Riepilogo Tecnico: Decodifica Sensibile alla Privacy (Privacy-Aware Decoding - PAD)

Definizione del Problema

La Generazione Aumentata da Recupero (Retrieval-Augmented Generation - RAG) potenzia i Large Language Models (LLM) condizionando gli output su fonti di conoscenza esterne. Tuttavia, quando il corpus di recupero contiene dati privati o sensibili, i sistemi RAG sono vulnerabili ad attacchi di estrazione. Gli avversari possono creare prompt mirati per costringere il modello a emettere testo testuale o a far trapelare informazioni personali identificabili (PII) direttamente dai documenti recuperati.

Le strategie di mitigazione esistenti affrontano due limitazioni primarie:

1. Vulnerabilità della Decodifica: Anche con meccanismi di recupero privati, la fase di decodifica (generazione) può agire come un canale di fuga. Strategie di decodifica a temperatura bassa o greedy spesso causano l'emissione di contenuti sensibili in modo testuale, bypassando le protezioni a monte.
2. Scalabilità e Praticità: Metodi di privacy differenziale (DP) forti come il Differentially Private Stochastic Gradient Descent (DP-SGD) richiedono un addestramento significativo, rendendoli impraticabili per i grandi LLM pre-addestrati. Altri approcci richiedono spesso modifiche all'infrastruttura di recupero o al filtraggio del corpus.

Esiste la necessità di una difesa agnostica rispetto al modello, che operi al tempo di inferenza, per mitigare la fuga di privacy senza riaddestrare il modello o alterare la pipeline di recupero.

Metodologia: Decodifica Sensibile alla Privacy (PAD)

Gli autori propongono Privacy-Aware Decoding (PAD), un meccanismo leggero, operante al tempo di inferenza, che inietta adattivamente rumore Gaussiano calibrato nei logit dei token durante la generazione. PAD opera interamente nella fase di decodifica ed è agnostico rispetto al modello.

Il framework si compone di quattro componenti principali:

1. Clipping dei Logit e Vincolo della Sensibilità

Per stabilire un limite di sensibilità deterministico richiesto per la privacy differenziale, PAD applica prima un clipping $L_2$ ai logit. Per un raggio fisso $C$, i logit $\mathbf{s}_t$ vengono tagliati in $\bar{\mathbf{s}}_t$:
$$\bar{\mathbf{s}}_t = \mathbf{s}_t \cdot \min\left(1, \frac{C}{\|\mathbf{s}_t\|_2}\right)$$
Ciò assicura che, per qualsiasi coppia di contesti di recupero vicini, la differenza nei logit tagliati sia limitata da $\Delta = 2C$, fornendo una sensibilità fissa per il meccanismo Gaussiano.

2. Screening Basato sulla Confidenza

PAD non applica il rumore in modo uniforme. Inveverso, impiega un meccanismo di screening per identificare i token ad alto rischio. Un token è considerato ad alto rischio se:

• La confidenza del modello (massima probabilità softmax) è inferiore a una soglia $\tau_{conf}$.
• Il margine del logit (differenza tra i primi due logit) è inferiore a una soglia $\tau_{margin}$.

I token che soddisfano questi criteri sono segnalati per una protezione potenziata; le predizioni sicure ricevono un rumore minimo per preservare l'utilità.

3. Calibrazione del Rumore Adattiva

Per i token ad alto rischio, PAD inietta rumore Gaussiano $\mathcal{N}(0, \sigma_t^2 \mathbf{I})$ dove la scala $\sigma_t$ è dinamicamente calibrata in base a tre fattori:

• Scala Adattiva al Rischio ($r_t$): Modulata dal margine del logit. Margini più piccoli (maggiore incertezza) risultano in scale di rumore maggiori.
  o Calibrazione Consapevole del Contesto: La scala del rumore è ulteriormente regolata da:
  • Entropia del Token: Un'entropia più elevata (incertezza) aumenta il rumore.
  • Fattore di Posizione: I primi token della sequenza ricevono un rumore maggiore per prevenire la propagazione dell'errore.
  • Fattore di Confidenza: Una minore confidenza aumenta il rumore.
• Fattore di Amplificazione ($\lambda_{amp}$): Un parametro globale per regolare il compromesso tra privacy e utilità.

