CAMP: Cumulative Agentic Masking and Pruning for Privacy Protection in Multi-Turn LLM Conversations

यहाँ शोध पत्र "CAMP: Cumulative Agentic Masking and Pruning for Cross-Turn PII Protection in Multi-Turn LLM Conversations" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण: संचयी PII एक्सपोज़र (CPE)

यह शोध पत्र वर्तमान लार्ज लैंग्वेज मॉडल (LLM) गोपनीयता सुरक्षा में एक महत्वपूर्ण भेद्यता की पहचान करता है: स्टेटलेसनेस (Statelessness)।

• वर्तमान सीमा: मौजूदा उपकरण (जैसे, Microsoft Presidio, PAPILLON) प्रति-टर्न (per-turn) आधार पर कार्य करते हैं। वे LLM को भेजने से पहले व्यक्तिगत उपयोगकर्ता संदेशों को स्कैन करते हैं और उनमें मौजूद व्यक्तिगत पहचान योग्य जानकारी (PII) को मास्क करते हैं। हालाँकि, वे पिछले टर्न के संदर्भ (context) को त्याग देते हैं।
• भेद्यता: एजेंटिक, मल्टी-टर्न बातचीत में, उपयोगकर्ता अक्सर धीरे-धीरे PII के अंशों का खुलासा करते हैं (जैसे, टर्न 2 में नाम, टर्न 4 में शहर, टर्न 6 में नियोक्ता)। जबकि कोई भी एकल संदेश मास्क को ट्रिगर नहीं करता है, पूरी बातचीत के इतिहास में इन अंशों का संचय (accumulation) एक पूर्णतः पुन: पहचान योग्य प्रोफ़ाइल बना देता है।
• मोज़ेक प्रभाव (The Mosaic Effect): इस घटना को Cumulative PII Exposure (CPE) कहा जाता है, जो एक बाहरी LLM को अर्ध-पहचानकर्ताओं (quasi-identifiers) (जैसे, स्थान + वेतन + नौकरी का पद) के प्रतिच्छेदन के माध्यम से उपयोगकर्ता की पहचान को पुनर्गठित करने की अनुमति देता है, भले ही किसी भी एकल संदेश में स्पष्ट पहचानकर्ता न रहे हों। वर्तमान प्रणालियाँ इस संयोजी जोखिम का पता लगाने में विफल रहती हैं।

2. कार्यप्रणाली: CAMP फ्रेमवर्क

लेखक CAMP (Cumulative Agentic Masking and Pruning) का प्रस्ताव करते हैं, जो एक सेशन-स्तरीय मिडलवेयर फ्रेमवर्क है जो उपयोगकर्ता और बाहरी LLM के बीच कार्य करता है। यह एक स्टेटफुल (stateful) दृष्टिकोण पेश करता है।

मुख्य घटक:

