技術的サマリー：インフィリングによる拡散言語モデルからのトレーニングデータ抽出

問題定義

自己回帰型言語モデル（ARM）におけるトレーニングデータの記憶化は、プレフィックス条件付き抽出（攻撃者がプレフィックスを提供し、モデルがサフィックスを生成する）を通じて広範に研究されてきたが、このアプローチは**拡散言語モデル（DLM）**のリスクプロファイルを完全に捉えきれていない。DLM は反復的なノイズ除去を通じて動作し、双方向的な帰納バイアスを有するため、周囲の文脈が与えられれば任意の位置のトークンを再構成できる。ARM 研究から継承されたプレフィックス条件付きプロービングにのみ依存することは、DLM におけるトレーニングデータ抽出のリスクを過小評価する。なぜなら、それはモデルが前後の文脈の両方を用いてマスクされたトークンを「埋め込む」能力を無視しているからである。

手法

著者は、任意の二値マスク $m$ によってパラメータ化された一般化されたデータ抽出プロトコル、インフィリング抽出を導入する。このプロトコルでは、トレーニングシーケンスが部分的にマスクされ、DLM はマスクされていない文脈に基づいてマスクされたトークンを再構成するようタスクを与えられる。再構成が元のマスクされたテキストと一致する場合、そのシーケンスは「抽出された」とみなされる。

実験設定

本研究は、2 つの大規模 DLM（LLaDA-8BおよびDream-7B）においてこのプロトコルを評価し、規模を一致させた ARM ベースライン（LLaMA-2-7B）と比較する。実験は以下の範囲をカバーする：

1. 5 つの抽出モード：
   • プレフィックス条件付き： 最初の $k$ トークンを露出（標準的な ARM ベースライン）。
   • サフィックス条件付き： 最後の $k$ トークンを露出。
   • エッジ条件付き： 最初と最後の $k/2$ トークンを露出（文脈を括弧で囲む）。
   • ミドル条件付き： 中央の連続するスパンを露出。
   • ランダム： $k$ トークンの一様ランダムな部分集合を露出。
   • ターゲット型： 機密性の高いエンティティ（PII）のみをマスクし、周囲のシーケンス全体を露出。
2. 3 つのトレーニングパイプライン： フルファインチューニング（FT）、低ランク適応（LoRA）、チャットテンプレート下での教師ありファインチューニング（SFT）。
3. 3 つのデータセット：
   • MIMIR Pile： 逐語的なシーケンス抽出用。
   • Enron Email： 個人識別情報（PII）（メールアドレスと電話番号）の抽出用。
   • Tulu3： インストラクションチューニング設定におけるプロンプト/レスポンスの漏洩用。
4. デコードパラメータ： 本研究は、ノイズ除去ステップ数（$T$）、半自己回帰的ブロックサイズ（$b$）、サンプリング温度（$\tau$）、およびリマスキング戦略の影響を分析する。

主な貢献

1. インフィリング抽出の形式化： 本論文は、プレフィックス条件付き抽出を一般化し、DLM の双方向性を明示的に考慮した、マスクパラメータ化プロトコルを定義する。
2. 体系的評価： 多様なアクセスパターン、露出レジーム、推論時の構成における大規模 DLM における記憶化の最初の体系的な研究を提供する。
3. 新たな漏洩経路の特定： 双方向アクセスが、ARM 構造的にアクセス不可能な漏洩経路（例えば、モデルレスポンスからのユーザープロンプトの回復など）を開くことを実証的に示す。

主要な結果

1. マスク幾何学が抽出可能性を支配する

露出された文脈の配置は、抽出の成功に大きな影響を与える。

• エッジ条件付きの優位性： エッジ条件付きマスク（開始と終了の両方を露出）は、プレフィックス条件付きマスクに比べて最大3 倍多くの逐語的シーケンスを抽出する。例えば、LLaDA-8B-FT において、エッジモードは 0.41% の ASR を達成し、プレフィックスは 0.18% であった。
• 双方向バイアス： これは、DLM が標準的なプレフィックスプロービングで利用されていない能力である、両方向からの文脈を活用してマスクされたトークンを再構成することを確認する。

