „undicht".

Die gescheiterten Verteidigungen

Vor diesem Papier glaubten die Leute, dass das Hinzufügen von „Rauschen" (wie statisches Rauschen im Radio) oder „Verspärung" (das Verstecken einiger Datenpunkte) den Detektiv stoppen würde.

Die Realität: Das Papier zeigt, dass diese Verteidigungen wie der Versuch sind, einen Hurrikan mit einem Regenschirm zu stoppen. Der Detektiv (ActInv) ist so intelligent, dass er das Rauschen herausfiltern und trotzdem die ursprüngliche Nachricht sehen kann. Der einzige Weg, ihn mit diesen Methoden zu stoppen, besteht darin, so viel Rauschen hinzuzufügen, dass die KI überhaupt nicht mehr funktioniert, was den Service für alle ruiniert.

Die Lösung: „PriPert" (Der intelligente Schild)

Da einfaches Rauschen nicht funktioniert, entwickelten die Forscher eine neue Verteidigung namens PriPert.

Die Analogie: Anstatt dem Detektiv zufälligen Sand in die Augen zu werfen (zufälliges Rauschen), ist PriPert wie ein Kampfkünstler, der genau weiß, wo er zuschlagen muss. Es berechnet die empfindlichste Richtung in den Daten.
- Stellen Sie sich die Daten als einen Luftballon vor. Wenn Sie ihn zufällig pieksen, wackelt er vielleicht nur. Aber wenn Sie ihn an der genau richtigen Stelle pieksen, wo er am zerbrechlichsten ist, platzt er.
- PriPert findet diesen „zerbrechlichen Punkt" in den Daten und fügt einen winzigen, gezielten Schub hinzu. Dies lenkt die Rekonstruktion des Detektivs vom Kurs ab, lässt ihn die falsche Frage raten, hält den Luftballon (die Antwort der KI) jedoch intakt genug, um weiterhin nützlich zu sein.
Das Ergebnis: PriPert ist viel besser als die alten Methoden. Es verwirrt den Detektiv erfolgreich, macht es unmöglich, die ursprüngliche Frage zu erraten, und lässt die KI gleichzeitig eine hilfreiche Antwort geben.

Zusammenfassung der Erkenntnisse

Das Risiko: Split Inference (das Senden von Teildaten an einen Server) ist derzeit sehr unsicher. Ein neugieriger Server kann Ihre privaten Fragen leicht rekonstruieren.
Die Ursache: Bestimmte Teile des KI-Modells wirken wie Verstärker, was es einfach macht, die Eingabe rückwärts zu entwickeln.
Die Lösung: Einfaches Rauschen funktioniert nicht. Sie benötigen intelligentes, gezieltes Rauschen (PriPert), das speziell die Schwachstellen des Modells angreift, um die Rekonstruktion zu brechen, ohne die Fähigkeit der KI, Fragen zu beantworten, zu zerstören.

Kurz gesagt: Wenn Sie heute Split Inference verwenden, sind Ihre Geheimnisse für den Server wahrscheinlich sichtbar. Aber es gibt einen neuen, intelligenteren Weg, sie zu verstecken, der das System nicht zerstört.

Technische Zusammenfassung: Was sieht der Server? Verständnis von Privatsphären-Lecks bei Large Language Models in der Split-Inferenz

1. Problemstellung

Der Einsatz von Large Language Models (LLMs) auf ressourcenbeschränkten Geräten wird durch Rechen- und Speicheranforderungen behindert. Split-Inferenz hat sich als Lösung etabliert, bei der das Modell zwischen einem Client (der die Anfangsschichten hält) und einem Server (der den Rest hält) partitioniert wird. Der Client übermittelt nur Zwischenaktivierungen statt roher Eingaben, was theoretisch die Privatsphäre bewahrt. Die Autoren argumentieren jedoch, dass die Annahme, Zwischenaktivierungen bewahrten inhärent die Privatsphäre, unbewiesen ist. Diese Arbeit untersucht, ob ein „ehrlicher, aber neugieriger" Server, der vollen White-Box-Zugriff auf die Modellarchitektur hat, die sensiblen Eingabe-Prompts des Clients aus diesen Zwischenaktivierungen rekonstruieren kann.

2. Methodik

2.1 Angriffsdesign: ActInv

Um das Privatsphären-Leck zu quantifizieren, schlagen die Autoren ActInv vor, einen Inversionsangriff, der die rohe Eingabesequenz des Clients aus den abgefangenen Zwischenaktivierungen ( $h_{Q1}$ ) rekonstruiert.

