Privacy Leakage in Federated Learning in Radiology Reports: A Comparative Evaluation of Tokenizer-Driven Privacy Risks
यह अध्ययन प्रदर्शित करता है कि रेडियोलॉजी रिपोर्टों पर फेडरेटेड लर्निंग ग्रेडिएंट-आधारित गोपनीयता रिसाव के प्रति संवेदनशील है, जहाँ उपयोग किए गए टोकेनाइज़र के बावजूद संवेदनशील नैदानिक पाठ को उच्च सटीकता के साथ पुनर्गठित किया जा सकता है, जो यह दर्शाता है कि सुरक्षित एकत्रीकरण या डिफरेंशियल प्राइवेसी जैसे अतिरिक्त सुरक्षा उपायों के बिना केवल डोमेन-विशिष्ट टोकेनाइज़र ही रोगी की गोपनीयता की रक्षा करने के लिए पर्याप्त नहीं हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि एक ऐसी दुनिया है जहाँ अस्पताल अपने मरीजों की निजी फाइलों को साझा किए बिना ही सुपर-स्मार्ट AI डॉक्टरों को बनाने के लिए हाथ मिला सकते हैं। यह एक सपने के सच होने जैसा लगता है, है ना? यह फेडरेटेड लर्निंग (Federated Learning) का वादा है। इसे एक बड़े ग्रुप प्रोजेक्ट पर काम कर रहे छात्रों के समूह के रूप में सोचें। इसमें हर कोई अपने व्यक्तिगत नोटबुक को एक केंद्रीय शिक्षक को डाक से भेजने के बजाय (जिसमें उनके खोने या चोरी होने का जोखिम होता है), अपनी नोटबुक अपने घर पर ही रखता है। वे केवल शिक्षक को जो उन्होंने सीखा है उसका एक छोटा सा सारांश भेजते हैं—जैसे कि सबसे महत्वपूर्ण नियमों की एक "चीट शीट"। शिक्षक इन चीट शीट्स को मिलाकर एक मास्टर गाइड बनाते हैं, और फिर इसे वापस भेज देते हैं ताकि हर कोई नए, अधिक स्मार्ट संस्करण से सीख सके।
लेकिन यहाँ एक मोड़ है: क्या होगा अगर उस "चीट शीट" में गलती से नोटबुक के सवालों के जवाब भी शामिल हो जाएं? आर्टिफिशियल इंटेलिजेंस की दुनिया में, इन चीट शीट्स को ग्रेडिएंट्स (gradients) कहा जाता है। ये गणितीय अपडेट हैं जो AI को बताते हैं कि वह कैसे बेहतर बन सकता है। लंबे समय तक, वैज्ञानिकों ने सोचा कि ये अपडेट सुरक्षित थे क्योंकि वे निरर्थक (gibberish) दिखते थे। हालाँकि, हालिया शोध से पता चला है कि पर्याप्त गणितीय जादू के साथ, एक चालाक पर्यवेक्षक उन अपडेट्स को रिवर्स-इंजीनियर करके मूल गुप्त टेक्स्ट को फिर से बना सकता है। यह बिल्कुल वैसा ही है जैसे किसी बुकशेल्फ़ पर जमी धूल को देखकर यह अनुमान लगाना कि अंदर के पन्नों पर कौन से शब्द लिखे गए थे। यह शोध पत्र इस बात की जांच करता है कि क्या यह "गणितीय जादू" रेडियोलॉजी रिपोर्टों से संवेदनशील चिकित्सा कहानियों को चुरा सकता है, और यह एक आश्चर्यजनक प्रश्न पूछता है: क्या एक विशेष शब्दावली (specialized vocabulary) का उपयोग करना रहस्य को सुरक्षित बनाता है या अधिक खतरनाक?
