💬 NLP

Privacy-Aware Decoding: Mitigating Privacy Leakage of Large Language Models in Retrieval-Augmented Generation

यह शोधपत्र प्राइवेसी-अवेयर डिकोडिंग (PAD) को प्रस्तुत करता है, जो एक हल्का, मॉडल-एग्नोस्टिक इन्फरेंस-टाइम डिफेंस है जो रिट्रीवल-ऑगमेंटेड जनरेशन सिस्टम में प्राइवेसी लीकेज को कम करने के लिए टोकन लॉजिट्स में कैलिब्रेटेड गॉसियन नॉइज़ को एडेप्टिवली इंजेक्ट करता है और साथ ही कठोर डिफरेंशियल प्राइवेसी गारंटी प्रदान करता है और रिस्पॉन्स यूटिलिटी को बनाए रखता है।

मूल लेखक: Haoran Wang, Xiongxiao Xu, Baixiang Huang, Kai Shu

प्रकाशित 2026-06-03

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Haoran Wang, Xiongxiao Xu, Baixiang Huang, Kai Shu

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ "प्राइवेसी-अवेयर डिकोडिंग" (Privacy-Aware Decoding) पेपर का सरल भाषा और रचनात्मक उपमाओं के साथ विवरण दिया गया है।

समस्या: "ज़्यादा बताने वाला" लाइब्रेरियन

कल्पना कीजिए कि आपके पास एक बहुत ही बुद्धिमान लाइब्रेरियन (AI) है जिसने लाखों किताबें पढ़ी हैं। कभी-कभी, लोग लाइब्रेरियन से ऐसे सवाल पूछते हैं जो किताबों में नहीं होते, इसलिए लाइब्रेरियन जवाब खोजने के लिए एक विशेष, प्रतिबंधित आर्काइव (रिट्रीवल या खोज वाला हिस्सा) में जाता है।

इस आर्काइव में संवेदनशील, निजी कहानियाँ होती हैं—जैसे किसी मरीज़ का मेडिकल इतिहास या कोई निजी ईमेल। लक्ष्य यह है कि लाइब्रेरियन इन कहानियों का उपयोग एक मददगार जवाब देने के लिए करे, लेकिन गलती से उन निजी हिस्सों को पूरे कमरे के सामने ज़ोर से न पढ़ दे।

समस्या यह है कि कभी-कभी लाइब्रेरियन बहुत अधिक उत्साहित या आत्मविश्वासी हो जाता है और गलती से उस निजी कहानी को शब्द-दर-शब्द दोहरा देता है। इसे प्राइवेसी लीक (privacy leak) कहा जाता है। इसे ठीक करने के पिछले प्रयास पूरी लाइब्रेरी के कैटलॉग को फिर से लिखने या लाइब्रेरियन को चीज़ें भूलने के लिए प्रशिक्षित करने जैसे थे, जो धीमा, महंगा और अक्सर जवाबों की गुणवत्ता को खराब कर देता है।

समाधान: "स्मार्ट नॉइज़" (Smart Noise) फ़िल्टर

लेखक एक नई विधि प्रस्तावित करते हैं जिसे प्राइवेसी-अवेयर डिकोडिंग (PAD) कहा जाता है। लाइब्रेरियन के प्रशिक्षण या लाइब्रेरी की किताबों को बदलने के बजाय, वे बोलते समय लाइब्रेरियन के मुँह पर एक स्मार्ट फ़िल्टर लगा देते हैं।

AI की विचार प्रक्रिया को एक शेफ द्वारा सूप के लिए सामग्री चुनने के रूप में सोचें। AI सभी संभावित शब्दों (सामग्रियों) को देखता है और सबसे अच्छा विकल्प चुनता है। PAD एक सीज़निंग मास्टर (मसाला विशेषज्ञ) की तरह कार्य करता है जो शेफ के निर्णय लेने की प्रक्रिया में ज़रूरत पड़ने पर "भ्रम" (शोर/noise) का एक चुटकी छिड़क देता है।

यह "सीज़निंग" तीन सरल चरणों में कैसे काम करती है:

1. "कॉन्फिडेंस चेक" (स्क्रीनिंग)

फ़िल्टर पहले पूछता है: "क्या लाइब्रेरियन इस अगले शब्द के बारे में 100% सुनिश्चित है?"

