Résumé technique : Mémorisation involontaire d'informations sensibles dans les modèles de langage affinés

Définition du problème

Ce travail traite d'une vulnérabilité critique et sous-explorée des grands modèles de langage (LLM) : la mémorisation involontaire d'informations personnellement identifiables (PII) qui apparaissent exclusivement dans les entrées du modèle, mais pas dans les cibles d'entraînement.

Alors que les recherches antérieures se sont concentrées sur la mémorisation lors du pré-entraînement ou lors de tâches d'ajustement fin (fine-tuning) où les PII font partie de la sortie souhaitée (par exemple, la reconnaissance d'entités nommées), cette étude isole les scénarios où les données sensibles (telles que les noms de patients dans des dossiers médicaux) sont présentes uniquement dans le contexte d'entrée. Dans ces scénarios de type « entrée uniquement », la tâche en aval (par exemple, la classification de diagnostic ou la planification de suivi) ne nécessite pas que le modèle produise les PII. Néanmoins, les auteurs démontrent que l'ajustement fin (FT) sur de tels ensembles de données sensibles amène les modèles à intérioriser et, par la suite, à divulguer ces PII non pertinentes lorsqu'ils sont sollicités via des requêtes adverses.

Le modèle de menace suppose un environnement de type boîte noire où les adversaires ont accès au modèle via des requêtes API et possèdent une connaissance partielle de l'ensemble de données d'ajustement fin (par exemple, des dossiers de santé électroniques anonymisés), ce qui leur permet de concevoir des « Attaques par Préfixe Réel » (TPA - True-Prefix Attacks) pour extraire les jetons mémorisés.

Méthodologie

Configuration expérimentale

Les auteurs utilisent trois ensembles de données distincts pour évaluer la mémorisation à travers différentes complexités et domaines :

1. GretelAI-Financial : Un ensemble de données synthétiques multilingues (~30k échantillons, 7 langues) axé sur la classification de textes financiers.
2. Rapports de pathologie : 2 553 documents allemands résumant des analyses tumorales, annotés manuellement pour les PII.
3. Résumés de sortie (DS) : 26 306 rapports cliniques allemands utilisés pour une tâche de génération de plans de suivi, avec des PII identifiées via un pipeline multi-étapes (regex, détection par LLM, vérification manuelle).

Le principal vecteur d'attaque est l'Attaque par Préfixe Réel (TPA), où un adversaire fournit un préfixe issu des données d'entraînement précédant immédiatement un segment de PII. Le modèle est considéré comme ayant mémorisé la PII s'il prédit les jetons suivants avec une probabilité élevée. Une variante de l'Enhanced TPA ajoute le premier caractère de la PII au préfixe pour augmenter le succès de l'extraction.

Stratégies de mitigation

Quatre approches de préservation de la vie privée sont comparées pour évaluer leur capacité à réduire la fuite de PII tout en maintenant la performance de la tâche :

1. Confidentialité Différentielle (DP) : Intègre la DP $(\epsilon, \delta)$ dans l'ajustement fin QLoRA via Opacus, en introduisant du bruit dans les mises à jour de gradients pour limiter l'influence des échantillons individuels.
2. Apprentissage de l'oubli (UnDial) : Une méthode d'oubli ciblé basée sur l'auto-distillation. Elle supprime les logits pour des jetons PII spécifiques dans un sous-ensemble disjoint des données d'entraînement afin de les faire « oublier » sans déstabiliser le modèle.
3. Régularisation : Une variante d'UnDial intégrée directement dans la boucle d'ajustement fin, appliquant une fonction de perte focalisée uniquement sur les jetons PII pour décourager la mémorisation.
4. Optimisation de Préférence Directe (DPO) : Aligne les sorties du modèle avec les préférences de confidentialité en traitant le texte original contenant des PII comme des réponses « rejetées » et les versions masquées comme des réponses « préférées ».

Métriques d'évaluation

• Performance de la tâche : Exactitude (GretelAI), score F1 (Pathology) et BERTScore-F1 (DS).
• Mémorisation : Mesurée via les comptes d'extraction de PII sous décodage Greedy, Échantillonnage (32 exécutions, température 1.0) et Cross-mémorisation (comparaison des générations avec toutes les PII du même type dans l'ensemble de données).

