Simple Yet Effective: Extracting Private Data Across Clients in Federated Fine-Tuning of Large Language Models

Titolo: Semplice ma Efficace: Estrazione di Dati Privati tra Clienti nel Fine-Tuning Federato di Modelli Linguistici di Grande Dimensione (LLM)

1. Il Problema

I Modelli Linguistici di Grande Dimensione Federati (FedLLM) promettono di abilitare l'addestramento collaborativo tra istituzioni (es. ospedali, banche, tribunali) mantenendo i dati locali, preservando così la privacy. Tuttavia, i LLM tendono a memorizzare frammenti dei dati di addestramento, inclusi dati personali identificabili (PII).
Il lavoro identifica una vulnerabilità critica: anche se i dati grezzi non vengono scambiati, un partecipante "semi-onesto" (che segue il protocollo ma agisce malevolmente per inferire informazioni) può sfruttare il modello globale aggregato per estrarre PII memorizzati dai dati di altri clienti. A differenza degli attacchi precedenti che assumevano l'accesso completo ai dati di addestramento o a gradienti privilegiati, questo studio si concentra su un modello di minaccia più realistico in scenari cross-silo, dove l'attaccante ha accesso solo ai propri dati locali e al modello globale.

2. Metodologia

Gli autori propongono tre strategie di estrazione semplici ma efficaci, progettate per sfruttare i contesti locali dell'attaccante per elicita informazioni sensibili dal modello globale:

1. Campionamento di Prefissi Contestuali PII (PII Contextual Prefix Sampling):
   L'attaccante utilizza sequenze di parole che precedono immediatamente le istanze PII nel proprio dataset locale come "prefissi contestuali". Questi prefissi vengono inviati al modello globale per generare completamenti, sfruttando la capacità del modello di memorizzare associazioni tra prefissi e suffissi (PII) apprese durante il fine-tuning federato.

2. Campionamento a Priorità di Frequenza (Frequency-Prioritized - FP Sampling):
   Basandosi sull'ipotesi che i prefissi ad alta frequenza siano indicatori più forti di memorizzazione, questa strategia seleziona e ordina i prefissi in base alla loro frequenza di occorrenza prima delle istanze PII. L'obiettivo è migliorare l'efficienza dell'estrazione concentrandosi sui contesti più rilevanti.

3. Affinamento per Associazione Latente (Latent Association Fine-tuning - LAFt):
   Questa strategia prevede un ulteriore addestramento locale del modello globale da parte dell'attaccante. L'attaccante crea un dataset di fine-tuning accoppiando prefissi frequenti con PII noti (dal proprio dataset) e aggiorna i parametri del modello (usando LoRA) per massimizzare la probabilità condizionata $P(PII | Prefisso)$. Questo rafforza le associazioni implicite memorizzate nel modello, migliorando la capacità di estrazione senza inviare aggiornamenti al server centrale.

Dataset e Valutazione:
Per valutare questi attacchi, gli autori hanno costruito un nuovo dataset di benchmark nel dominio legale cinese, annotato con PII granulari allineati agli standard CPIS, GDPR e CCPA. Le metriche di valutazione sono:

• Copertura (Coverage Rate - CR): La percentuale di PII unici della vittima estratta con successo.
• Efficienza (Efficiency - EF): La quantità di PII estratta per numero limitato di query.

3. Risultati Chiave

Gli esperimenti, condotti su diversi modelli (Qwen, Baichuan, GLM, Llama) e configurazioni federate, hanno rivelato:

• Elevata Vulnerabilità: Le strategie proposte possono recuperare fino al 56,6% dei PII esclusivi della vittima (dati che non esistono nel dataset dell'attaccante).
• Tipologie Vulnerabili: I nomi, gli indirizzi e le date di nascita sono le categorie più esposte.
• Trade-off Copertura-Efficienza: L'uso di un set di prefissi più ampio aumenta la copertura ma riduce drasticamente l'efficienza (diminishing returns). Il campionamento a priorità di frequenza (FP) e il LAFt migliorano la diversità dei dati estratti, specialmente con budget di query limitati.
• Robustezza: L'attacco funziona coerentemente attraverso diverse coppie attaccante-vittima e su modelli non pre-addestrati su dati legali (es. OLMo2, Llama2), dimostrando che la memorizzazione è un risultato diretto del fine-tuning federato e non solo un artefatto dei dati di pre-addestramento.
• Limiti delle Difese Attuali: L'anonimizzazione dei dati di addestramento (mascheramento PII) riduce solo marginalmente l'efficacia dell'attacco, a causa della contaminazione dei dati di pre-addestramento e dell'impossibilità di etichettare ogni possibile PII.

4. Contributi Principali

1. Nuove Strategie di Attacco: Introduzione di tre metodi di estrazione indipendenti dagli attacchi basati sui gradienti o di inferenza di appartenenza, specifici per il contesto FedLLM.
2. Benchmark e Dataset: Creazione di un dataset legale cinese reale con annotazioni PII fini, allineato alle normative internazionali, colmando un vuoto nelle risorse pubbliche per la ricerca sulla privacy nel federated learning.
3. Valutazione Rigorosa: Dimostrazione empirica che i FedLLM presentano rischi concreti di perdita di dati, con un tasso di recupero significativo di informazioni sensibili tra clienti diversi.

5. Significato e Implicazioni

Questo studio evidenzia un "vuoto critico" nella sicurezza dei FedLLM: la semplice condivisione di aggiornamenti del modello non garantisce la privacy se il modello memorizza i dati. Le scoperte suggeriscono che le attuali pratiche di federated learning in settori sensibili (legale, sanitario, finanziario) sono più vulnerabili di quanto si creda. Il lavoro stabilisce un nuovo benchmark per la valutazione della privacy e sottolinea l'urgenza di sviluppare meccanismi di difesa più robusti (oltre al semplice mascheramento dei dati) per proteggere le informazioni personali in ambienti di addestramento collaborativo decentralizzato. Il codice e i dati sono resi pubblici per favorire la ricerca futura.