यदि उत्तर हाँ है (उच्च आत्मविश्वास): तो लाइब्रेरियन संभवतः कुछ सामान्य और सुरक्षित बोल रहा है (जैसे "आसमान नीला है")। फ़िल्टर कहता है, "बहुत बढ़िया, इसमें छेड़छाड़ की ज़रूरत नहीं है।" यह शब्द को वैसे ही छोड़ देता है ताकि उत्तर स्पष्ट और उपयोगी बना रहे।
यदि उत्तर नहीं है (कम आत्मविश्वास/अनिश्चितता): तो लाइब्रेरियन हिचकिचा रहा है। यह एक खतरनाक क्षेत्र है क्योंकि वह खाली जगह भरने के लिए आर्काइव से कोई विशिष्ट, निजी विवरण निकालने वाला हो सकता है। फ़िल्टर कहता है, "रुको! हमें इसे उलझाना (scramble) होगा।"

2. "स्मार्ट नॉइज़" का इंजेक्शन

जब फ़िल्टर किसी जोखिम भरे क्षण का पता लगाता है, तो वह केवल रैंडम शोर (static) नहीं जोड़ता। यह एडेप्टिव नॉइज़ (अनुकूलित शोर) का उपयोग करता है।

उपमा: कल्पना कीजिए कि आप एक रहस्य फुसफुसाने की कोशिश कर रहे हैं। यदि आप एक सामान्य वाक्यांश फुसफुसा रहे हैं, तो आप स्पष्ट रूप से बोलते हैं। लेकिन यदि आप किसी विशिष्ट नाम को फुसफुसाने वाले हैं जिसे सुना नहीं जाना चाहिए, तो आप अचानक बुदबुदाने लगते हैं या एक कोड में बोलने लगते हैं जिसे केवल सुनने वाला (AI) समझ सकता है, लेकिन एक जासूस (attacker) नहीं समझ सकता।
फ़िल्टर जोखिम भरे शब्दों में बस इतना "स्टैटिक" जोड़ता है जिससे निजी विवरण धुंधले हो जाएं, लेकिन इतना भी नहीं कि वाक्य निरर्थक हो जाए।

3. "प्राइवेसी स्कोरकार्ड" (RDP अकाउंटिंग)

हमें कैसे पता चलेगा कि फ़िल्टर वास्तव में काम कर रहा है? सिस्टम एक प्राइवेसी स्कोरकार्ड (जिसे रेनी डिफरेंशियल प्राइवेसी कहा जाता है) रखता है।

इसे एक बैंक स्टेटमेंट की तरह समझें। हर बार जब फ़िल्टर एक गुप्त बात को सुरक्षित करने के लिए "शोर" जोड़ता है, तो यह "प्राइवेसी बजट" में से एक छोटी सी राशि काट लेता है।
बातचीत के अंत में, सिस्टम आपको बताता है कि कितना प्राइवेसी बजट खर्च किया गया और गारंटी देता है कि आपकी निजी जानकारी एक विशिष्ट गणितीय सीमा के भीतर सुरक्षित है। यह साबित करता है, "हमने यह सुनिश्चित करने के लिए कि आपका रहस्य लीक न हो, X मात्रा में प्राइवेसी बजट खर्च किया।"

यह पुराने तरीकों से बेहतर क्यों है?