Mechanismus: Im Gegensatz zu sequenziellen Token-Wiederherstellungsmethoden formuliert ActInv die Rekonstruktion als kontinuierliches Optimierungsproblem im Raum der Eingabe-Embeddings. Es initialisiert einen zufälligen kontinuierlichen Embedding-Vektor $\hat{h}_0$ und verwendet gradientenbasierte Optimierung (z. B. Adam), um den Abstand zwischen dem Vorwärtspass des clientseitigen Teilmodells ( $F_C(\hat{h}_0)$ ) und den beobachteten Aktivierungen ( $h_{Q1}$ ) zu minimieren.
Diskretisierung: Sobald die kontinuierlichen Embeddings optimiert sind, werden sie über eine Nachbarsuchsuche innerhalb der Embedding-Matrix des Vokabulars des Modells zurück auf diskrete Token projiziert.
Effizienz: Durch die gleichzeitige Optimierung der gesamten Sequenz statt Token-für-Token erreicht ActInv eine Zeitkomplexität von $O(Tn^2)$ und bietet einen erheblichen Rechenvorteil gegenüber autoregressiven Methoden wie SipIt ( $O(Tn^3)$ ).

2.2 Vulnerabilitätsanalyse: Perturbations-Amplifikationsfaktor (PAF)

Um zu verstehen, warum bestimmte Schichten anfällig sind, führen die Autoren PAF ein, eine Metrik, die den inhärenten Widerstand einer Schicht gegen Rekonstruktion quantifiziert.

Definition: PAF misst, wie stark eine kleine Perturbation im Ausgang einer Schicht ( $\delta$ ) in Unsicherheit beim inferierten Eingang ( $\Delta$ ) übersetzt wird. Es wird aus der Jacobi-Matrix der Schicht abgeleitet.
Erkenntnis: Ein hoher PAF zeigt an, dass kleine Ausgangs-Perturbationen große Eingangsabweichungen verursachen (was die Rekonstruktion erschwert), während ein niedriger PAF anzeigt, dass die Schicht „stabil" und leicht invertierbar ist.
Ergebnisse: Die Analyse zeigt eine nicht einheitliche Vulnerabilität über die Schichten hinweg. Insbesondere nicht-lineare Aktivierungsschichten (z. B. Sigmoid/SwiGLU) und bestimmte Projektionsschichten weisen oft einen niedrigen PAF auf, was sie zu „schwachen Gliedern" macht, bei denen naive Rausch-Verteidigungen keine signifikanten Rekonstruktionsfehler hervorrufen.

2.3 Verteidigungsdesign: PriPert

Basierend auf der PAF-Analyse schlagen die Autoren PriPert vor, einen Verteidigungsmechanismus, der adversarisch kalibrierte Perturbationen in Zwischenaktivierungen injiziert.

Strategie: Anstatt isotropes (zufälliges) Rauschen hinzuzufügen, löst PriPert ein eingeschränktes Optimierungsproblem, um Perturbationen entlang der Richtungen zu injizieren, die den Rekonstruktionsfehler maximieren (ausgerichtet mit den empfindlichsten Richtungen der Schicht), während die Verschlechterung des serverseitigen Ausgangs (Nützlichkeit) minimiert wird.
Implementierung: Die Verteidigung nutzt eine Pfadintegral-Näherung, um die durch die Perturbation verursachte Eingangsabweichung zu schätzen. Die Autoren stellen fest, dass eine $L_0$ -beschränkte Lösung (sparse Perturbationen) oft $L_2$ -beschränkten Lösungen überlegen ist, da sie die Erhaltung von Vorzeicheninformationen vermeidet, die Angreifer ausnutzen könnten.

3. Wichtige Ergebnisse

3.1 Angriffseffektivität (ActInv)

Hohe Rekonstruktionsqualität: ActInv erreicht Präzision und Recall von über 98 % bei verschiedenen Modellen (Qwen3, Falcon3) und Datensätzen (AlpacaEval, iCliniq) ohne jegliche Verteidigung.
Resilienz gegenüber naiven Verteidigungen: Häufige Verteidigungen wie das Einbringen von Gaußschem Rauschen und Aktivierungs-Sparsifizierung sind weitgehend unwirksam. Selbst bei hohen Sparsifizierungsraten (z. B. 0,7) oder moderatem Rauschen behält ActInv eine hohe Rekonstruktionsgenauigkeit bei. Nur extreme Rauschniveaus (die die Modellnützlichkeit zerstören) behindern den Angriff signifikant.
Effizienz: ActInv ist rechnerisch effizient und rekonstruiert eine 100-Token-Abfrage in etwa 20 Sekunden auf einer einzelnen GPU, was deutlich schneller ist als sequenzielle State-of-the-Art-Angriffe.

