🤖 AI

You Have Been LaTeXpOsEd: A Systematic Analysis of Information Leakage in Preprint Archives Using Large Language Models

Questo articolo presenta "LaTeXpOsEd", un audit di sicurezza sistematico su larga scala di oltre 100.000 sottomissioni ad arXiv che rivela una diffusa fuoriuscita di informazioni nei file sorgente e nei commenti, incluse credenziali sensibili, dati personali identificabili e comunicazioni riservate, sfruttando un nuovo framework che integra il matching di pattern e modelli linguistici di grandi dimensioni.

Autori originali: Richard A. Dubniczky, Bertalan Borsos, Tamas Bisztray, Norbert Tihanyi

Pubblicato 2026-05-12

📖 6 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Richard A. Dubniczky, Bertalan Borsos, Tamas Bisztray, Norbert Tihanyi

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di sottomettere un manoscritto a una biblioteca prestigiosa (come arXiv) per condividere la tua ultima scoperta scientifica. Consegni il libro finale, rifinito (il PDF), che tutti possono leggere. Ma, poiché la biblioteca vuole garantire che il tuo lavoro sia onesto e riproducibile, ti chiedono anche di consegnare l'intera officina: le bozze grezze, i post-it sulle pareti, gli schizzi a metà e le note che hai scritto a margine mentre ragionavi ad alta voce.

Il documento "You Have Been LaTeXpOsEd" è un massiccio audit di sicurezza di questa officina. I ricercatori hanno scoperto che, mentre gli scienziati sono molto attenti a ciò che inseriscono nel libro finale, spesso dimenticano di pulire la loro officina prima di consegnarla.

Ecco una semplice spiegazione di ciò che hanno scoperto, utilizzando analogie quotidiane:

1. Il problema del "Soffitte Digitale"

Quando gli scienziati caricano i loro articoli, non caricano solo il PDF finale. Caricano i file sorgente LaTeX. Pensa a questi file sorgente come a una soffitta digitale o a un garage.

L'errore: Gli autori spesso lasciano "post-it" (commenti nel codice) o "vecchie scatole" (file non utilizzati) in questa soffitta.
Il rischio: Queste note potrebbero dire cose come: "Ehi, la password per il nostro server interno è 'Password123'" oppure "Abbiamo avuto una grande lite con il revisore, ecco le email arrabbiate".
La realtà: Poiché la soffitta è pubblica, chiunque può entrare e leggere queste note. I ricercatori hanno trattato questo come un audit "passivo": hanno semplicemente guardato ciò che era già lì, come una guardia di sicurezza che passeggia attraverso una casa aperta, senza cercare di forzare l'ingresso o testare se le serrature funzionassero davvero.

2. Gli strumenti del detective: Regex vs il "Super-Lettore"

Per trovare questi segreti, i ricercatori hanno utilizzato due tipi di detective:

Il Rilevatore di Modelli (Regex): È come un robot che cerca solo forme specifiche. Può trovare facilmente cose che sembrano un indirizzo email (nome@dominio.com) o un indirizzo IP (192.168.1.1). È bravo a trovare indizi ovvi ma cattivo nel comprendere il contesto.
Il "Super-Lettore" (Large Language Models - LLM): È come un detective umano altamente intelligente che può leggere una frase e comprenderne il significato.
- Esempio: Un rilevatore di modelli potrebbe perdere una frase che dice: "Sto usando la chiave 'SecretKey99' per accedere al laboratorio." perché non assomiglia a un formato di password standard.
- L'LLM, invece, legge l'intera frase, comprende che "SecretKey99" è un segreto e lo segnala.

I ricercatori hanno testato 25 diversi "Super-Lettori" (modelli AI) per vedere quale fosse il detective migliore. Hanno scoperto che i modelli open-source (come Qwen-2.5) erano quasi buoni quanto quelli proprietari e costosi, ma costavano una frazione del prezzo.

