PATCH: Mitigating PII Leakage in Language Models with Privacy-Aware Targeted Circuit PatcHing

यहाँ शोध पत्र "Mitigating PII Leakage in Language Models with Privacy-Aware Targeted Circuit PatcHing (PATCH)" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

वास्तविक दुनिया के डेटा पर प्रशिक्षित बड़े भाषा मॉडल (LLMs) अक्सर व्यक्तिगत पहचान योग्य जानकारी (PII), जैसे कि नाम, स्थान और जाति को याद कर लेते हैं। यह एक महत्वपूर्ण गोपनीयता जोखिम पैदा करता है जहाँ ब्लैक-बॉक्स एक्सेस वाले हमलावर इन संवेदनशील सूचनाओं को अनुमान हमलों (inference attacks) के माध्यम से निकाल सकते हैं।

मौजूदा रक्षा तंत्र गंभीर सीमाओं से ग्रस्त हैं:

• डेटा स्क्रबिंग (Data Scrubbing): प्रशिक्षण से पहले PII को हटाना महंगा है, अक्सर अधूरा होता है, और इससे हमलावर सहायक जानकारी के माध्यम से विशेषताओं का अनुमान लगा सकते हैं।
• डिफरेंशियल प्राइवेसी (DP): हालांकि यह औपचारिक गारंटी प्रदान करता है, DP मॉडल की उपयोगिता (प्रदर्शन) को काफी कम कर देता है, जिससे मॉडल व्यावहारिक कार्यों के लिए अनुपयोगी हो जाता है।
• पोस्ट-ट्रेनिंग एडिटिंग (न्यूरॉन/वेक्टर): विशिष्ट न्यूरॉन्स को संपादित करने या स्टीयरिंग वेक्टर्स का उपयोग करने के पिछले प्रयासों ने खराब गोपनीयता-उपयोगिता संतुलन दिखाया है और वे अनजाने में अन्य प्रकार के PII के रिसाव को बढ़ा सकते हैं।

मुख्य चुनौती यह है कि मॉडल की सामान्य उपयोगिता से समझौता किए बिना या नई कमजोरियां पैदा किए बिना PII रिसाव को प्रभावी ढंग से कैसे कम किया जाए।

2. कार्यप्रणाली: PATCH (Methodology: PATCH)

लेखक PATCH (Privacy-Aware Targeted Circuit PatcHing) का प्रस्ताव करते हैं, जो मैकेनिस्टिक इंटरप्रिटेबिलिटी (mechanistic interpretability) पर आधारित एक नवीन दृष्टिकोण है। मॉडल को ब्लैक बॉक्स के रूप में मानने या वैश्विक शोर (global noise) लागू करने के बजाय, PATCH उन विशिष्ट आंतरिक कम्प्यूटेशनल सर्किटों की पहचान करता है और उन्हें सीधे संपादित करता है जो PII रिसाव के लिए जिम्मेदार हैं।

यह प्रक्रिया छह चरणों का पालन करती है (एल्गोरिदम 1 में विस्तृत):

1. सर्किट डिस्कवरी के लिए प्रॉम्प्ट जनरेशन (Prompt Generation for Circuit Discovery):

   • सिस्टम "क्लीन" प्रॉम्प्ट्स (जिनमें मूल PII शामिल है) और "करप्टेड" प्रॉम्प्ट्स (जहाँ PII को अर्थपूर्ण समान विकल्पों से बदल दिया गया है, जैसे "Berlin" को "New York" में बदलना) के जोड़े बनाता है।
   • यह विशिष्ट PII प्रकारों (नाम, स्थान, जाति) के लिए एक निजी डेटासेट (यूरोपीय मानवाधिकार न्यायालय डेटासेट) का उपयोग करके किया जाता है।

2. सर्किट निष्कर्षण (Circuit Extraction: EAP-IG):

   • लेखक सर्किटों की खोज के लिए एज एट्रिब्यूशन पैचिंग विद इंटीग्रेटेड ग्रेडिएंट्स (EAP-IG) का उपयोग करते हैं।
   • EAP-IG प्रत्येक अटेंशन हेड और कनेक्शन (एज) के लिए दो गुणों को मापने के लिए क्लीन बनाम करप्टेड प्रॉम्प्ट्स पर मॉडल के व्यवहार की तुलना करता है:
     1. PII टोकन भ्रष्टाचार (corruption) के प्रति संवेदनशीलता।
     2. PII मानों की सही भविष्यवाणी करने के लिए महत्व।
   • उच्च स्कोर प्राप्त करने वाले घटकों को "PII लीकेज सर्किट" के रूप में पहचाना जाता है।