1. Per-Turn PII Extractor: वर्तमान उपयोगकर्ता संदेश में PII की पहचान करने के लिए Named Entity Recognition (NER) और पैटर्न मिलान (जैसे, Microsoft Presidio) का उपयोग करता है।
2. Session Registry: एक स्टेटफुल डेटाबेस जो पूरे बातचीत सत्र में पहचाने गए सभी PII संस्थाओं का रिकॉर्ड बनाए रखता है, जिसमें संस्था का प्रकार, मूल मान और पहली उपस्थिति का टर्न इंडेक्स संग्रहीत होता है।
3. Co-occurrence Graph:
   • सत्र के भीतर विभिन्न PII संस्था प्रकारों के बीच संबंध को मॉडल करता है।
   • नोड्स (Nodes) संस्था प्रकारों (जैसे, व्यक्ति, स्थान, वेतन) का प्रतिनिधित्व करते हैं; किनारे (Edges) उन प्रकारों को जोड़ते हैं जो एक ही सत्र में दिखाई देते हैं।
   • एम्प्लीफिकेशन (Amplification): जैसे-जैसे ग्राफ अधिक कनेक्टेड होता जाता है, व्यक्तिगत संस्थाओं का गोपनीयता जोखिम बढ़ता जाता है। एक "कॉम्बिनेशन एम्पलीफायर" ($f(v)$) कनेक्शन की डिग्री के आधार पर संस्थाओं के भार (weight) को बढ़ाता है।
4. CPE स्कोर गणना:
   • प्रत्येक टर्न के बाद एक गतिशील जोखिम स्कोर की गणना करता है: $CPE(t) = \sum w(v) \cdot (1 + \alpha \cdot \deg(v))$।
   • जहाँ $w(v)$ संस्था का आधार संवेदनशीलता भार है, $\deg(v)$ ग्राफ में कनेक्शन की संख्या है, और $\alpha$ एक संवेदनशीलता पैरामीटर है।
   • स्कोर सुपरलीनियरली (superlinearly) बढ़ता है क्योंकि नई संस्था प्रकार मौजूदा संस्थाओं के साथ संबंध बनाती हैं।
5. Retroactive Pseudonymization (पूर्वव्यापी छद्म नामकरण):
   • ट्रिगर: जब $CPE(t)$एक कॉन्फ़िगर करने योग्य थ्रेशोल्ड ($\tau$) से अधिक हो जाता है।
   • कार्रवाई: यह संपूर्ण बातचीत के इतिहास को फिर से लिखता है (केवल वर्तमान टर्न को नहीं)। वास्तविक PII मानों को स्थानीय रूप से Faker लाइब्रेरी का उपयोग करके उत्पन्न सुसंगत सिंथेटिक विकल्पों (जैसे, "John Doe" $\to$ "Alex Smith") के साथ बदल दिया जाता है।
   • निरंतरता: सत्र के दौरान एक ही वास्तविक मान हमेशा एक ही सिंथेटिक मान से मैप होता है ताकि LLM के लिए संवादात्मक सामंजस्य बना रहे।
6. De-masking Layer:
   • LLM की प्रतिक्रिया को इंटरसेप्ट करता है।
   • सिंथेटिक पहचानों को मूल वास्तविक मानों के साथ बदल देता है इससे पहले कि वह उपयोगकर्ता को वापस भेजी जाए।
   • यह सुनिश्चित करता है कि उपयोगकर्ता एक स्वाभाविक बातचीत का अनुभव करे जबकि बाहरी LLM केवल सिंथेटिक डेटा को प्रोसेस करता है।
7. Hard Block Rules: कुछ उच्च-जोखिम वाले पहचानकर्ता (SSN, क्रेडिट कार्ड, बैंक खाता) को थ्रेशोल्ड की परवाह किए बिना तुरंत ब्लॉक किया जाता है और [BLOCKED] जैसे प्लेसहोल्डर्स से बदल दिया जाता है।

3. मुख्य योगदान

• CPE का औपचारिककरण: सिंगल-मैसेज लीकेज के बजाय सत्र-स्तरीय गोपनीयता मेट्रिक के रूप में Cumulative PII Exposure की पहली औपचारिक परिभाषा।
• Co-occurrence Graph Model: संयोजन जोखिम (combination risk) को मापने का एक अभिनव तरीका, जो यह प्रदर्शित करता है कि अर्ध-पहचानकर्ताओं का प्रतिच्छेदन व्यक्तिगत संस्थाओं के योग से अधिक खतरा पैदा करता है।
• Retroactive Intervention: एक ऐसा फ्रेमवर्क जो जोखिम सीमा पार होने पर ऐतिहासिक संवादात्मक संदर्भ को फिर से लिखने में सक्षम है, जो मौजूदा प्रति-टर्न मास्किंग सिस्टम में अनुपस्थित है।
• Full Round-Trip Privacy: एक पूर्ण पाइपलाइन जो उपयोगकर्ता से मॉडल तक और वापस जाने तक डेटा की रक्षा करती है, निरंतर डी-मास्किंग के माध्यम से संवादात्मक उपयोगिता को बनाए रखती है।

4. प्रयोगात्मक परिणाम

लेखकों ने चार सिंथेटिक मल्टी-टर्न परिदृश्यों पर CAMP का मूल्यांकन किया: हेल्थकेयर, HR/हायरिंग, फाइनेंस और जनरल कन्वर्सेशन। उन्होंने इसकी तुलना एक मानक प्रति-टर्न Presidio बेसलाइन से की।