La scala finale del rumore è calcolata come:
$$\sigma_t = \sigma_{base} \cdot \text{calibrate}(\mathbf{p}_t, t) \cdot r_t \cdot \lambda_{amp}$$

4. Conteggio della Rényi Differential Privacy (RDP)

PAD utilizza un contatore di Rényi Differential Privacy per tracciare la perdita cumulativa di privacy. Poiché la scala del rumore $\sigma_t$ dipende dai dati (adattiva), la garanzia $(\varepsilon, \delta)$ riportata è specifica per lo schedule di rumore realizzato. Il framework impiega una $\gamma$-rilassatezza, fornendo garanzie DP formali solo per la frazione $\gamma$ di token identificati come ad alto rischio, lasciando i token a basso rischio non protetti per mantenere la qualità della generazione.

Contributi Chiave

1. Framework PAD: Il primo meccanismo di protezione della privacy al tempo di decodifica progettato specificamente per la RAG, che non richiede riaddestramento o modifiche all'infrastruttura di recupero.
2. Meccanismo di Rumore Adattivo: Un approccio innovativo che mira ai token ad alto rischio utilizzando lo screening basato sulla confidenza e la calibrazione consapevole del contesto, bilanciando la protezione della privacy con l'utilità della generazione.
3. Conteggio Esplicito della Privacy: Un contatore basato su RDP che riporta le garanzie di privacy $(\varepsilon, \delta)$ a livello di risposta per i token protetti sotto uno schedule di rumore dipendente dai dati.
4. Validazione Empirica: Valutazione completa che dimostra come PAD riduca la fuga di informazioni private preservando l'utilità della risposta attraverso diversi dataset e modelli.

Risultati Sperimentali

Gli autori hanno valutato PAD su tre dataset reali: HealthCareMagic, ChatDoctor-iCliniq (dialoghi medici) ed Enron Mail. Gli esperimenti sono stati condotti utilizzando i modelli Pythia-6.9B e Llama2-7B contro attacchi di estrazione black-box.

Risultati Principali:

• Mitigazione della Privacy: PAD ha ridotto sostanzialmente la fuga di informazioni private. Sul dataset HealthCareMagic con Pythia-6.9B, PAD ha ridotto la fuga da "Repeat Prompt" (riproduzione testuale del testo recuperato) da 264 a 127 (una riduzione del 51,9%) e la fuga basata su ROUGE del 49,6%.
• Preservazione dell'Utilità: A differenza dei baseline che degradano la qualità della generazione, PAD mantiene o migliora la perplessità (PPL). Ad esempio, su HealthCareMagic, PAD ha ottenuto una PPL di 9,88 rispetto a 10,94 del baseline di fuga.
• Confronto con i Baseline: PAD ha superato le difese basate sul recupero esistenti (Summarization, Set Distance Threshold) e i metodi di post-processing (Static Noise Injection) nel compromesso privacy-utilità.
• Studi di Ablazione: Rimuovere i componenti di calibrazione adattiva al rischio o consapevole del contesto ha portato a aumenti misurabili della fuga di privacy, confermando la necessità dei componenti adattivi.
• Sensibilità dei Parametri: Lo studio ha identificato un intervallo ottimale del fattore di amplificazione (3.0–5.0) per bilanciare privacy e utilità. Valori di $\varepsilon$ molto bassi (es. 0.01) eliminavano la fuga ma rendevano gli output inutilizzabili a causa dell'alta perplessità.

Significato e Rivendicazioni

Il paper posiziona PAD come un passo significativo verso la mitigazione dei rischi di privacy nella RAG tramite strategie di decodifica. Gli autori affermano che PAD offre una soluzione universale e scalabile per domini sensibili (come l'assistenza sanitaria) perché:

• Opera interamente al tempo di inferenza senza riaddestramento.
• È agnostico rispetto al modello ed è compatibile con le pipeline di recupero esistenti.
• Fornisce un conteggio esplicito della privacy per ogni risposta.

Il lavoro riconosce i limiti, notando che l'attuale garanzia $\gamma$-rilassata protegge solo un sottoinsieme di token e che il conteggio della privacy riportato si basa sullo schedule di rumore realizzato piuttosto che su un limite worst-case indipendente dall'input. Gli autori suggeriscono che il lavoro futuro dovrebbe esplorare l'ottimizzazione congiunta delle difese di recupero e di addestramento ed estendere il framework a contesti RAG multimodali.