3. थ्रेशोल्डिंग और एज चयन (Thresholding and Edge Selection):

   • प्रत्येक PII प्रकार के लिए, सिस्टम एडजेस के महत्व स्कोर के आधार पर एक थ्रेशोल्ड (जैसे 95वीं या 99वीं पर्सेंटाइल) की गणना करता है।
   • केवल वे एडजेस जो इस थ्रेशोल्ड से अधिक हैं, उन्हें महत्वपूर्ण लीकेज पथ ($E_{high}$) के रूप में चुना जाता है।

4. साझा एडजेस की पहचान (Identification of Shared Edges):

   • PII प्रकारों को स्वतंत्र रूप से मानने के बजाय, PATCH सभी PII प्रकारों में उच्च-स्कोरिंग एडजेस के प्रतिच्छेदन (intersection) की गणना करता है ($E_{shared}$)।
   • यह धारणा है कि PII रिसाव ट्रांसफार्मर आर्किटेक्चर के भीतर सामान्य कम्प्यूटेशनल पथों पर निर्भर करता है।

5. सर्किट पैचिंग (मॉडल एडिटिंग) (Circuit Patching: Model Editing):

   • पहचाने गए साझा एडजेस को मॉडल एडिटिंग तंत्रों का उपयोग करके "पैच" किया जाता है। लेखक दो रणनीतियों का परीक्षण करते हैं:
     • जीरो एब्लेशन (Zero Ablation): एज वेट्स को शून्य पर सेट करना।
     • मीन एब्लेशन (Mean Ablation): एज वेट्स को उनके औसत मानों से बदलना।
   • यह प्रभावी रूप से मॉडल को पुनरप्रशिक्षित (retrain) किए बिना PII से संबंधित सूचना के प्रवाह को रोकता है।

3. मुख्य योगदान (Key Contributions)

1. नवीन लक्षित संपादन विधि: PATCH का परिचय, जो DP और न्यूरॉन एडिटिंग जैसे मौजूदा रक्षा तंत्रों की तुलना में बेहतर गोपनीयता-उपयोगिता संतुलन प्राप्त करता है।
2. सर्किट लक्षण वर्णन (Circuit Characterization): अध्ययन PII रिसाव के लिए जिम्मेदार विशिष्ट अटेंशन हेड्स और एडजेस की पहचान और लक्षण वर्णन करता है। यह प्रकट करता है कि जबकि विभिन्न PII प्रकारों के विशिष्ट पथ होते हैं, विभिन्न PII श्रेणियों के बीच महत्वपूर्ण साझा कम्प्यूटेशनल सर्किट मौजूद हैं।
3. मजबूती का सत्यापन (Robustness Validation): व्यापक एब्लेशन अध्ययन प्रदर्शित करते हैं कि PATCH विभिन्न मॉडल आर्किटेक्चर (GPT-2, Llama-3, Qwen), आकार और हाइपरपैरामीटर सेटिंग्स में मजबूत है।
4. हाइब्रिड डिफेंस: यह प्रदर्शित करना कि PATCH को डिफरेंशियल प्राइवेसी (DP) के साथ जोड़ा जा सकता है ताकि PII रिकॉल को लगभग शून्य स्तर (0.01%) तक कम किया जा सके और DP के साथ जुड़े उपयोगिता नुकसान को कम किया जा सके।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने ECHR डेटासेट का उपयोग करके 117M से 1.7B पैरामीटर्स वाले मॉडलों (GPT-2 वेरिएंट, Llama-3.2, Qwen3) पर PATCH का मूल्यांकन किया।

