Riepilogo Tecnico: Indagine sulle Perdite di Privacy nella Generazione di Codice basata su LLM tramite Generazione di Test

Definizione del Problema

I Large Language Models (LLM) addestrati su repository di codice su larga scala, ottenuti tramite scraping pubblico, rischiano di memorizzare e riprodurre informazioni personali identificabili (PII) sensibili, caricate involontariamente dagli sviluppatori (ad esempio, credenziali, chiavi API, indirizzi email). Sebbene esistano metodi esistenti per il rilevamento delle perdite di privacy, questi presentano limitazioni significative:

1. Costruzione Ad-hoc dei Prompt: I metodi attuali si basano su prompt progettati manualmente o automaticamente che non riescono ad approssimare i contesti realistici in cui le PII appaiono nei corpora di codice.
2. Ambito e Applicabilità Limitati: Alcuni metodi sono adattati a modelli specifici (ad esempio, Codex) o si basano su strategie basate sulla mutazione che generano prompt privi di fondamento in contesti di codice autentici, portando a output allucinati o simili a segnaposto piuttosto che a reali perdite di privacy.
3. Evasione dei Meccanismi di Sicurezza: La query diretta ai modelli per ottenere PII spesso attiva rifiuti di sicurezza, limitando la capacità di valutare efficacemente i rischi di perdita.

La sfida principale è sviluppare un metodo che simuli scenari di sviluppo pratici per elicitarre PII memorizzate senza attivare rifiuti di sicurezza, distinguendo al contempo tra perdite realistiche e allucinazioni del modello.

Metodologia

Gli autori propongono una pipeline guidata dai test che valuta la perdita di privacy generando casi di test unitari invece di richiedere direttamente dati sensibili. La pipeline consta di quattro fasi principali:

1. Costruzione della Domanda di Generazione di Codice

La pipeline costruisce scenari di sviluppo radicati in domini applicativi realistici (ad esempio, applicazioni aziendali, servizi mobili, piattaforme cloud).

• Istanza dello Scenario: Gli attributi di privacy (ad esempio, email, numero di telefono) sono mappati su specifici scenari software in cui sono funzionalmente richiesti.
• Generazione della Domanda: Questi scenari sono istanziati in domande concrete di generazione di codice. Questo approccio garantisce che i prompt assomiglino ai contesti originali di addestramento, aumentando la probabilità di attivare la memorizzazione.

2. Risposta del Modello ed Elicitazione del Caso di Test

Invece di chiedere al modello di produrre PII direttamente, la pipeline utilizza un'interazione in due passaggi:

• Generazione di Codice: L'LLM valutato genera un frammento di codice funzionale basato sulla domanda dello scenario.
• Generazione del Caso di Test: Il modello viene quindi sollecitato a generare casi di test unitari per il codice generato. I prompt per questo passaggio sono potenziati con una Libreria di Caratteristiche di Privacy (vedi sotto) per incoraggiare il modello a fornire input realistici e strutturati secondo l'attributo (ad esempio, formati email validi) piuttosto che segnaposto banali. Questo pattern di interazione indiretta è meno soggetto a rifiuti di sicurezza.

3. Libreria di Caratteristiche di Privacy

Per sostituire l'ingegneria manuale dei prompt e guidare il modello verso output realistici, gli autori introducono una Libreria di Caratteristiche di Privacy costruita automaticamente e aggiornata iterativamente.

• Componenti: Per ogni attributo di privacy, la libreria contiene:
  • Modelli ($\Lambda_{tmp}$): Pattern strutturali astratti (ad esempio, user.email = <EMAIL>).
  • Frammenti ($\Lambda_{frag}$): Sottosequenze di livello valore realistiche derivate da pattern di perdita reali.
• Costruzione: La libreria viene inizializzata con conoscenze pregresse e arricchita utilizzando istanze di perdita confermate da esecuzioni precedenti della pipeline.
• Elaborazione: Le perdite confermate vengono decomposte in modelli e frammenti utilizzando un modello orientato al codice (CodeBERT) per analizzare la pseudo-verosimiglianza negativa logaritmica (pseudo-NLL) a livello di token. I token con bassa pseudo-NLL (elementi strutturali comuni) sono classificati come modelli, mentre i token con alta pseudo-NLL (valori specifici) sono classificati come frammenti. Viene quindi applicato il clustering semantico (DBSCAN) per consolidare pattern equivalenti ed eliminare il rumore.