पुराना तरीका (रीट्रेनिंग): लाइब्रेरियन को कभी भी निजी चीज़ें याद न रखने के लिए सिखाना। इसमें वर्षों लग जाते हैं और इससे लाइब्रेरियन उपयोगी चीज़ें भी भूल जाता है।
पुराना तरीका (स्टैटिक नॉइज़): लाइब्रेरियन द्वारा बोले जाने वाले हर शब्द में स्टैटिक जोड़ना। इससे पूरी बातचीत एक खराब रेडियो कनेक्शन की तरह सुनाई देती है, भले ही वह सुरक्षित विषयों पर बात कर रहा हो।
PAD (नया तरीका): यह एक स्पॉटलाइट की तरह है। यह केवल उन्हीं विशिष्ट शब्दों पर "भ्रम की रोशनी" डालता है जो जोखिम भरे हैं। बाकी की बातचीत स्पष्ट, स्वाभाविक और मददगार बनी रहती है।

परिणाम

लेखकों ने वास्तविक दुनिया के परिदृश्यों, जैसे चिकित्सा सलाह और ईमेल आर्काइव पर इसका परीक्षण किया। उन्होंने पाया कि:

कम लीकेज: AI ने पहले की तुलना में निजी विवरणों (जैसे विशिष्ट चिकित्सा स्थितियों या ईमेल पते) को दोहराना बहुत कम कर दिया।
अभी भी उपयोगी: AI द्वारा दिए गए उत्तर अभी भी उच्च गुणवत्ता वाले और समझने में आसान थे। "शोर" ने सूप को खराब नहीं किया; इसने केवल ज़हर को हटाया।
तेज़ और आसान: यह AI के बोलते समय तुरंत काम करता है। आपको मॉडल को फिर से प्रशिक्षित करने या डेटाबेस को बदलने की आवश्यकता नहीं है।

सारांश

प्राइवेसी-अवेयर डिकोडिंग एक सुरक्षा स्विच है जो केवल तभी चालू होता है जब AI कुछ जोखिम भरा बोलने वाला होता है। यह निजी रहस्यों को छिपाने के लिए बस पर्याप्त "धुंध" (fuzz) जोड़ता है, जबकि बाकी की बातचीत को एकदम स्पष्ट रखता है, जिससे यह सुनिश्चित होता है कि AI मददगार बना रहे बिना प्राइवेसी के खतरे के।

तकनीकी सारांश: प्राइवेसी-अवेयर डिकोडिंग (PAD)

समस्या की परिभाषा

रिट्रीवल-ऑगमेंटेड जनरेशन (RAG) बाहरी ज्ञान स्रोतों पर आउटपुट को आधारित करके लार्ज लैंग्वेज मॉडल्स (LLMs) की क्षमताओं को बढ़ाता है। हालाँकि, जब रिट्रीव किया गया कॉर्पस निजी या संवेदनशील डेटा से भरा होता है, तो RAG सिस्टम 'एक्सट्रैक्शन अटैक्स' (extraction attacks) के प्रति संवेदनशील हो जाते हैं। हमलावर ऐसे प्रॉम्प्ट तैयार कर सकते हैं जो मॉडल को रिट्रीव किए गए दस्तावेजों से शब्दशः (verbatim) टेक्स्ट या व्यक्तिगत पहचान योग्य जानकारी (PII) को सीधे लीक करने के लिए मजबूर कर दें।

मौजूदा शमन रणनीतियाँ (mitigation strategies) दो प्राथमिक सीमाओं का सामना करती हैं:

डिकोडिंग भेद्यता (Decoding Vulnerability): भले ही निजी रिट्रीवल मैकेनिज्म का उपयोग किया जाए, डिकोडिंग चरण (जनरेशन) एक लीकेज चैनल के रूप में कार्य कर सकता है। लो-टेम्परेचर या ग्रीडी डिकोडिंग रणनीतियाँ अक्सर LLMs को संवेदनशील सामग्री को शब्दशः उत्सर्जित करने के लिए प्रेरित करती हैं, जिससे अपस्ट्रीम सुरक्षा उपायों का उल्लंघन होता है।
स्केलेबिलिटी और व्यावहारिकता: स्ट्रॉन्ग डिफरेंशियल प्राइवेसी (DP) विधियाँ जैसे कि डिफरेंशियल प्राइवेसी स्टोकेस्टिक ग्रेडिएंट डिसेंट (DP-SGD), महत्वपूर्ण रिट्रेनिंग की मांग करती हैं, जो बड़े, प्री-ट्रेन्ड LLMs के लिए अव्यवहारिक हैं। अन्य दृष्टिकोणों के लिए अक्सर रिट्रीवल इंफ्रास्ट्रक्चर या कॉर्पस फ़िल्टरिंग में संशोधन की आवश्यकता होती है।