• गोपनीयता प्रभावकारिता (Privacy Efficacy):
  • Presidio Baseline: प्रति सत्र 3 से 6 विशिष्ट PII संस्था प्रकारों को बाहरी मॉडल के सामने उजागर करता था, क्योंकि यह संचयी जोखिम का पता लगाने में विफल रहा।
  • CAMP: सभी परिदृश्यों में वास्तविक PII एक्सपोज़र को शून्य तक कम कर दिया। इसने हस्तक्षेप करने में सफलता प्राप्त की इससे पहले कि पुन: पहचान की दहलीज पार हो जाती।
• हस्तक्षेप का समय (Intervention Timing):
  • हस्तक्षेप उच्च-जोखिम वाले डोमेन (जैसे, फाइनेंस और HR में टर्न 2) में जल्दी हुआ और सामान्य बातचीत (टर्न 5) में देरी से हुआ, जो प्रकटीकरण पैटर्न के अनुकूलन क्षमता को दर्शाता है।
  • सिस्टम ने उस "क्लिफ" (cliff) का सफलतापूर्वक पता लगाया जहाँ व्यक्तिगत निर्दोष खुलासे मिलकर खतरनाक हो गए।
• उपयोगिता संरक्षण (Utility Preservation):
  • LLM ने सभी परिदृश्यों में सुसंगत और प्रासंगिक प्रतिक्रियाएँ उत्पन्न कीं।
  • डी-मास्किंग लेयर ने मूल पहचानों को सफलतापूर्वक बहाल किया, जिससे यह सुनिश्चित हुआ कि उपयोगकर्ता को कोई सिंथेटिक आर्टिफैक्ट दिखाई न दे।
• थ्रेशोल्ड संवेदनशीलता: $\tau \in \{1.5, 2.0, 2.5\}$ के थ्रेशोल्ड के साथ प्रयोगों ने दिखाया कि निचले थ्रेशोल्ड अधिक मजबूत गोपनीयता (जल्दी हस्तक्षेप) प्रदान करते हैं जबकि उच्च थ्रेशोल्ड अधिक प्राकृतिक संदर्भ बनाए रखते हैं। $\tau = 2.0$ को एक संतुलित डिफ़ॉल्ट के रूप में पहचाना गया।

5. महत्व और भविष्य की दिशाएँ

• स्थापत्य परिवर्तन (Architectural Shift): CAMP मौजूदा "स्टेटलेस" धारणा को चुनौती देता है। यह तर्क देता है कि एजेंटिक सिस्टम में गोपनीयता को मोज़ेक प्रभाव को संबोधित करने के लिए सेशन स्तर पर प्रबंधित किया जाना चाहिए।
• नियामक संरेखण (Regulatory Alignment): यह फ्रेमवर्क "प्राइवेसी बाय डिज़ाइन" और डेटा न्यूनीकरण सिद्धांतों (जैसे, GDPR अनुच्छेद 25) का एक तकनीकी कार्यान्वयन प्रदान करता है, जिससे ऑपरेटरों को डोमेन संवेदनशीलता के आधार पर जोखिम थ्रेशोल्ड कॉन्फ़िगर करने की अनुमति मिलती है।
• सीमाएँ और भविष्य का कार्य:
  • वर्तमान निर्भरता स्पष्ट NER पर है, जिसका अर्थ है कि निहित प्रकटीकरण (जैसे, कंपनी का नाम लिए बिना नौकरी का वर्णन करना) छूट सकते हैं। भविष्य का कार्य निहित अनुमान (implicit inference) के लिए स्थानीय छोटे LLM का उपयोग करने का सुझाव देता है।
  • भविष्य की दिशाओं में एडेप्टिव थ्रेशोल्ड चयन, मल्टी-एजेंट सेशन ट्रैकिंग, और औपचारिक डिफरेंशियल प्राइवेसी गारंटी को एकीकृत करना शामिल है।

निष्कर्ष: यह शोध पत्र सिद्ध करता है कि आधुनिक एजेंटिक LLM के लिए पारंपरिक प्रति-टर्न मास्किंग अपर्याप्त है। एक सत्र-जागरूक, ग्राफ-आधारित जोखिम मॉडल और पूर्वव्यापी छद्म नामकरण पेश करके, CAMP संचयी गोपनीयता जोखिमों को प्रभावी ढंग से बेअसर करता है और बातचीत की पूर्ण उपयोगिता को बनाए रखता है।