Defense Against Prompt Inversion Attacks: An Information-Theoretic Approach for LLM Collaborative Inference

Resumen Técnico: Defensa contra Ataques de Inversión de Prompts mediante Inferencia Colaborativa de Información Teórica

Planteamiento del Problema
La inferencia colaborativa entre el borde (edge) y la nube permite que dispositivos con recursos limitados aprovechen los Modelos de Lenguaje de Gran Escala (LLMs) ejecutando las capas iniciales localmente y delegando las activaciones intermedias a un servidor en la nube. Sin embargo, esta arquitectura expone los prompts sensibles del usuario a ataques de inversión de prompts, donde los adversarios reconstruyen la entrada original a partir de las representaciones compartidas. Las defensas existentes, como la inyección de ruido heurístico o la reducción de dimensionalidad, carecen de garantías teóricas de principio respecto a la filtración de privacidad y a menudo no logran abordar la tensión fundamental entre preservar la utilidad de la tarea y proteger la identidad de los tokens. Además, trabajos previos han demostrado que la identidad del token persiste a través de todas las capas del transformer, lo que invalida la eficacia de una simple ofuscación basada en la profundidad.

Metodología
Los autores proponen un marco de defensa de información teórica que modela la filtración de privacidad como la información mutua (MI) entre el prompt de entrada $x$ y las activaciones protegidas transmitidas $A$. La defensa se formula como un problema de optimización minimax:

1. Objetivo: Minimizar $I(A; x)$ (filtración de privacidad) mientras se maximiza $I(A; y)$ (utilidad para la predicción del siguiente token), sujeto a restricciones de latencia.
2. Arquitectura (Adaptadores de Privacidad): El mecanismo central consiste en insertar adaptadores de privacidad ligeros y entrenables entre las capas congeladas del transformer en el lado del cliente. A diferencia de los adaptadores tipo LoRA que añaden conexiones residuales, estos adaptadores implementan un cuello de botella de información estricto:
   • Comprimen las activaciones de una dimensión $d$ a un subespacio de baja dimensión $r$ ($r \ll d$) mediante una proyección descendente, una no linealidad y una proyección ascendente.
   • Crucialmente, reemplazan la activación en lugar de perturbarla de forma aditiva. Los autores demuestran teóricamente que las conexiones residuales inyectivas (comunes en otras defensas) no pueden reducir la información mutua, mientras que los cuellos de botella no inyectivos imponen una compresión con pérdida, reduciendo genuinamente la MI.
3. Optimización: El sistema emplea un esquema de entrenamiento alterno. Se entrena una red adversaria (un clasificador de tokens) para maximizar la precisión de la reconstrucción (minimizando la entropía cruzada), mientras que los adaptadores se actualizan para minimizar una pérdida combinada de la entropía cruzada del adversario y la perplejidad de la tarea de seguimiento. Esto estima y minimiza directamente un límite superior variacional de la MI.

Contribuciones Clave

1. Marco Minimax de Información Teórica: El artículo establece una defensa formal contra la inversión de prompts mediante la minimización explícita de la información mutua a través de un adversario aprendido, cerrando la brecha entre los límites teóricos de privacidad y la implementación práctica.
2. Adaptadores de Privacidad con Garantías Teóricas: Los autores introducen módulos adaptadores que imponen una compresión con pérdida. Proporcionan una prueba formal (Teorema 4.2) de que las defensas de estilo residual (mapeos inyectivos) no pueden reducir la información mutua, justificando la necesidad de su diseño de cuello de botella no inyectivo. También derivan límites sobre el error de reconstrucción en función de la dimensión del cuello de botella.
3. Análisis de Tokens Sensibles: El marco introduce una metodología para distinguir entre la recuperación de tokens sensibles (términos específicos de un dominio como condiciones médicas o entidades legales) y tokens estructurales comunes (palabras de parada, puntuación). La teoría predice y los experimentos confirman que el cuello de botella suprime desproporcionadamente los tokens de alta entropía (sensibles) mientras preserva los tokens de baja entropía (comunes) necesarios para la coherencia sintáctica.
4. Evaluación Exhaustiva: El método se valida en tres LLMs (LLaMA-2-7B/13B, Mistral-7B) y tres dominios (Médico, Legal, Reseñas de Aerolíneas) contra ataques de inversión de prompts basados en clasificación y basados en optimización.

Resultados Experimentales

• Compromiso Privacidad-Utilidad: El método logra una reducción significativa en las tasas de éxito de ataque. En varios entornos, reduce la recuperación de tokens sensibles entre un 15% y un 35% en comparación con las líneas base; las mejores configuraciones (por ejemplo, $\lambda=0.5$) muestran hasta una reducción de 35 puntos porcentuales en la precisión de los tokens sensibles respecto a los comunes.
• Comparación con Líneas Base: Los adaptadores propuestos superan a las defensas existentes, incluyendo el ruido Gaussiano/Laplace, PCA y métodos de reducción de fuga de información (NoPeek, en base a Fisher). Notablemente, los métodos basados en ruido suelen enfrentar un "acantilado de privacidad-utilidad" donde una privacidad fuerte destruye la utilidad (perplejidad), mientras que los adaptadores mantienen una perplejidad utilizable (por ejemplo, PPL < 100) mientras reducen significativamente la precisión del ataque.
• Eficiencia: El enfoque introduce una sobrecarga de latencia mínima (<9%) en dispositivos de borde (probado en Jetson Orin Nano) y añade un recuento de parámetros insignificante (<0.3% del modelo completo).
• Robustez: La defensa se generaliza a través de tipos de ataque; los atacantes "nuevos" entrenados desde cero sobre las activaciones protegidas logran tasas de éxito similares a las del adversario de entrenamiento, confirmando que la defensa no es simplemente ocultar la información de un modelo co-adaptado específico.

Significancia y Reivindicaciones
El artículo afirma proporcionar la primera defensa de privacidad de información teórica para la inferencia colaborativa de LLM bajo ataques de inversión de prompts. Su principal significancia radica en el cambio de paradigma de las perturbaciones heurísticas a una compresión con pérdida con principios que ofrece límites demostrables sobre el error de reconstrucción. Los autores argumentan que su enfoque demuestra que las transformaciones aprendidas y conscientes de la tarea son esenciales para la privacidad práctica en sistemas de inferencia LLM entre el borde y la nube, permitiendo que aplicaciones sensibles (salud, legal) utilicen LLMs sin exponer los prompts brutos del usuario. El trabajo establece que la protección de la privacidad no tiene por qué ser uniforme; al suprimir selectivamente los tokens de alta entropía, el sistema puede proteger el contenido sensible manteniendo la integridad estructural requerida para la inferencia posterior.