• गोपनीयता में सुधार:
  • PATCH-Baseline: गैर-निजी मॉडलों पर लागू होने पर, इसने PII निष्कर्षण रिकॉल को 80%–86% कम कर दिया (उदाहरण के लिए, GPT2-Medium रिकॉल 8.5% से गिरकर 1.2% हो गया) और प्रिसिजन को 40%–90% कम कर दिया, जिसका उपयोगिता पर न्यूनतम प्रभाव पड़ा।
  • PATCH-DP: जब इसे DP ($\epsilon=8$) के साथ जोड़ा गया, तो सभी मॉडलों में रिकॉल < 0.5% रह गया।
• उपयोगिता संरक्षण:
  • DP के विपरीत, जिसके कारण पर्प्लेक्सिटी (perplexity) 1.5x से 7.9x बढ़ जाती है, PATCH-Baseline ने अधिकांश मॉडलों के लिए बेसलाइन के 1 पॉइंट के भीतर पर्प्लेक्सिटी बनाए रखी।
  • विश्वसनीयता (Faithfulness): खोजे गए सर्किट अत्यधिक विश्वसनीय थे (स्कोर >75%), जिसका अर्थ है कि उन्हें एब्लेट करने से सामान्य मॉडल व्यवहार को बाधित किए बिना विशेष रूप से PII रिसाव को लक्षित किया गया।
• सर्किट ओवरलैप विश्लेषण:
  • अध्ययन में पाया गया कि विभिन्न PII प्रकारों के बीच कम एज ओवरलैप है (जैसे, बड़े मॉडलों में नाम और जाति के बीच ~25% ओवरलैप), जो विशिष्ट पथों का सुझाव देता है। हालाँकि, साझा उच्च-स्कोरिंग एडजेस के अस्तित्व ने PATCH को एक साथ कई PII प्रकारों को प्रभावी ढंग से लक्षित करने की अनुमति दी।
• बेसलाइन के साथ तुलना:
  • DP: मजबूत गोपनीयता लेकिन उच्च उपयोगिता लागत।
  • APNEAP (न्यूरॉन एडिटिंग): अच्छी उपयोगिता लेकिन कमजोर गोपनीयता सुरक्षा (केवल ~10-18% प्रिसिजन कमी)।
  • PATCH: इसने सर्वश्रेष्ठ संतुलन प्राप्त किया, जो नगण्य उपयोगिता हानि के साथ उच्च गोपनीयता कमी प्रदान करता है।

5. महत्व और निहितार्थ (Significance and Implications)

• प्रतिमान परिवर्तन (Paradigm Shift): PATCH रक्षा रणनीति को "वैश्विक शोर इंजेक्शन" (DP) या "डेटा स्क्रबिंग" से बदलकर मॉडल के आंतरिक तर्क के "लक्षित सर्जिकल संपादन" (targeted surgical editing) में बदल देता है।
• व्यावहारिक तैनाती: यह विधि संगठनों को ऐसे मॉडल तैनात करने की अनुमति देती है जो मॉडल को शुरू से पुनरप्रशिक्षित किए बिना या उसके प्राथमिक कार्यों करने की क्षमता से समझौता किए बिना PII के संबंध में काफी सुरक्षित हैं।
• मेमोराइजेशन (Memorization) में अंतर्दृष्टि: यह कार्य गहन मैकेनिस्टिक अंतर्दृष्टि प्रदान करता है कि LLMs PII को कैसे याद रखते हैं, यह दिखाते हुए कि रिसाव विशिष्ट, पहचानने योग्य अटेंशन हेड्स और एडजेस में स्थानीयकृत है, न कि पूरे पैरामीटर स्पेस में समान रूप से वितरित है।
• भावी दिशाएं: लेखक नोट करते हैं कि ओपन-वेट मॉडल्स के लिए प्रभावी होने के बावजूद, सर्किट डिस्कवरी की कम्प्यूटेशनल लागत वर्तमान में बहुत बड़े मॉडलों के अनुप्रयोग को सीमित करती है। हालाँकि, जैसे-जैसे इंटरप्रिटेबिलिटी टूल्स में सुधार होगा, PATCH गोपनीयता संरक्षण के लिए एक स्केलेबल ढांचा प्रदान करता है।

निष्कर्षतः, PATCH प्रदर्शित करता है कि मैकेनिस्टिक इंटरप्रिटेबिलिटी का उपयोग भाषा मॉडलों में गोपनीयता रिसाव के विरुद्ध अत्यधिक प्रभावी, लक्षित रक्षा बनाने के लिए किया जा सकता है, जो गोपनीयता-उपयोगिता दुविधा के लिए एक व्यावहारिक समाधान प्रदान करता है।