Decomposing Memorization Reduction in Privacy-Preserving Fine-Tuning of SLMs for CSIRTs

Sintesi Tecnica: Decomposizione della Riduzione della Memorizzazione nella Fine-Tuning Preservante la Privacy di SLM per i CSIRT

Definizione del Problema
I Team di Risposta agli Incidenti di Sicurezza Informatica (CSIRT) utilizzano sempre più modelli linguistici piccoli (SLM) per il triage delle scansioni di vulnerabilità. Tuttavia, i record operativi contengono dati topologici interni sensibili (IP, hostname, nomi di asset) che, se memorizzati dai modelli durante la fine-tuning, creano rischi per la privacy ai sensi di regolamenti come il GDPR e la LGPD. Sebbene esistano difese come la Differential Privacy (DP-SGD) e la pseudonimizzazione crittografica, la loro interazione empirica nel contesto specifico della fine-tuning di SLM da 1–3 miliardi di parametri su dati strutturati dei CSIRT rimane inesplorata. Il lavoro precedente si è concentrato principalmente su modelli più grandi, benchmark generici o sulla valutazione delle difese in isolamento piuttosto che sulla loro composizione.

Metodologia
Gli autori hanno condotto uno studio empirico coinvolgendo quattro SLM open-weight (Gemma 3 1B, Qwen3 1.7B, Llama 3.2 3B e VaultGemma 1B) sottoposti a fine-tuning su un dataset sintetico di 70.951 record di vulnerabilità (Mock CAIS) derivati da dati dello scanner Tenable. Lo studio ha utilizzato 96 adattatori LoRA attraverso quattro distinti regimi di addestramento per isolare i contributi marginali di vari meccanismi:

1. V0 (Raw): Baseline non protetta utilizzando pesi bf16.
2. V1 (Stack): Aggiunge QLoRA (quantizzazione a 4 bit) e grandi lotti di batching (lotto effettivo 32 tramite accumulo del gradiente).
3. V2 (ε=8): Aggiunge DP-SGD con Ghost Clipping a V1.
4. V3 (ε=2): Un budget DP-SGD più rigoroso.

Lo studio ha impiegato un protocollo di "attacco duale" per valutare la memorizzazione:

• Attacco 1: Interroga il modello per gli identificatori originali (canary) piantati nei dati di addestramento.
• Attacco 2: Interroga il modello per lo "slug" pseudonimizzato tramite HMAC (ad es. [IP_ADDRESS_6975bab4]) generato dallo strumento di pre-processing AnonShield.

La memorizzazione è stata misurata utilizzando metriche di esposizione (basate su log-rank) e attacchi di inferenza di appartenenza (MIA) basati sulla perdita (loss) su 20 canary piantati, replicati 10 volte ciascuno. L'utilità è stata valutata tramite classificazione della severità basata sui logit (bucket CVSS) su dati non utilizzati (held-out).

Contributi Chiave

1. Decomposizione della Riduzione della Memorizzazione: Lo studio dimostra che la riduzione della memorizzazione osservata passando dalla fine-tuning raw alla "stack" di QLoRA e batching di grandi lotti è guidata principalmente dalla riduzione del numero di aggiornamenti dell'ottimizzatore (meno step), piuttosto che dai meccanismi di privacy stessi. I controlli con aggiornamenti corrispondenti hanno riprodotto il 66–132% (media 100%) della riduzione della memorizzazione vista nella transizione V0→V1 esclusivamente riducendo il conteggio degli aggiornamenti.
2. Composizione delle Difese: Il documento valuta la composizione di DP-SGD e la pseudonimizzazione HMAC. Si scopre che DP-SGD aggiunge garanzie formali $(\epsilon, \delta)$ ma non fornisce un'ulteriore riduzione significativa della memorizzazione oltre a quanto ottenuto con la riduzione degli aggiornamenti dell'ottimizzatore nel regime V1.
3. Efficacia della Pseudonimizzazione: La pseudonimizzazione HMAC rimuove con successo l'identificatore originale dalla superficie di esposizione (riducendo l'esposizione del 40–61% nel regime raw) senza creare un bersaglio di memorizzazione secondario. L'esposizione dello slug HMAC stesso rimane entro ±0,65 bit dal valore di base del caso (chance floor) in tutti i modelli e le varianti.
4. Identificazione del Gap di Utilità: Sotto il budget di addestramento valutato (3 epoche, 3.200 record), gli SLM da 1–3B non riescono a raggiungere l'utilità operativa per la classificazione della severità, con punteggi F1 compresi tra 0,19 e 0,28. Ciò indica un "gap condizionale al budget" in cui questi modelli non convergono a livelli di prestazione utili, indipendentemente dal regime di privacy.

Risultati

• Memorizzazione: Il passaggio da V0 a V1 ha ridotto la media dell'esposizione del 36–66%. Tuttavia, l'aggiunta di DP-SGD (V2, V3) non ha prodotto ulteriori riduzioni statisticamente significative dopo la correzione per i tassi di falsa scoperta.
• Pseudonimizzazione: Nel regime raw (V0), la pseudonimizzazione HMAC ha ridotto l'esposizione dei canary originali del 40–61%. Fondamentalmente, il modello non ha memorizzato gli slug HMAC; l'esposizione dello slug è rimasta vicina al baseline casuale (circa 1 bit) in tutte le 16 celle modello-variante.
• Utilità: Gli score F1-macro per la classificazione della severità sono rimasti bassi (0,19–0,28) in tutti i 96 adattatori, superando appena il baseline "sempre-Medium" (0,125) e ben al di sotto delle soglie operative (≥0,5). Il prompt engineering sui modelli base ha mostrato una bassa utilità simile, confermando che il gap non è solo un artefatto della fine-tuning ma un limite della dimensione del modello e della formulazione del task.
• Pericolo di Deployment: Lo studio ha identificato un problema di compatibilità in cui DP-SGD fallisce sulle architetture SLM multimodali (ad es. Gemma 4, Qwen3-VL) perché i moduli di attenzione per le torri non testuali non ricevono gradienti, causando l'aborto dell'ottimizzatore. Ciò richiede l'uso di regex di esclusione specifiche per l'architettura.

Significatività e Rivendicazioni
Il documento sostiene di essere il primo studio empirico che decompone la riduzione della memorizzazione negli SLM da 1–3B sottoposti a fine-tuning su dati strutturati dei CSIRT sotto difese composte. La sua significatività primaria risiede nel chiarire che:

• Gli aggiornamenti dell'ottimizzatore sono il fattore dominante: Il beneficio percepito delle "stack" preservanti la privacy (QLoRA + batching) è in gran parte un sottoprodotto della riduzione degli step di addestramento, non del meccanismo di privacy stesso.
• La pseudonimizzazione è sicura: La pseudonimizzazione crittografica nasconde efficacemente gli identificatori originali senza spostare il rischio di memorizzazione verso i pseudonimi.
• Limitazioni Operative: Gli attuali SLM da 1–3B, anche con fine-tuning, potrebbero non essere operativamente vitali per compiti di classificazione della vulnerabilità strutturata sotto i normali vincoli hardware on-premise, suggerendo la necessità di modelli più grandi o diverse formulazioni del task.

Gli autori dichiarano esplicitamente che le loro scoperte sono specifiche per il regime 1–3B e i dati strutturati, e non pretendono che questi risultati si generalizzino a modelli più grandi (≥7B) o a dati narrativi non strutturati, dove il lavoro precedente suggerisce un'utilità maggiore.