4. Filtraggio e Verifica

I candidati estratti subiscono un rigoroso processo di verifica per confermare la perdita:

• Filtraggio tramite LLM Giudice: Un modello oracolo scarta allucinazioni, segnaposto e valori implausibili basandosi su caratteristiche strutturali e semantiche.
• Ricerca su GitHub: I candidati sono verificati contro repository pubblici di GitHub. Una corrispondenza (1–100 risultati) suggerisce che la stringa esiste nei corpora di codice reali.
• Revisione Umana: Due autori ispezionano manualmente i contesti corrispondenti per confermare che la stringa rappresenti informazioni personali reali piuttosto che documentazione o dati di test.
• Output: Vengono riportate solo le istanze "Confermate", fornendo un limite inferiore conservativo sulla perdita di privacy.

Contributi Chiave

1. Pipeline Guidata dai Test: Una pipeline innovativa per valutare la perdita di privacy nelle attività di generazione di codice che sfrutta scenari di sviluppo realistici e la generazione di casi di test per aggirare i meccanismi di sicurezza ed elicitarre dati memorizzati.
2. Libreria di Caratteristiche di Privacy Automatizzata: Una libreria costruita automaticamente che fornisce modelli e frammenti realistici, riducendo la dipendenza dall'ingegneria manuale dei prompt e migliorando la qualità dei valori di privacy elicitali.
3. Valutazione Empirica su Larga Scala: Esperimenti estensivi su cinque LLM commerciali ampiamente utilizzati (serie GPT e serie DeepSeek) che dimostrano l'efficacia della pipeline.

Risultati Sperimentali

Lo studio ha valutato 5 LLM su 15 attributi di privacy e 3 categorie (Identificabile, Privato, Segreto).

• Volume di Perdita: La pipeline ha identificato una media di 105.7 istanze confermate per la serie GPT e 79.5 per la serie DeepSeek.
• Confronto con le Baseline: Il metodo proposto ha ottenuto un aumento di 2,56 volte nella perdita rilevata rispetto alle baseline esistenti (CodexLeaks e Codebreaker).
• Tassi di Perdita: La proporzione complessiva di perdita è stata del 17,6‰ per i modelli GPT e del 13,3‰ per i modelli DeepSeek. La categoria "Identificabile" ha mostrato il tasso di perdita più alto (24,64‰), con Email e Nome Account/Utente come attributi più frequentemente persi.
• Perdita Interconnessa: Il metodo ha scoperto risposte contenenti molteplici elementi di privacy interconnessi più frequentemente rispetto alle baseline, suggerendo che i test guidati dagli scenari favoriscono l'esposizione di combinazioni complesse di privacy.
• Studi di Ablazione: La rimozione di qualsiasi componente centrale (Domande basate su Scenari, Libreria di Caratteristiche o Generazione di Casi di Test) ha degradato significativamente le prestazioni, confermando la necessità dell'intera pipeline.

Significato e Affermazioni

Il paper afferma che il suo approccio fornisce una metodologia di audit pratica per valutare i rischi di privacy nella generazione di codice basata su LLM. Simulando interazioni realistiche degli sviluppatori, la pipeline rivela perdite di privacy non trascurabili che i metodi esistenti non rilevano. Gli autori sottolineano che le cifre di perdita riportate sono limiti inferiori conservativi, poiché si basano sulla ricerca su GitHub come proxy per i dati di addestramento ed escludono i candidati non verificati.

Il lavoro evidenzia che anche i modelli con meccanismi di sicurezza possono riprodurre dati sensibili quando sollecitati attraverso interazioni indirette simili a quelle degli sviluppatori (generazione di test). Gli autori posizionano il loro lavoro come un passo verso una distribuzione più sicura e affidabile degli LLM nello sviluppo software, riconoscendo al contempo le limitazioni relative all'impossibilità di verificare la verità fondamentale per i modelli commerciali e all'attuale dipendenza dalla revisione manuale per audit ad alta confidenza.