InferDPT: Privacy-Preserving Inference for Closed-box Large Language Model

Aquí presento un resumen técnico detallado del artículo "InferDPT: Privacy-preserving Inference for Closed-box Large Language Models", publicado en IEEE Transactions on Dependable and Secure Computing.

1. El Problema

Los Grandes Modelos de Lenguaje (LLMs) de caja cerrada (como ChatGPT/GPT-4) han revolucionado la generación de texto, pero plantean riesgos significativos de privacidad. Cuando los usuarios envían "prompts" (instrucciones y documentos privados) a estos modelos, existe el peligro de que la plataforma (el adversario) recolecte o infiera información sensible.

• Limitaciones de las soluciones existentes:
  • Cifrado homomórfico (ej. CipherGPT): Ofrece privacidad teórica pero es impráctico debido a los enormes costos computacionales y de comunicación.
  • Métodos de Privacidad Diferencial (DP) actuales (ej. SANTEXT+, CUSTEXT+): Están diseñados principalmente para tareas de clasificación. En la generación de texto, incluso una pequeña distorsión semántica en el prompt puede hacer que la respuesta generada sea incoherente o inconsistente. Además, estos métodos son vulnerables a ataques de inversión de embeddings (reconstrucción de tokens originales) y utilizan listas de adyacencia estáticas que o bien son demasiado grandes (SANTEXT+, perdiendo utilidad) o demasiado pequeñas (CUSTEXT+, perdiendo privacidad).

2. Metodología: El Marco InferDPT

El autores proponen InferDPT, el primer marco práctico para la inferencia privada en LLMs de caja negra que implementa Privacidad Diferencial (DP) en la generación de texto. El sistema se basa en la idea de distilación de conocimiento y consta de dos módulos principales:

A. Módulo de Perturbación (Perturbation Module)

Este módulo protege la privacidad del documento original (Doc) antes de enviarlo al LLM remoto.

• Mecanismo: Reemplaza cada token del documento original con un nuevo token muestreado mediante un mecanismo de Privacidad Diferencial Local (LDP).
• Innovación (RANTEXT): En lugar de usar listas de adyacencia estáticas (fijas), InferDPT introduce RANTEXT, un nuevo mecanismo exponencial de LDP.
  • Lista de Adyacencia Aleatoria (Random Adjacency List): Para cada token, RANTEXT genera dinámicamente una lista de candidatos basada en la distancia euclidiana de sus embeddings. El tamaño de esta lista se determina aleatoriamente usando la distribución de Laplace.
  • Ventaja: Esto equilibra mejor la privacidad y la utilidad: la lista es lo suficientemente grande para dificultar la reconstrucción por parte del adversario (mejor que CUSTEXT+), pero lo suficientemente pequeña y semánticamente relevante para mantener la coherencia del texto (mejor que SANTEXT+).

B. Módulo de Extracción (Extraction Module)

Dado que el prompt perturbado (Docp) genera una respuesta del LLM remoto (Genp) que puede ser semánticamente inconsistente con el documento original, se necesita un paso de reconstrucción.

• Funcionamiento: El usuario despliega un modelo local ligero (menos capaz que el LLM remoto, pero confiable y privado).
• Proceso: El modelo local recibe tanto el documento original (Doc) como la generación perturbada del LLM remoto (Genp). Su tarea es extraer la información coherente de Genp y reconstruir un texto final alineado con el contexto de Doc.
• Observación Clave: Los autores observaron que, aunque el prompt se perturba, la generación del LLM remoto mantiene una alta superposición de tokens con la generación que se obtendría del prompt original, especialmente a medida que aumenta el parámetro de privacidad ($\epsilon$). El módulo de extracción aprovecha esta superposición para "distilar" la capacidad generativa del LLM remoto.

3. Contribuciones Clave

1. InferDPT: Un marco integral para la inferencia privada en LLMs de caja negra, resolviendo el dilema entre privacidad y coherencia semántica en tareas de generación abierta.
2. RANTEXT: Un nuevo mecanismo de Privacidad Diferencial Local que utiliza listas de adyacencia aleatorias dinámicas. Supera a los métodos de última generación (SANTEXT+ y CUSTEXT+) en el equilibrio entre utilidad y protección de la privacidad.
3. Ataque Adaptativo (GPT Inference Attack): Los autores proponen un nuevo ataque donde un adversario utiliza un LLM potente (GPT-4) para intentar reconstruir los tokens originales a partir del texto perturbado, demostrando que los métodos anteriores son vulnerables incluso con parámetros de privacidad estrictos.
4. Evaluación Exhaustiva: Validación en tres conjuntos de datos (CNN/Daily Mail, Wikitext-103-v1, ArXiv) contra cuatro tipos de amenazas de privacidad.

4. Resultados Experimentales

Las pruebas se realizaron utilizando GPT-4 como LLM remoto y modelos locales como Vicuna-7b o Llama2/3.

• Calidad de Generación: InferDPT (con RANTEXT) logra una calidad de texto comparable a la de GPT-4 sin privacidad, superando significativamente a los modelos locales puros. En métricas de coherencia y diversidad, RANTEXT supera a SANTEXT+ y CUSTEXT+.
• Protección de Privacidad:
  • Contra ataques de inversión de embeddings: Con un parámetro $\epsilon = 6.0$, RANTEXT logra un nivel de protección promedio superior al 0.90 (probabilidad de que el adversario falle). Esto es 3.35 veces mejor que CUSTEXT+ y 0.58 veces mejor que SANTEXT+.
  • Contra ataques de inferencia (BERT y GPT): RANTEXT mantiene una tasa de éxito de ataque muy baja incluso cuando el adversario utiliza modelos avanzados como GPT-4 para reconstruir el texto.
• Eficiencia: El costo computacional adicional es bajo. El módulo de perturbación es rápido, y el módulo de extracción añade menos de 4 segundos por inferencia, lo que lo hace viable para aplicaciones prácticas.

5. Significado e Impacto

El trabajo de InferDPT es significativo porque:

• Cierra la brecha de privacidad en LLMs comerciales: Permite a los usuarios utilizar servicios de LLMs de caja negra (como ChatGPT) para tareas sensibles sin revelar su información privada, algo que las soluciones de cifrado o DP tradicionales no lograban hacer de manera práctica en generación de texto.
• Mejora el estado del arte en DP: RANTEXT demuestra que las listas de adyacencia dinámicas y aleatorias son superiores a las estáticas para el procesamiento de lenguaje natural, ofreciendo un equilibrio matemático y práctico entre ruido y utilidad.
• Viabilidad Práctica: Al no requerir cifrado homomórfico pesado y funcionar con modelos locales accesibles, InferDPT ofrece una solución desplegable para proteger la privacidad en la era de los modelos de lenguaje generativos.

En resumen, InferDPT proporciona un marco robusto que permite a los usuarios interactuar con LLMs potentes de manera segura, garantizando que sus documentos privados no sean filtrados ni reconstruidos por el proveedor del servicio, manteniendo al mismo tiempo una alta calidad en la respuesta generada.