3.2 Vulnerabilitätserkenntnisse (PAF)

Schichtvarianz: PAF-Werte variieren erheblich zwischen Schichten und Modellen. Beispielsweise zeigen Aktivierungsschichten konsistent einen niedrigen PAF, was bestätigt, dass sie primäre Quellen für Lecks sind.
Richtungsabhängige Empfindlichkeit: Der „Max-PAF" (Empfindlichkeit gegenüber ausgerichteten Perturbationen) ist oft signifikant höher als der „Erwartete PAF" (Empfindlichkeit gegenüber zufälligem Rauschen), was validiert, dass zufälliges Rauschen eine suboptimale Verteidigungsstrategie ist.

3.3 Verteidigungsleistung (PriPert)

Verbesserung der Privatsphäre: PriPert reduziert die Rekonstruktionsqualität signifikant. Bei einer Sparsifizierungsrate von 0,7 sinkt die Präzision von ActInv unter 30 % (verglichen mit >60 % bei standardmäßiger Sparsifizierung), und die ROUGE-L-Werte stürzen ab, was darauf hindeutet, dass der semantische Inhalt effektiv verschleiert wird.
Erhaltung der Nützlichkeit: Im Gegensatz zu naiven Verteidigungen, die die Modellnützlichkeit bei hohen Perturbationsniveaus kollabieren lassen, bewahrt PriPert bei moderaten Sparsifizierungsniveaus (z. B. 0,5) eine akzeptable Nützlichkeit. Die Autoren stellen fest, dass „Genauigkeit und Korrektheit" empfindlicher auf Perturbationen reagieren als „Klarheit und Stil", aber die Gesamtwerte dennoch nutzbar bleiben.
Robustheit: PriPert bleibt wirksam gegen andere State-of-the-Art-Inversionsangriffe (A1, TBS, PIA) und reduziert deren Rekonstruktionswerte um große Margen.

4. Bedeutung und Beiträge

Die Arbeit beansprucht folgende Beiträge:

Aufdecken der Vulnerabilität: Sie bietet die erste umfassende Untersuchung, die demonstriert, dass Split-Inferenz für LLMs die Privatsphäre nicht inhärent garantiert. Die Autoren zeigen, dass ein ehrlicher, aber neugieriger Server Benutzereingaben mit hoher Qualität unter Verwendung eines relativ einfachen, effizienten optimierungsbasierten Angriffs (ActInv) rekonstruieren kann.
Theoretische Metrik (PAF): Sie führt PAF ein, um die unterschiedliche Anfälligkeit verschiedener Modellschichten für Inversion systematisch zu quantifizieren und zu erklären, und deckt auf, dass nicht-lineare Aktivierungsschichten überraschend anfällig sind.
Effektive Verteidigung (PriPert): Sie schlägt PriPert vor und validiert es, eine Verteidigung, die die richtungsabhängige Empfindlichkeit von Schichten nutzt, um die Verhinderung von Privatsphären-Lecks zu maximieren und gleichzeitig den Nützlichkeitsverlust zu minimieren. Die Ergebnisse deuten darauf hin, dass adversarisch kalibrierte Perturbationen naivem zufälligem Rauschen oder Sparsifizierung überlegen sind.
Praktische Implikationen: Die Arbeit hebt eine kritische Spannung in der Split-Inferenz hervor: Standardverteidigungen sind unzureichend, und ein effektiver Privatsphärenschutz erfordert eine sorgfältige Kalibrierung von Perturbationen, um die Zerstörung der Nützlichkeit des LLM zu vermeiden.

Die Autoren schließen, dass Split-Inferenz zwar rechnerische Vorteile bietet, aber robuste, nicht-naive Privatsphärenmechanismen erfordert, um für sensible Bereiche wie das Gesundheitswesen geeignet zu sein. Als zukünftige Arbeiten werden die Entwicklung privatsphärenbewusster Komprimierung und privatsphärensensibler Aktivierungsfunktionen vorgeschlagen.