Résultats clés

Caractéristiques de la mémorisation « entrée uniquement »

• Confiance accrue : Les modèles affinés présentent une confiance nettement plus élevée (log-vraisemblance négative plus faible) dans la prédiction des jetons PII par rapport aux modèles de base, même lorsque les PII sont non pertinentes pour la tâche.
• La fréquence est un mauvais prédicteur : Contrairement à l'hypothèse selon laquelle les jetons à haute fréquence sont plus susceptibles d'être mémorisés, l'étude trouve une corrélation faible ($R^2 = 0,237$) entre le nombre réel d'instances d'une PII dans l'ensemble d'entraînement et son extraction réussie. La mémorisation semble davantage dépendante du contexte textuel et de l'utilité de la tâche que de la fréquence brute.
• Dépendance linguistique : Les taux de mémorisation varient considérablement selon les langues. Dans un entraînement multilingue, l'anglais et l'espagnol ont présenté des taux d'extraction nettement plus élevés que l'allemand, l'italien et le suédois.
• Effets d'échelle : Les modèles plus grands (par exemple, 8B–12B de paramètres) montrent une capacité de base plus élevée à révéler les PII. Cependant, l'effet de l'ajustement fin sur la mémorisation n'est pas uniforme ; si les modèles plus petits (1B–3B) montrent une augmentation brutale de la fuite après le FT, les modèles plus grands montrent parfois une augmentation relative moindre des comptes d'extraction bruts, bien que le volume absolu de PII divulguées reste élevé.

Efficacité des stratégies de mitigation

• Méthodes post-entraînement (DPO, UnDial) : Ces méthodes offrent généralement les compromis vie privée-utilité les plus cohérents. Elles sont robustes aux variations d'hyperparamètres et moins gourmandes en ressources. Le DPO, en particulier, atteint une haute précision de tâche tout en réduisant considérablement la fuite, notamment lors des attaques par échantillonnage.
• Confidentialité Différentielle (DP) : La DP démontre un fort potentiel pour réduire la fuite dans des contextes spécifiques (par exemple, en réduisant la cross-mémorisation de plus de 60 % dans la tâche DS). Cependant, elle souffre d'instabilité d'entraînement, nécessite un réglage minutieux des hyperparamètres et dégrade souvent la performance de la tâche.
• Approches hybrides : Combiner la DP avec le DPO (DP-$\epsilon$6 + DPO) n'a pas produit le meilleur des deux mondes. Bien qu'elle ait préservé la force de la DP en décodage Greedy, elle n'a pas hérité de la robustesse du DPO contre les attaques par échantillonnage et a entraîné une performance de tâche légèrement inférieure au DPO seul.
• Échelle et confidentialité : À mesure que la taille du modèle augmente, l'efficacité de la DP pour prévenir la mémorisation diminue par rapport aux méthodes d'alignement post-entraînement. Le DPO s'avère nettement plus efficace pour les modèles plus grands (ex: 8B), réduisant considérablement la fuite tout en maintenant une performance quasi optimale.

Signification et revendications

L'article prétend être la première étude complète spécifiquement axée sur la mémorisation involontaire des PII où les données sensibles n'apparaissent que dans les entrées. Sa signification réside dans :

1. La révélation d'un risque caché : Démontrer que l'ajustement fin sur des données sensibles (comme des dossiers médicaux) crée un vecteur de fuite pour les PII même lorsque la sortie de la tâche ne les requiert pas, remettant en question l'hypothèse selon laquelle les données non pertinentes pour la tâche sont sûres.
2. Un étalonnage empirique : Fournir une comparaison systématique de quatre stratégies de mitigation majeures, soulignant que si aucune méthode n'élimine totalement la fuite, l'alignement post-entraînement (DPO) et l'apprentissage de l'oubli (UnDial) offrent actuellement des compromis plus stables et plus efficaces que la confidentialité différentielle dans de nombreux scénarios.
3. Des conseils pratiques : Les conclusions suggèrent que pour déployer des LLM affinés dans des domaines sensibles (ex: santé), se fier uniquement à l'ajustement fin standard est insuffisant. Les techniques de préservation de la vie privée doivent être explicitement intégrées, avec une préférence pour les méthodes d'alignement post-entraînement robustes ou une DP soigneusement ajustée, tout en reconnaissant le compromis persistant entre utilité et confidentialité.

Les auteurs concluent que bien que les méthodes actuelles offrent des améliorations, une marge de progression substantielle subsiste, et que le risque persistant de mémorisation nécessite des techniques de préservation de la vie privée robustes et évolutives avant de déployer des modèles dans des contextes sensibles.