3. Cosa hanno trovato nella soffitta?

Dopo aver scansionato 100.000 articoli (circa 1,2 terabyte di dati, che è come una biblioteca enorme), hanno trovato migliaia di "perdite". Ecco cosa è stato lasciato indietro:

Le chiavi della "Porta Aperta": Centinaia di istanze di password reali, chiavi API e credenziali di accesso. È come se qualcuno avesse lasciato la chiave di casa incollata alla porta d'ingresso con un biglietto che dice: "Questa apre la porta sul retro".
Le perdite della "Chat Privata": Link a Google Drive privati o cartelle Dropbox impostate su "Chiunque abbia il link può modificare". Questo significava che le revisioni tra pari confidenziali, le discussioni interne tra co-autori e i dati non pubblicati erano visibili a tutto il mondo.
Le discussioni sui "Post-it": Commenti in cui gli autori discutevano della qualità della ricerca o si lamentavano dei revisori. Questi erano destinati solo agli occhi interni ma sono stati pubblicati per essere visti da tutti.
Le "Foto Nascoste": Le immagini caricate nell'articolo contenevano spesso dati EXIF (metadati digitali). È come una foto di un edificio che include segretamente le coordinate GPS della casa del fotografo e l'ora esatta in cui è stata scattata la foto.

4. Il costo dell'indagine

Una delle scoperte più sorprendenti è stata quanto fosse economico farlo.

I ricercatori hanno speso circa 90 dollari in totale per scansionare 100.000 articoli.
Questo includeva il costo del download dei dati e il pagamento all'AI per leggere i commenti.
L'analogia: È come assumere una squadra di sicurezza per controllare 100.000 case per pochi dollari. Ciò significa che anche un attore "a basse risorse" (qualcuno con un budget limitato) potrebbe facilmente farlo per rubare segreti o causare danni alla reputazione.

5. Il "Gioco della Colpa" (Chi è responsabile?)

Il documento evidenzia una situazione legale delicata.

La regola della biblioteca: Quando sottometti a arXiv, firmi un contratto dicendo: "Concedo alla biblioteca il diritto di distribuire il mio lavoro per sempre". La biblioteca dice anche: "È tuo compito assicurarti di non includere informazioni private".
Il problema: Gli autori pensano spesso: "Ho messo il segreto nei commenti del codice; nessuno legge il codice, solo il PDF". Non si rendono conto che i "commenti del codice" fanno parte del registro pubblico permanente.
Il verdetto: I ricercatori sostengono che, sebbene gli autori siano tecnicamente responsabili della pulizia, il sistema è rotto perché è troppo facile lasciare segreti per sbaglio e la biblioteca non li rimuove automaticamente.

6. La soluzione: Pulire l'officina

Il documento suggerisce due principali rimedi:

Per gli autori: Prima di premere "Invia", esegui uno strumento di "pulizia" (come un aspirapolvere digitale) che elimina automaticamente tutti i commenti, i file non utilizzati e i metadati nascosti. Non lasciare post-it in soffitta!
Per la biblioteca (arXiv): Dovrebbero aggiungere una rete di sicurezza. Prima che un articolo vada online, il sistema dovrebbe scansionare automaticamente password e link privati e avvisare l'autore: "Ehi, hai lasciato una password nelle tue note. Vuoi davvero pubblicare questo?"

Sintesi

Il documento è un campanello d'allarme. Mostra che nella fretta di condividere la scienza rapidamente, i ricercatori lasciano accidentalmente il loro "rifiuto digitale" (segreti, password e discussioni private) all'aperto. Poiché l'AI moderna è così brava a leggere e comprendere queste note disordinate, è ora incredibilmente facile per chiunque trovarle. I ricercatori esortano la comunità scientifica a iniziare a pulire i propri file sorgente prima di pubblicare, proprio come pulirebbero un laboratorio fisico prima di aprire le porte al pubblico.

Riepilogo Tecnico: Sei Stato LaTeXpOsEd

Enunciato del Problema

La rapida espansione dei repository di preprint scientifici, in particolare arXiv, ha spostato il paradigma della condivisione della conoscenza. A differenza delle riviste tradizionali che pubblicano solo i PDF finali, arXiv impone la sottomissione dei file sorgente sottostanti (ad esempio, sorgente LaTeX, artefatti di compilazione e immagini ausiliarie) per garantire trasparenza e riproducibilità. Tuttavia, questa scelta architetturale crea un vettore di sicurezza significativo, spesso trascurato: la fuoriuscita di informazioni tramite file sorgente non sanificati.