द ग्रेट मेडिकल टेक्स्ट हाइस्ट (महान चिकित्सा पाठ चोरी)
इस अध्ययन में, शोधकर्ताओं ने यह देखने के लिए एक डिजिटल डकैती की योजना बनाई कि फेडरेटेड लर्निंग सिस्टम से निजी रेडियोलॉजी रिपोर्ट कितनी आसानी से चुराई जा सकती हैं। उन्होंने वास्तविक मरीजों या वास्तविक अस्पतालों का उपयोग नहीं किया; इसके बजाय, उन्होंने छह "नकली" अस्पतालों (क्लाइंट्स) और एक "दुष्ट" केंद्रीय सर्वर के साथ एक परिदृश्य का अनुकरण किया। लक्ष्य क्या था? यह देखना कि क्या सर्वर सिस्टम को मरीजों के चिकित्सा इतिहास का खुलासा करने के लिए मजबूर कर सकता है।
शोधकर्ताओं ने अपने AI को प्रशिक्षित करने के लिए वास्तविक दुनिया के चिकित्सा पाठ का एक विशाल संग्रह उपयोग किया—3,68,000 से अधिक नैदानिक रिपोर्ट और लगभग 1,00,000 डिस्चार्ज समरी। उन्होंने टेक्स्ट को टुकड़ों में तोड़ने के तीन अलग-अलग तरीकों का परीक्षण किया, जिन्हें टोकेनाइज़र (tokenizers) कहा जाता है। कल्पना कीजिए कि ये टोकेनाइज़र अलग-अलग प्रकार की कैंची हैं:
- GPT-2: एक सामान्य-उद्देश्य वाली कैंची जो टेक्स्ट को छोटे, जेनेरिक टुकड़ों में काटती है।
- LLaMA-2: एक अन्य सामान्य कैंची, जो काटने के तरीके में थोड़ी अलग है।
- RadBERT: एक विशेष, चिकित्सा-प्रशिक्षित कैंची जिसे विशेष रूप से डॉक्टर-भाषा के लिए डिज़ाइन किया गया है। यह जानता है कि "न्यूमोनिया" या "फ्रैक्चर" जैसे शब्द एकल, महत्वपूर्ण इकाइयाँ हैं और यह उन्हें पूरा रखने की कोशिश करता है।
इस कहानी में "दुष्ट सर्वर" के पास एक गुप्त हथियार था: AI मॉडल के भीतर छिपा हुआ एक छोटा, अदृश्य जासूसी मॉड्यूल। इस जासूस ने केवल गणित पर नज़र नहीं रखी; इसने मॉडल को बाहर भेजने से पहले उसमें थोड़ा बदलाव किया, जिससे सर्वर ग्रेडिएंट्स को कैप्चर कर सका और एक "ग्रेडिएंट इनवर्जन" हमला चला सका। यह एक फैंसी तरीका है यह कहने का कि सर्वर ने मूल वाक्यों को चीट शीट्स से फिर से बनाने के लिए गणित को उलटने (reverse) की कोशिश की।
चौंकाने वाले परिणाम
परिणाम एक चेतावनी की तरह थे। शोधकर्ताओं ने पाया कि "दुष्ट सर्वर" टेक्स्ट को वापस चुराने में आश्चर्यजनक रूप से कुशल था।
- सफलता दर: डेटा को कैसे समूहों (जिसे "बैच साइज" कहा जाता है) में बांटा गया है, इसके आधार पर, सर्वर पूरे वाक्यों को 31% से 44% बार पूरी तरह से पुनर्गठित करने में सफल रहा। इसका मतलब है कि यदि आप इस सिस्टम के माध्यम से 100 मेडिकल रिपोर्ट भेजते हैं, तो हमलावर मूल फाइलों को देखे बिना 31 से 44 रिपोर्टों का पूरा टेक्स्ट पढ़ सकता है।
- "विशेषज्ञता" का जाल: यहाँ सबसे दिलचस्प हिस्सा है। टीम को उम्मीद थी कि विशेष चिकित्सा टोकेनाइज़र (RadBERT) अधिक सुरक्षित होगा क्योंकि इसे डॉक्टरों के लिए बनाया गया था। इसके विपरीत, यह सबसे अधिक असुरक्षित निकला।
- RadBERT के साथ, सर्वर सबसे छोटे बैच साइज पर 42.3% वाक्यों को पूरी तरह से रिकवर कर सका।