एक ऐसे मॉडल-एग्नोस्टिक (model-agnostic) समाधान की आवश्यकता है, जो रिट्रेनिंग या रिट्रीवल पाइपलाइन को बदले बिना, इन्फरेंस-टाइम पर प्राइवेसी लीकेज को कम कर सके।

कार्यप्रणाली: प्राइवेसी-अवेयर डिकोडिंग (PAD)

लेखक प्राइवेसी-अवेयर डिकोडिंग (PAD) का प्रस्ताव करते हैं, जो एक लाइटवेट, इन्फरेंस-टाइम मैकेनिज्म है जो जनरेशन के दौरान टोकन लॉजिट्स (logits) में कैलिब्रेटेड गॉसियन नॉइज़ (Gaussian noise) को एडैप्टिव तरीके से इंजेक्ट करता है। PAD पूरी तरह से डिकोडिंग चरण पर कार्य करता है और मॉडल-एग्नोस्टिक है।

यह फ्रेमवर्क चार मुख्य घटकों से बना है:

1. लॉजिट क्लिपिंग और सेंसिटिविटी बाउंडिंग

डिफरेंशियल प्राइवेसी के लिए आवश्यक एक नियत सेंसिटिविटी बाउंड स्थापित करने के लिए, PAD पहले $L_2$ लॉजिट क्लिपिंग लागू करता है। एक निश्चित रेडियस $C$ के लिए, लॉजिट्स $\mathbf{s}_t$ को $\bar{\mathbf{s}}_t$ में क्लिप किया जाता है:
$\bar{\mathbf{s}}_t = \mathbf{s}_t \cdot \min\left(1, \frac{C}{\|\mathbf{s}_t\|_2}\right)$
यह सुनिश्चित करता है कि किसी भी दो पड़ोसी रिट्रीवल कॉन्टेक्स्ट के लिए, क्लिप्ड लॉजिट्स के बीच का अंतर $\Delta = 2C$ द्वारा सीमित है, जो गॉसियन मैकेनिज्म के लिए एक निश्चित सेंसिटिविटी प्रदान करता है।

2. कॉन्फिडेंस-आधारित स्क्रीनिंग

PAD शोर (noise) को समान रूप से लागू नहीं करता है। इसके बजाय, यह हाई-रिस्क टोकन्स की पहचान करने के लिए एक स्क्रीनिंग मैकेनिज्म का उपयोग करता है। एक टोकन को हाई-रिस्क माना जाता है यदि:

मॉडल का कॉन्फिडेंस (अधिकतम सॉफ्टमैक्स प्रोबेबिलिटी) थ्रेशोल्ड $\tau_{conf}$ से कम हो।
लॉजिट मार्जिन (शीर्ष दो लॉजिट्स के बीच का अंतर) थ्रेशोल्ड $\tau_{margin}$ से कम हो।

इन मानदंडों को पूरा करने वाले टोकन्स को बढ़ी हुई सुरक्षा के लिए चिह्नित किया जाता है; कॉन्फिडेंट प्रेडिक्शन्स को यूटिलिटी बनाए रखने के लिए न्यूनतम शोर प्राप्त होता है।

3. एडैप्टिव नॉइज़ कैलिब्रेशन

हाई-रिस्क टोकन्स के लिए, PAD गॉसियन नॉइज़ $\mathcal{N}(0, \sigma_t^2 \mathbf{I})$ इंजेक्ट करता है जहाँ स्केल $\sigma_t$ तीन कारकों के आधार पर डायनामिकली कैलिब्रेट किया जाता है:

रिस्क-एडैप्टिव स्केल ( $r_t$ ): इसे लॉजिट मार्जिन द्वारा नियंत्रित किया जाता है। छोटे मार्जिन (उच्च अनिश्चितता) के परिणामस्वरूप बड़े नॉइज़ स्केल होते हैं।
कॉन्टेक्स्ट-अवेयर कैलिब्रेशन: नॉइज़ स्केल को आगे बढ़ाया जाता है:
- टोकन एंट्रॉपी: उच्च एंट्रॉपी (अनिश्चितता) शोर को बढ़ाती है।
- पोजीशन फैक्टर: सीक्वेंस के शुरुआती टोकन्स अधिक शोर प्राप्त करते हैं ताकि एरर प्रोपेगेशन को रोका जा सके।
- कॉन्फिडेंस फैक्टर: कम कॉन्फिडेंस शोर को बढ़ाता है।
एम्प्लीफिकेशन फैक्टर ( $\lambda_{amp}$ ): प्राइवेसी-यूटिलिटी ट्रेड-ऑफ को ट्यून करने के लिए एक ग्लोबल पैरामीटर।

अंतिम नॉइज़ स्केल की गणना इस प्रकार की जाती है:
$\sigma_t = \sigma_{base} \cdot \text{calibrate}(\mathbf{p}_t, t) \cdot r_t \cdot \lambda_{amp}$

4. रेनी डिफरेंशियल प्राइवेसी (RDP) अकाउंटिंग

PAD संचयी प्राइवेसी लॉस (cumulative privacy loss) को ट्रैक करने के लिए एक रेनी डिफरेंशियल प्राइवेसी अकाउंटेंट का उपयोग करता है। क्योंकि नॉइज़ स्केल $\sigma_t$ डेटा-डिपेंडेंट (अनुकूलनीय) है, रिपोर्ट किया गया $(\varepsilon, \delta)$ गारंटी वास्तविक नॉइज़ शेड्यूल के विशिष्ट है। फ्रेमवर्क एक $\gamma$ -रिलैक्सेशन का उपयोग करता है, जो केवल हाई-रिस्क के रूप में पहचाने गए टोकन्स के अंश $\gamma$ के लिए औपचारिक DP गारंटी प्रदान करता है, जबकि कम-रिस्क टोकन्स को जनरेशन क्वालिटी बनाए रखने के लिए बिना सुरक्षा के छोड़ देता है।

मुख्य योगदान

PAD फ्रेमवर्क: विशेष रूप से RAG के लिए डिज़ाइन किया गया पहला डिकोडिंग-टाइम प्राइवेसी प्रोटेक्शन मैकेनिज्म, जिसमें रिट्रेनिंग या रिट्रीवल इंफ्रास्ट्रक्चर में बदलाव की आवश्यकता नहीं है।
एडैप्टिव नॉइज़ मैकेनिज्म: एक अभिनव दृष्टिकोण जो कॉन्फिडेंस-आधारित स्क्रीनिंग और कॉन्टेक्स्ट-अवेयर कैलिब्रेशन का उपयोग करके हाई-रिस्क टोकन्स को लक्षित करता है, जिससे प्राइवेसी प्रोटेक्शन और जनरेशन यूटिलिटी के बीच संतुलन बनता है।
स्पष्ट प्राइवेसी अकाउंटिंग: एक RDP-आधारित अकाउंटेंट जो डेटा-डिपेंडेंट नॉइज़ शेड्यूल के तहत संरक्षित टोकन्स के लिए रिस्पॉन्स-लेवल $(\varepsilon, \delta)$ प्राइवेसी गारंटी रिपोर्ट करता है।
अनुभवजन्य सत्यापन (Empirical Validation): व्यापक मूल्यांकन जो प्रदर्शित करता है कि PAD विविध डेटासेट्स और मॉडल्स पर जनरेशन यूटिलिटी को बनाए रखते हुए प्राइवेसी लीकेज को कम करता है।

प्रयोगात्मक परिणाम

लेखकों ने तीन वास्तविक दुनिया के डेटासेट्स पर PAD का मूल्यांकन किया: HealthCareMagic, ChatDoctor-iCliniq (मेडिकल डायलॉग्स), और Enron Mail। प्रयोग Pythia-6.9B और Llama2-7B मॉडल्स का उपयोग करके ब्लैक-बॉक्स एक्सट्रैक्शन अटैक्स के विरुद्ध किए गए।