2. 双方向アクセスが新たな漏洩経路を開く

• プロンプト回復： インストラクションチューニングモデル（SFT）において、攻撃者は既知のモデルレスポンスからユーザープロンプトを回復できる（レスポンス条件付き抽出）。プロンプト条件付き抽出（標準）が約 10% の ASR を示したのに対し、レスポンス条件付き抽出は依然として無視できない ASR（約 1.78–3.36%）を達成し、これは ARM には不可能な経路である。
• トークン対シーケンス： トークンレベルの回復（TER）は高い場合がある（例：ランダムマスクで 56%）が、正確な逐語的抽出（ASR）は低いままである。これは、露出されたトークンが部分的な回復を助ける足場を提供するが、完全なシーケンスの再生を保証するものではないことを示唆している。

3. 現実的な脅威モデル：編集済みデータと PII

本研究は、攻撃者がトレーニングデータの編集済みバージョン（規制リリースや部分的な漏洩などを通じて）を取得し、モデルを使用して編集された PII を回復する現実的なシナリオをシミュレートする。

• ターゲット型インフィリング： PII トークンのみがマスクされ、周囲の文脈が露出された場合、DLM は高い抽出可能性を示す。Enron データセットにおいて、ファインチューニングされた LLaDA-8B は、メールアドレスで40.5% のリコール、電話番号で**28.9%**を達成した。
• ARM との比較： 厳格なプレフィックス条件付き攻撃の下では、DLM は ARM よりも安全に見えた（LLaDA：16.3% 対 LLaMA：35.9% のメールアドレスリコール）。しかし、ターゲット型インフィリングの下では、DLM は ARM ベースラインと同等かそれ以上であった（LLaDA：40.5% 対 LLaMA：35.9%）。これは、プレフィックスのみの評価が、編集済みデータを含む現実的なシナリオにおける DLM のリスクを深刻に過小評価していることを示している。

4. デコードパラメータの影響

• ノイズ除去ステップ（$T$）： 高い $T$（より多くの精製ステップ）はリコールを増加させるが、スループット指向の低い $T$ 設定は記憶された内容を不明瞭にする。
• ブロックサイズ（$b$）： 大きなブロックサイズ（完全並列ノイズ除去）は、小さなブロック（AR 的な挙動）と比較して抽出成功率を大幅に増加させ、双方向並列性が漏洩の主要な駆動力であることを特定する。
• リマスキング戦略： 自信に基づくリマスキング（高自信予測のコミット）は、ランダムなリマスキングと比較して抽出を増幅する。
• 温度（$\tau$）： 貪欲デコード（$\tau \to 0$）は一般的に最も強力な抽出をもたらす。

5. SFT による持続性

インストラクションデータ上でのフォローアップの教師ありファインチューニング（SFT）段階は、記憶化を再分配するが、排除はしない。SFT 後にメールアドレスのリコールがわずかに減少したものの、電話番号のリコールはほとんど変化せず、短い特徴的な数値列がインストラクション追従の目的と直交しており、アライメントプロセスを生き延びることを示唆している。

意義と主張

本論文は、DLM の現在の安全性評価が、ARM 向けに設計されたプレフィックス条件付きプロトコルに依存しているため不完全であると主張する。インフィリング抽出を導入することで、著者は以下のことを示す：

1. DLM は以前考えられていたよりもトレーニングデータ漏洩のリスクが大きい、特に攻撃者が双方向文脈を利用したり、編集されたトレーニングデータにアクセスしたりできる場合。
2. マスク幾何学は記憶化における重要な要因であり、エッジ条件付きおよびターゲット型インフィリングは、プレフィックスのみのプロービングでは見えない脆弱性を明らかにする。
3. デコードパラメータは増幅と緩和の両方のレバーとして機能する；実務家はこれらを調整して、性能と漏洩耐性のバランスを取ることができる。

著者は、DLM は従来のプレフィックスベースの指標下では安全に見えるかもしれないが、その双方向性が、将来の安全性研究や展開戦略で対処されなければならない、ユニークかつ強力なデータ抽出経路を生み出していると結論づける。