Gli autori inseriscono frequentemente dati sensibili nei commenti LaTeX, in file ausiliari non referenziati o nei metadati delle immagini (EXIF), sotto il falso presupposto che questi elementi siano effimeri o invisibili al pubblico. L'articolo sostiene che accettando l'accordo di sottomissione di arXiv, gli autori concedono una licenza irrevocabile per distribuire questi file, e la politica sulla privacy della piattaforma sposta esplicitamente l'onere della sanificazione sul sottomettente. Di conseguenza, gli avversari possono raccogliere Informazioni di Identificazione Personale (PII), credenziali, chiavi API e dispute interne utilizzando tecniche di Open-Source Intelligence (OSINT). Il tradizionale matching di pattern basato su espressioni regolari è insufficiente per rilevare segreti dipendenti dal contesto (ad esempio, perdite semantiche, dispute tra autori o formati di credenziali non standard) nascosti all'interno di queste complesse strutture documentali.

Metodologia: Il Framework LaTeXpOsEd

Gli autori presentano LaTeXpOsEd, una pipeline a quattro fasi progettata per auditare sistematicamente i file sorgente dei preprint alla ricerca di fuoriuscite di informazioni sensibili. Il framework integra il matching di pattern, il filtraggio logico e i Modelli Linguistici su Grande Scala (LLM).

Fase 1: Raccolta Dati (Scraping)
- I dati sono stati acquisiti tramite il servizio ufficiale di dati in blocco Amazon S3 di arXiv per garantire la conformità ed evitare scraping abusivo.
- Lo studio ha analizzato 100.000 sottomissioni (circa 1,2 TB di dati decompressi), recuperando 808 archivi tar.gz specifici.
- Il costo totale della ricerca per il recupero dei dati è stato di circa 37$.
Fase 2: Parsing e Pulizia
- Gli archivi sono stati decompressi e il contenuto estratto in JSON leggibile dalla macchina.
- Filtraggio: La pipeline ha escluso i paper senza archivi sorgente (7,7%), quelli senza file LaTeX (6,1%) e quelli senza commenti (4,6%).
- Pulizia: Una pipeline multistadio ha rimosso boilerplate, comandi sintattici e frammenti ridondanti. Il dataset è stato ridotto da circa 12 milioni di commenti a 6,6 milioni di commenti (una riduzione dell'89% nel conteggio dei token), abbattendo significativamente i costi di inferenza per gli LLM.
- Analisi Ausiliaria: I file non referenziati (presenti nel pacchetto ma non nel PDF finale) sono stati isolati, poiché spesso contengono residui sensibili del flusso di lavoro. I metadati EXIF sono stati estratti dalle immagini prima della rimozione.
Fase 3: Data Mining
- Matching di Pattern: Utilizzo di espressioni regolari e strumenti come TruffleHog per rilevare dati strutturati (IP, URL, email, IBAN) e 1.750 pattern di segreti noti.
- Estrazione Basata su LLM: Per rilevare segreti dipendenti dal contesto (ad esempio, dispute tra autori, commenti di peer-review, credenziali non standard), gli autori hanno introdotto LLMSec-DB, un benchmark di 300 snippet di commenti sintetici.
- Benchmarking: 25 LLM all'avanguardia sono stati valutati su LLMSec-DB utilizzando l'Accuratezza di Corrispondenza Esatta (EMA) e l'Accuratezza di Almeno Uno (ONE).
- Selezione del Modello: Qwen-2.5 72B è stato selezionato per l'elaborazione su larga scala grazie alla sua elevata accuratezza (80,0% EMA) e a costi significativamente inferiori (0,07$ per milione di token) rispetto a modelli proprietari come GPT-5 (1,25$ per milione di token).
Fase 4: Analisi e Validazione
- Un post-processing automatizzato ha filtrato i falsi positivi.
- Human-in-the-loop: Le scoperte critiche (credenziali, PII) hanno subito una validazione manuale.
- Vincoli Etici: Lo studio ha aderito a un rigoroso framework di "verifica passiva". Nessuna credenziale trapelata è stata testata su sistemi live e nessun contenuto privato è stato accesso o condiviso. Le scoperte sono state anonimizzate e gli autori interessati sono stati notificati dove il contatto era possibile.

Contributi Chiave

Il Framework LaTeXpOsEd: Una metodologia innovativa che combina estrazione di entità, matching di pattern e comprensione contestuale degli LLM per elaborare sistematicamente i file sorgente LaTeX, svelando segreti sfuggiti agli audit automatizzati.
Analisi dei Preprint su Larga Scala: Il primo audit di sicurezza completo dei file sorgente dei preprint, esaminando 100.000 sottomissioni (1,2 TB) per quantificare la fuoriuscita sistemica.
Benchmark LLMSec-DB: Un nuovo benchmark per valutare gli LLM sul rilevamento di segreti nei documenti scientifici, facilitando l'analisi comparativa di costi, accuratezza e disponibilità open-source.
Evidenza Empirica di Fuoriuscita: La scoperta di migliaia di esposizioni di PII, centinaia di perdite di credenziali, link a cloud privati e perdite semantiche (dispute interne, revisioni paritarie confidenziali).