- सामान्य GPT-2 के साथ, यह 42% था।
- LLaMA-2 के साथ, यह 39.4% था।
चिकित्सा टोकेनाइज़र (RadBERT) क्यों खराब था? शोधकर्ता इसे एक सरल उपमा से समझाते हैं। यदि आप एक सामान्य टोकेनाइज़र का उपयोग करते हैं, तो "न्यूमोथोरैक्स" (pneumothorax) जैसा जटिल चिकित्सा शब्द "पन्यू," "मो," "थोर," और "एक्स" जैसे छोटे, अजीब टुकड़ों में टूट जाता है। उस शब्द को वापस चुराने के लिए, हमलावर को उन सभी चार छोटे टुकड़ों को पूरी तरह से पुनर्गठित करना होगा और उन्हें सही क्रम में रखना होगा। यदि वे एक भी हिस्सा चूक जाते हैं, तो शब्द बेकार हो जाता है।
लेकिन चिकित्सा टोकेनाइज़र (RadBERT) के साथ, "न्यूमोथोरैक्स" को एक एकल, ठोस ब्लॉक के रूप में माना जाता है। यदि हमलावर उस एक ब्लॉक को चुराने में सफल हो जाता है, तो उसे पूरा शब्द तुरंत मिल जाता है। जिस चीज़ की वजह से AI चिकित्सा को समझने में बेहतर बनता है (शब्दों को पूरा रखना), वही चीज़ एक चोर के लिए उन शब्दों को एक बार में चुराना आसान बना देती है। वास्तव में, RadBERT ने अद्वितीय क्लिनिकल शब्दों (जैसे विशिष्ट निदान और प्रक्रियाएं) को 18.1% रिकवर किया, जबकि GPT-2 के लिए यह 12.5% और LLaMA-2 के लिए 9.4% था।
क्या बड़ा आकार मदद करता है?
शोधकर्ताओं ने यह भी देखने की कोशिश की कि क्या डेटा के "समूहों" को बड़ा करने (बैच साइज को 64 से बढ़ाकर 256 करने) से रहस्यों को बेहतर तरीके से छिपाया जा सकता है। इसने मदद तो की, लेकिन सुरक्षा के लिए पर्याप्त नहीं थी।
- जब उन्होंने बैच साइज बढ़ाया, तो पूर्ण पुनर्निर्माण दर गिर गई। उदाहरण के लिए, RadBERT के साथ, यह 42.3% से गिरकर 37.2% हो गया।
- हालांकि यह एक सुधार है, इसका मतलब है कि बड़े समूहों के साथ भी, हमलावर अभी भी लगभग एक-तिहाई वाक्यों को पूरी तरह से चुरा सकता है।
निष्कर्ष
यह शोध पत्र यह दावा नहीं करता कि फेडरेटेड लर्निंग हमेशा के लिए टूट गया है, लेकिन यह एक बहुत ज़ोरदार अलार्म बजाता है। यह सुझाव देता है कि केवल एक "स्मार्ट" चिकित्सा शब्दावली या डेटा को समूह में रखना एक दृढ़ निश्चयी हमलावर के खिलाफ गोपनीयता की रक्षा करने के लिए पर्याप्त नहीं है।
यह अध्ययन एक कठिन ट्रेड-ऑफ (समझौता) को उजागर करता है: वे उपकरण जो AI डॉक्टरों को स्मार्ट बनाते हैं (विशेषीकृत टोकेनाइज़र), वे बुरे तत्वों के लिए मरीज के रहस्यों को चुराना भी आसान बना सकते हैं। लेखक निष्कर्ष निकालते हैं कि मरीजों की वास्तव में सुरक्षा करने के लिए, अस्पताल केवल AI के डिज़ाइन पर भरोसा नहीं कर सकते। उन्हें संभवतः डेटा को स्क्रैम्बल करने (डिफरेंशियल प्राइवेसी) या गुप्त कोडों (सिक्योर एग्रीगेशन) का उपयोग करने जैसे सुरक्षा के अतिरिक्त स्तरों की आवश्यकता होगी, ताकि HIPAA और GDPR जैसे सख्त कानूनों का पालन किया जा सके। तब तक, अस्पतालों के बीच भेजी जाने वाली "चीट शीट्स" को पढ़ना थोड़ा आसान हो सकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।