Do LLMs Know What Is Private Internally? Probing and Steering Contextual Privacy Norms in Large Language Model Representations

Resumen Técnico: ¿Conocen los LLMs lo que es Privado Internamente?

1. El Problema: La Brecha entre Representación y Comportamiento

Los Grandes Modelos de Lenguaje (LLMs) se despliegan cada vez más en entornos de alto riesgo (salud, asistentes personales), donde a menudo violan la privacidad contextual. A diferencia de la privacidad estática (que se centra en la memorización de datos de entrenamiento), la privacidad contextual, basada en la teoría de la Integridad Contextual (CI) de Nissenbaum, define la privacidad como un flujo de información apropiado gobernado por normas específicas del contexto.

El problema central identificado es que, aunque los LLMs a menudo disculpan información privada en situaciones donde un humano ejercería discreción, no está claro si esto se debe a una falta de comprensión interna de las normas de privacidad o a una desconexión entre su representación interna y su comportamiento de salida. Las soluciones anteriores se han centrado en el comportamiento externo (RL, fine-tuning), ignorando la estructura latente interna del modelo.

2. Metodología: Sonda y Dirección (Probing and Steering)

Los autores proponen un marco de trabajo en tres niveles para investigar la privacidad contextual como una representación latente estructurada:

• Nivel de Concepto: Se utilizan pares de ejemplos contrastantes (flujo de información apropiado vs. inapropiado) para probar si las normas de privacidad son linealmente separables en el espacio de activación del modelo.
• Nivel de Comportamiento: Se evalúa si la señal interna detectada se traduce en decisiones de divulgación correctas en escenarios de rol social (role-play), midiendo la tasa de fuga de información.
• Nivel Paramétrico de CI: Se descompone la privacidad en sus tres parámetros determinantes según la teoría CI:
  1. Tipo de información (Information Type).
  2. Receptor (Recipient).
  3. Principio de transmisión (Transmission Principle).
     Nota: Se excluyen "sujeto de datos" y "remitente" en la dirección principal porque definen a los actores, no la norma de flujo.

Técnicas de Análisis:

• Sondas Lineales y PCA: Se extraen los estados ocultos (hidden states) de las capas residuales. Se utiliza Análisis de Componentes Principales (PCA) y regresión logística para identificar direcciones en el espacio latente que distinguen entre flujos de información apropiados e inapropiados.
• Prueba de Selectividad de Subespacio: Se utiliza Análisis Discriminante Lineal (LDA) para verificar si los parámetros de CI ocupan subespacios funcionalmente independientes.
• CI-Parametric Steering (Dirección Paramétrica de CI): Se introduce un método de intervención en tiempo de inferencia que modifica las activaciones del modelo sumando vectores de dirección específicos para cada parámetro de CI, en lugar de usar un único vector monolítico.

3. Hallazgos Clave

El estudio, realizado en cuatro modelos (Llama-3.1, Qwen-2.5, Mistral, Llama-2), revela tres descubrimientos fundamentales:

1. La privacidad es linealmente codificada pero multidimensional: Las normas de privacidad son linealmente separables en las capas superiores del modelo, pero no pueden ser capturadas por una única dirección. Se requieren múltiples componentes (al menos 3) para representar la estructura de la privacidad, lo que contradice hallazgos anteriores sobre conceptos como la honestidad o la seguridad que a menudo se alinean con un solo vector.
2. La Brecha de Conciencia de Privacidad (Privacy Awareness Gap): Existe una desconexión crítica. Los modelos logran una precisión casi perfecta (AUROC > 0.90) al clasificar internamente si un flujo de información es apropiado, pero frecuentemente fallan al actuar en consecuencia. En escenarios de comportamiento, los modelos filtraron información privada en hasta un 42.5% de los casos, a pesar de "saber" internamente que no deberían hacerlo.
3. Independencia de Subespacios: Los tres parámetros de CI (tipo de información, receptor, principio de transmisión) residen en subespacios funcionalmente independientes. La prueba de selectividad mostró que un subespacio optimizado para un parámetro (ej. Receptor) tiene una precisión cercana al 100% en su propia categoría pero cae al nivel de azar (~20%) cuando se proyecta sobre los otros parámetros.

4. Solución Propuesta: CI-Parametric Steering

Basándose en la estructura multidimensional descubierta, los autores proponen CI-Parametric Steering.

• Mecanismo: En lugar de un único vector de dirección, el método suma vectores unitarios normalizados ($v^{(p)}_l$) derivados de cada parámetro de CI (tipo, receptor, principio) a las activaciones del modelo durante la inferencia.
• Fórmula: $h'_l = h_l + \alpha \sum_{p \in P} v^{(p)}_l$, donde $P$ son los tres parámetros y $\alpha$ controla la fuerza de la dirección.
• Ventaja: Al intervenir independientemente en cada dimensión, el método puede adaptarse a violaciones que surgen de diferentes combinaciones de parámetros en distintos dominios, algo que los métodos monolíticos no logran.

5. Resultados Experimentales

Los experimentos se realizaron en datos sintéticos y dos benchmarks de privacidad contextual: CONFAIDE y PrivaCI-Bench.

• Rendimiento en Datos Sintéticos:
  • Sin dirección: Tasa de fuga del 42.5%.
  • Dirección Monolítica (Additive/LoRRA): Reducción parcial (hasta 16-21% de fuga).
  • CI-Parametric Steering: Redujo la fuga al 5.0% (PPI del 98.8%), eliminando casi por completo las violaciones.
• Generalización (Transferencia):
  • Los métodos monolíticos fallaron al transferirse a benchmarks externos (CONFAIDE y PrivaCI-Bench), a veces aumentando la fuga (ej. en Llama-3.1, la fuga aumentó al 64.7% con dirección monolítica).
  • CI-Parametric Steering mantuvo un rendimiento robusto, reduciendo la fuga a 0.0% en Llama-3.1 y Mistral en CONFAIDE, y a niveles mínimos en PrivaCI-Bench.
• Análisis de Ablación:
  • Dirigir solo un parámetro (ej. solo "Receptor") a menudo aumentó la fuga en comparación con el modelo base, demostrando que ninguna dimensión individual es suficiente. Solo la combinación de los tres ejes logra la protección completa.
• Estabilidad: El método propuesto es menos sensible a la hiperparametrización de la fuerza de dirección ($\alpha$) en comparación con los métodos monolíticos, ofreciendo un comportamiento más predecible.

6. Significado y Contribuciones

Este trabajo es el primero en demostrar sistemáticamente que:

1. La privacidad contextual es una estructura latente multidimensional alineada con la teoría de la Integridad Contextual, no un concepto monolítico.
2. Existe una brecha universal de conciencia: los LLMs poseen una representación interna precisa de las normas de privacidad, pero fallan en traducirla a comportamiento debido a la falta de alineación entre la representación y la generación.
3. La dirección paramétrica (CI-Parametric Steering) es una solución superior a los enfoques existentes. Al explotar la estructura composicional de la privacidad, permite un control más fiable y generalizable, superando las limitaciones de los métodos de fine-tuning o dirección monolítica.

Conclusión: El artículo sugiere que las fallas de privacidad en los LLMs no se deben a una falta de "conciencia" interna, sino a una desalineación entre la representación y la acción. Aprovechar la estructura multidimensional de estas representaciones es clave para desplegar LLMs seguros y respetuosos con la privacidad en el mundo real.