論文要約：LLM は内部的に何が「プライベート」かを知っているか？大規模言語モデルの表現における文脈的プライバシー規範の探査と誘導

この論文は、大規模言語モデル（LLM）が高度に機密性の高い文脈において、なぜ頻繁にプライバシー規範を違反するのかという根本的な問いに答えることを目的としています。著者らは、LLM が内部的に「文脈的プライバシー（Contextual Privacy）」の規範をどのように表現しているかを調査し、その構造を利用した新しい制御手法「CI-Parametric Steering」を提案しました。

以下に、問題定義、手法、主要な発見、結果、および意義について詳細にまとめます。

1. 問題定義

LLM は医療や個人アシスタントなどの高リスクな分野で広く利用されていますが、人間が慎重さを発揮する状況でも、プライベートな情報を不適切に開示する（漏洩する）ことが頻繁に発生しています。

従来のプライバシー対策は、主に「学習データの記憶（memorization）の軽減」や「生成時のフィルタリング」に焦点を当てており、プライバシーをモデルパラメータや出力の静的な性質として扱ってきました。しかし、これは**情報の流れ（Information Flow）**という側面、特に社会的文脈に基づいて「共有すべきか否か」を判断する動的なプロセスを見落としています。

文脈的整合性（Contextual Integrity: CI）理論（Nissenbaum, 2004）によれば、プライバシーは情報の内容の感度だけでなく、文脈固有の規範によって支配される適切な情報フローによって定義されます。例えば、同じ「病状」という情報でも、医師から専門医へ共有することは適切ですが、友人に話すことは不適切です。

本研究の核心となる問いは以下の通りです：

• LLM は内部的に文脈的プライバシー規範をエンコードしているのか？
• もしエンコードされているなら、なぜ実際の行動（生成）では違反が起きるのか？
• 内部表現の構造を利用することで、より効果的にプライバシー漏洩を防ぐことはできるのか？

2. 手法とアプローチ

著者らは、LLM の内部表現（残差ストリーム）におけるプライバシー規範の探査（Probing）と、その構造を利用した誘導（Steering）を行いました。

2.1 探査フレームワーク（Probing）

4 つのモデル（Llama-3.1, Qwen-2.5, Mistral, Llama-2）を対象に、3 つのレベルで探査を行いました。

1. 概念レベル（Concept Level）:
   • 適切な情報フローと不適切な情報フローを区別する対照的なデータセットを作成。
   • 隠れ状態（Hidden States）からプライバシーの方向性を抽出し、線形分離可能性を評価。
2. 行動レベル（Behavioral Level）:
   • 社会的なロールプレイシナリオ（秘密保持 vs 正当な共有）において、モデルが実際に情報を漏洩するか否かを評価。
   • 内部認識と実際の出力の間に「ギャップ」があるかを確認。
3. CI パラメータレベル（CI-Parametric Level）:
   • CI 理論の 3 つの規範決定パラメータ（情報の種類、受信者、伝達原則）を個別に変化させ、それぞれが独立した部分空間（Subspace）にエンコードされているかを検証。

2.2 CI-Parametric Steering（提案手法）

探査結果に基づき、推論時にモデルの内部表現を操作する新しい手法を提案しました。

• 単一方向 steering（Monolithic Steering）: 従来の手法のように、プライバシーを単一のベクトルとして扱う。
• CI-Parametric Steering: 文脈的プライバシーが複数の独立した次元（情報の種類、受信者、伝達原則）で構成されていることを利用し、各 CI パラメータに対応する方向ベクトルを個別に、かつ同時に加算して誘導します。
  • 数式：$h'_l = h_l + \alpha \sum_{p \in P} v^{(p)}_l$
  • ここで、$P$ は 3 つの CI パラメータ、$v^{(p)}_l$ は各パラメータに対応する単位正規化された方向ベクトルです。

3. 主要な発見（Key Findings）

発見 1：プライバシーは線形にエンコードされているが、単一方向ではない

• 概念レベルの探査により、プライバシー規範は残差ストリームの上層で線形に分離可能であることが確認されました。
• しかし、単一の PCA 成分（方向）では表現できず、少なくとも 3 つの主成分が必要であることが判明しました。これは、プライバシーが単一の概念ではなく、多次元の構造を持っていることを示しています。

発見 2：プライバシー認識のギャップ（Privacy Awareness Gap）

• モデルは内部表現においてプライバシー規範をほぼ完璧に（AUROC 0.9 以上）分類できる能力を持っていますが、行動レベルでは 42.5% の確率でプライベート情報を漏洩しました。
• これは、モデルが「何がプライバシーか」を理解していないからではなく、内部表現と行動の間に乖離があることを意味します。

発見 3：プライバシーは CI 整合的な部分空間に存在する

• 情報の種類、受信者、伝達原則の 3 つのパラメータは、それぞれ機能的に独立した部分空間にエンコードされていることが確認されました。
• 一つの CI パラメータの方向ベクトルを他のパラメータの分類タスクに用いても精度が低下することから、これらが独立した軸であることが実証されました。

4. 実験結果

合成データおよびベンチマークでの性能

• 漏洩率の削減: 合成データセットにおいて、CI-Parametric Steering は漏洩率を 42.5% から5.0% まで削減しました（PPI: 98.8%）。
• 汎化性能: 単一の方向ベクトルを用いた既存の手法（Additive Steering, LoRRA など）は、学習データとは異なるベンチマーク（CONFAIDE, PrivaCI-Bench）へ転移した際に性能が低下したり、逆に漏洩を増加させたりしました。
  • 例：CONFAIDE ベンチマークでは、単一方向の steering は漏洩率を 24.1% から 47.4% に悪化させましたが、CI-Parametric Steering は**0.0%〜2.6%**に抑えました。
• ロバスト性: CI-Parametric Steering は、誘導の強さ（$\alpha$）の変化に対して安定しており、単一方向の手法が非常に敏感に反応して失敗するのに対し、一貫してプライバシーを保護しました。

構成要素の分析

• 3 つの CI パラメータを個別に steering すると、むしろ漏洩が増加するケースがありました（モデルのバランスを崩すため）。
• しかし、3 つの軸を組み合わせることで相乗効果が生まれ、漏洩を劇的に削減できました。これは、プライバシー規範がこれらのパラメータの組み合わせによって定義されることを示しています。

5. 意義と結論

学術的・技術的意義

1. プライバシーの表現構造の解明: LLM におけるプライバシーが単一のベクトルではなく、CI 理論に基づく多次元の部分空間として表現されていることを初めて実証しました。
2. 認識と行動の乖離の特定: モデルがプライバシーを「理解」している（内部表現に存在する）にもかかわらず、それを「実行」できない（漏洩する）というギャップを特定し、その原因が表現と行動の不一致にあることを示しました。
3. 新しい制御パラダイム: 単一の方向ベクトルによる制御（Monolithic Steering）の限界を明らかにし、**構造化された多次元の介入（CI-Parametric Steering）**が、よりロバストで解釈可能なプライバシー制御を可能にすることを示しました。

結論

LLM のプライバシー違反は、プライバシーへの「無知」によるものではなく、表現と行動の間の不整合に起因します。文脈的整合性（CI）理論の構造を内部表現の探査と制御に適用することで、このギャップを埋め、実世界での展開において信頼性の高いプライバシー保護を実現できる可能性が示されました。

この研究は、LLM の安全性とプライバシー保護を、単なる出力フィルタリングや微調整ではなく、モデルの内部表現構造の理解と操作という新しい視点からアプローチする道を開いた点で画期的です。