मुख्य निष्कर्ष:

प्राइवेसी मिटिगेशन: PAD ने निजी सूचना के रिसाव को काफी कम कर दिया। Pythia-6.9B के साथ HealthCareMagic डेटासेट पर, PAD ने "Repeat Prompt" लीकेज (रिट्रीव किए गए टेक्स्ट का शब्दशः पुनरुत्पादन) को 264 से घटाकर 127 (51.9% की कमी) और ROUGE-आधारित लीकेज को 49.6% कम कर दिया।
यूटिलिटी प्रिजर्वेशन: अन्य बेसलाइन्स के विपरीत जो जनरेशन क्वालिटी को खराब करते हैं, PAD ने पर्सप्लेक्सिटी (PPL) को बनाए रखा या सुधारा। उदाहरण के लिए, HealthCareMagic पर, PAD ने लीकेज बेसलाइन के 10.94 की तुलना में 9.88 का PPL प्राप्त किया।
बेसलाइन्स के साथ तुलना: PAD ने प्राइवेसी-यूटिलिटी ट्रेड-ऑफ में मौजूदा रिट्रीवल-आधारित डिफेन्स (Summarization, Set Distance Threshold) और पोस्ट-प्रोसेसिंग मेथड्स (Static Noise Injection) को पछाड़ दिया।
एब्लेशन स्टडीज (Ablation Studies): रिस्क-एडैप्टिव या कॉन्टेक्स्ट-अवेयर कैलिब्रेशन घटकों को हटाने से प्राइवेसी लीकेज में मापने योग्य वृद्धि हुई, जो एडैप्टिव घटकों की आवश्यकता की पुष्टि करती है।
पैरामीटर सेंसिटिविटी: अध्ययन ने प्राइवेसी और यूटिलिटी को संतुलित करने के लिए एक इष्टतम एम्प्लीफिकेशन फैक्टर रेंज (3.0–5.0) की पहचान की। बहुत कम $\varepsilon$ मान (जैसे 0.01) ने लीकेज को समाप्त कर दिया लेकिन उच्च पर्सप्लेक्सिटी के कारण आउटपुट को अनुपयोगी बना दिया।

महत्व और दावे

यह पेपर PAD को RAG में डिकोडिंग रणनीतियों के माध्यम से प्राइवेसी जोखिमों को कम करने की दिशा में एक महत्वपूर्ण कदम के रूप में प्रस्तुत करता है। लेखक दावा करते हैं कि PAD संवेदनशील डोमेन (जैसे स्वास्थ्य सेवा) के लिए एक यूनिवर्सल और स्केलेबल समाधान प्रदान करता है क्योंकि यह:

बिना रिट्रेनिंग के पूरी तरह से इन्फरेंस-टाइम पर कार्य करता है।
मॉडल-एग्नोस्टिक है और मौजूदा रिट्रीवल पाइपलाइन्स के साथ संगत है।
स्पष्ट, प्रति-रिस्पॉन्स प्राइवेसी अकाउंटिंग प्रदान करता है।

कार्य अपनी सीमाओं को स्वीकार करता है, यह नोट करते हुए कि वर्तमान $\gamma$ -रिलैक्स्ड गारंटी केवल टोकन्स के एक उपसमूह की रक्षा करती है और रिपोर्ट की गई प्राइवेसी अकाउंटिंग डेटा-डिपेंडेंट नॉइज़ शेड्यूल पर आधारित है, न कि वर्स्ट-केस (worst-case), इनपुट-स्वतंत्र बाउंड पर। लेखक सुझाव देते हैं कि भविष्य के कार्यों में रिट्रीवल और ट्रेनिंग डिफेन्स के संयुक्त अनुकूलन की खोज की जानी चाहिए और फ्रेमवर्क को मल्टीमॉडल RAG सेटिंग्स तक विस्तारित किया जाना चाहिए।