Risultati

L'analisi di 100.000 sottomissioni ha rivelato che il 9,9% dei paper (9.926) conteneva almeno una divulgazione sensibile, risultando in 13.806 rilevazioni distinte.

Tipi di Informazioni Trapelate

Credenziali (Critiche): 47 istanze di coppie username/password esplicite, 2 chiavi di accesso AWS e 5 JWT.
PII (Alta): 6.984 istanze di esposizione di PII (nomi, email, numeri di telefono), inclusi 26 numeri di previdenza sociale e 92 IBAN validati.
Peer Review e Conflitti (Media): 3.386 istanze di dispute di peer-review e 3.283 conflitti tra autori/disaccordi interni.
Artefatti Non Referenziati: File di configurazione (JSON/YAML), artefatti di database e codice sorgente contenenti token incorporati e tracce di debug sono stati trovati in file non referenziati.
Metadati: 631 immagini contenevano dati EXIF sensibili, inclusi coordinate di geolocalizzazione e identificatori di dispositivo.
Link di Accesso: Sono stati trovati 650 link a storage cloud privato (Google Drive, Dropbox, ecc.), di cui due terzi accessibili senza ulteriore autenticazione.

Performance del Modello

Qwen-2.5 72B ha raggiunto il miglior equilibrio tra performance e costo, raggiungendo un'Accuratezza di Corrispondenza Esatta dell'80,0% e un'Accuratezza di Almeno Uno del 91,0%.
GPT-5 ha raggiunto la EMA più alta (82,7%) ma a un costo circa 18 volte superiore rispetto a Qwen-2.5 72B per l'intero corpus.
TruffleHog (basato su pattern) ha performato male sui dati sensibili al contesto, rilevando solo 4 credenziali vere con un alto tasso di falsi positivi (EMA < 10%).

Fattibilità Economica

Lo studio dimostra che l'estrazione su larga scala di informazioni sensibili è economicamente fattibile per avversari a basse risorse. Il costo totale per analizzare 100.000 paper utilizzando la pipeline Qwen-2.5 72B è stato di circa **90 $** (37$ per il recupero S3 + 50,4$ per l'inferenza LLM). Estrapolando all'intero corpus di arXiv, il costo rimane nella bassa migliaia di dollari (~3,3k), rendendo questa una minaccia scalabile.

Significato e Affermazioni

L'articolo afferma che l'estrazione su larga scala di informazioni sensibili dagli archivi di preprint costituisce una minaccia grave alla sicurezza e alla reputazione per individui e istituzioni.

Rischio Sistemico: La fuoriuscita non è un caso limite ma un problema sistemico che colpisce quasi il 10% delle sottomissioni.
Limiti delle Pratiche Attuali: La dipendenza dagli autori per sanificare manualmente i file sorgente è insufficiente. L'articolo evidenzia un "vuoto strutturale" in cui gli autori concedono diritti di distribuzione senza necessariamente comprendere che commenti e file ausiliari sono permanentemente pubblici.
Efficacia degli LLM: Lo studio dimostra che gli LLM sono unici nel rilevare segreti dipendenti dal contesto che gli strumenti tradizionali basati su regex mancano, in particolare nel testo scientifico non strutturato.
Appello all'Azione: Gli autori esortano la comunità di ricerca e gli operatori dei repository a implementare immediatamente salvaguardie, tra cui:
- Lato Autore: Sanificare i pacchetti sorgente (rimuovendo commenti e file non utilizzati) ed evitare di memorizzare segreti nelle directory del progetto.
- Lato Piattaforma: Fornire avvisi espliciti al momento del caricamento, offrire strumenti di sanificazione opzionali (ad esempio, rimozione dei commenti) e scansionare i dati sensibili prima della pubblicazione.

Gli autori sottolineano che il loro lavoro è un audit di "verifica passiva" inteso a evidenziare i rischi infrastrutturali, non a esporre individui specifici. Tutti gli strumenti, i benchmark e gli script sono stati rilasciati pubblicamente per supportare la scienza aperta e la divulgazione responsabile.