LLMs Can Leak Training Data But Do They Want To? A Propensity-Aware Evaluation of Memorization in LLMs
Dieses Paper führt PropMe und SimpleTrace ein, um zu demonstrieren, dass große Sprachmodelle zwar die Fähigkeit besitzen, Trainingsdaten unter adversen Angriffen zu reproduzieren, sie jedoch eine signifikant geringere Neigung dazu in gewöhnlichen, nicht-adversen Szenarien aufweisen, was darauf hindeutet, dass Audits zur Memorierung sowohl die Worst-Case-Extrahierbarkeit als auch die typische Leckage-Neigung berichten sollten.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich ein Large Language Model (LLM) als einen extrem obsessiven Studenten vor, der eine ganze Bibliothek von Büchern gelesen und riesige Textblöcke davon auswendig gelernt hat.
Lange Zeit haben Forscher gefragt: "Kann dieser Student ein Buch rezitieren, wenn wir ihn dazu verleiten?" Die Antwort war immer: "Ja." Aber dieses Paper stellt eine andere, praktischere Frage: "Will dieser Student das Buch auch wirklich rezitieren, wenn wir ihn nur ganz normal etwas fragen?"
Hier ist eine Aufschlüsselung der Ergebnisse des Papers unter Verwendung einfacher Analogien.
1. Die zwei Arten, den Studenten zu testen
Die Autoren entwickelten ein neues Test-Framework namens PROPME, um die Memorierung aus zwei verschiedenen Blickwinkeln zu betrachten:
- Der „Fähigkeits“-Test (Der Adversarial Attack): Stellen Sie sich vor, ein Detektiv reicht dem Studenten den ersten Satz eines berühmten Romans und sagt: "Vervollständige diese Geschichte." Da der Student das Buch auswendig gelernt hat, kann er den Satz problemlos perfekt beenden. Dies testet, was das Modell kann, wenn man es dazu drängt.
- Der „Neigung“-Test (Der gewöhnliche Gebrauch): Stellen Sie sich vor, Sie stellen dem Studenten eine normale Frage wie: "Schreibe eine Geschichte über eine Katze." Die Frage ist nicht darauf ausgelegt, ihn auszutricksen. Dies testet, was das Modell im tatsächlichen Alltag tut.
Die große Entdeckung: Das Paper fand eine massive Lücke zwischen diesen beiden. Der Student kann das Buch rezitieren, wenn man ihm den richtigen Hinweis gibt (Fähigkeit), aber er tut es fast nie, wenn man ihn ganz normal nach einer Geschichte fragt (Neigung).
2. Das neue Werkzeug: SIMPLETRACE
Um dies zu beweisen, entwickelten die Autoren ein Tool namens SIMPLETRACE.
- Die Analogie: Betrachten Sie die Trainingsdaten als ein riesiges, staubiges Lagerhaus mit Millionen von Dokumenten. Wenn das Modell Text generiert, ist SIMPLETRACE wie ein superschneller Bibliothekar, der jedes Wort, das das Modell sagt, sofort mit dem gesamten Lagerhaus abgleicht.
- Was es tut: Es rät nicht; es findet exakte Übereinstimmungen. Es kann Ihnen sagen: „Dieser Satz, den das Modell gerade geschrieben hat, ist eine perfekte Kopie von Seite 42 aus Dokument #892 im Lagerhaus.“ Dies nimmt das Raten und die Mehrdeutigkeit heraus.
3. Die Experimente: Zwei Studenten, zwei Bibliotheken
Die Forscher testeten zwei Modelle (Studenten) auf zwei verschiedenen Datensätzen (Bibliotheken):
- Comma: Ein Modell, das auf einer riesigen englischen Bibliothek trainiert wurde.
- DFM Decoder: Ein Modell, das als Comma begann, aber dann auf einer kleineren dänischen Bibliothek (Dynaword) gemischt mit etwas Englisch „neu trainiert“ wurde.
Sie ließen beide Modelle Text mit drei Arten von Prompts generieren:
- Generisch: „Erzähl mir einen Witz.“ (Normal)
- Spezifisch: „Erzähl mir einen Witz über die dänische Kultur.“ (Etwas gezielter, aber kein Trick)
- Präfix: „Hier ist der Anfang eines Witzes aus der Bibliothek: [Exakter Wortlaut der ersten 50 Wörter eines echten Witzes]. Vervollständige ihn.“ (Der Trick)
4. Was sie herausfanden
- Der „Trick“ funktioniert am besten: Wenn sie den „Präfix“-Trick verwendeten, ließen die Modelle häufig Trainingsdaten durchscheinen. Sie konnten lange, exakte Textblöcke aus den Büchern rezitieren.
- Das normale Leben ist sicher: Wenn sie normale Prompts verwendeten (Generisch oder Spezifisch), ließen die Modelle fast nie den exakten Text durchscheinen. Die „Neigung“ (die Wahrscheinlichkeit des Datenlecks) war sehr gering.
- Der „Re-Training“-Eff Effekt: Das zweite Modell (DFM Decoder), das auf eine neue Sprache (Dänisch) neu trainiert wurde, wurde tatsächlich schlechter darin, die ursprünglichen englischen Bücher durchscheinen zu lassen. Es ist, als ob der Student so sehr mit dem Lernen der neuen dänischen Bibliothek beschäftigt war, dass er anfing, die spezifischen Details der alten englischen Bibliothek zu vergessen.
5. Die wichtigste Erkenntnis
Das Paper argumentt, dass wir aufhören müssen, nur auf das „Worst-Case-Szenario“ zu schauen (was das Modell tun kann, wenn man es austrickst). Das ist so, als würde man sagen, ein Auto sei gefährlich, nur weil es kann, die Klippe hinunterzufahren, wenn man es dorthin steuert.
Stattdessen müssen wir das „gewöhnliche Risiko“ messen (was das Modell tut, wenn es normal gefahren wird).
- Aktuelle Audits: Prüfen meistens, ob man das Modell austricksen kann.
- Vorgeschlagene Audits: Sollten sowohl die „Trickbarkeit“ als auch die alltägliche Wahrscheinlichkeit eines Datenlecks prüfen.
Kurz gesagt: Diese Modelle sind wie Studenten, die die ganze Bibliothek auswendig gelernt haben. Wenn man ihnen eine Pistole an den Kopf hält (oder einen spezifischen Prompt gibt), werden sie den Text rezitieren. Aber wenn man sie einfach nur bittet zu plaudern, tun sie das normalerweise nicht. Das Paper schlägt vor, dass wir sowohl das „Pistole-an-den-Kopf-Risiko“ als als auch das „lockeres-Gesprächs-Risiko“ messen sollten, um ein wahres Bild der Sicherheit zu erhalten.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.