Technische Samenvatting: Privacy-Aware Decoding (PAD)

Probleemdefinitie

Retrieval-Augmented Generation (RAG) verbetert Large Language Models (LLMs) door de outputs te conditioneren op externe kennisbronnen. Wanneer de retrieval-corpus echter privé of gevoelige gegevens bevat, zijn RAG-systemen echter kwetsbaar voor extractie-aanvallen. Aanvallers kunnen prompts ontwerpen om het model te dwingen letterlijke tekst of persoonlijk identificeerbare informatie (PII) rechtstreeks uit de opgehaalde documenten te lekken.

Bestaande mitigatiestrategieën kampen met twee primaire beperkingen:

1. Decoding Kwetsbaarheid: Zelfs met private retrieval-mechanismen kan de decoding-fase (generatie) fungeren als een lekkanaal. Strategieën met een lage temperatuur of greedy decoding zorgen er vaak voor dat LLM's gevoelige inhoud letterlijk uitstoten, waardoor upstream-beschermingen worden omzeild.
2. Schaalbaarheid en Praktische Toepasbaarheid: Sterke differential privacy (DP) methoden zoals Differentially Private Stochastic Gradient Descent (DP-SGD) vereisen aanzienlijke hertraining, wat onpraktisch is voor grote, vooraf getrainde LLM's. Andere benaderingen vereisen vaak aanpassingen aan de retrieval-infrastructuur of corpusfiltering.

Er is behoefte aan een model-agnostische, inference-time defensie die privacy-lekken mitigeert zonder hertraining of het wijzigen van de retrieval-pipeline.

Methodologie: Privacy-Aware Decoding (PAD)

De auteurs stellen Privacy-Aware Decoding (PAD) voor, een lichtgewicht, inference-time mechanisme dat adaptief gekalibreerde Gaussische ruis injecteert in token-logits tijdens de generatie. PAD opereert volledig tijdens de decoding-fase en is model-agnostisch.

Het framework bestaat uit vier kerncomponenten:

1. Logit Clipping en Sensitivity Bounding

Om een deterministische sensitiviteitsgrens vast te stellen die vereist is voor differential privacy, past PAD eerst $L_2$ logit clipping toe. Voor een vaste radius $C$ worden de logits $\mathbf{s}_t$ geclipped naar $\bar{\mathbf{s}}_t$:
$$\bar{\mathbf{s}}_t = \mathbf{s}_t \cdot \min\left(1, \frac{C}{\|\mathbf{s}_t\|_2}\right)$$
Dit zorgt ervoor dat voor elke twee naburige retrieval-contexten, het verschil in geclipte logits begrensd wordt door $\Delta = 2C$, wat een vaste sensitiviteit biedt voor de Gaussische mechanisme.

2. Confidence-Based Screening

PAD past ruis niet uniform toe. In plaats daarvan gebruikt het een screening-mechanisme om hoog-risico tokens te identificeren. Een token wordt beschouwd als hoog-risico als:

• De betrouwbaarheid van het model (maximale softmax-waarschijnlijkheid) onder een drempelwaarde $\tau_{conf}$ ligt.
• De logit-marge (verschil tussen de top twee logits) onder een drempelwaarde $\tau_{margin}$ ligt.

Tokens die aan deze criteria voldoen, worden gemarkeerd voor extra bescherming; betrouwbare voorspellingen ontvangen minimale ruis om de bruikbaarheid (utility) te behouden.

3. Adaptive Noise Calibration

Voor hoog-risico tokens injecteert PAD Gaussische ruis $\mathcal{N}(0, \sigma_t^2 \mathbf{I})$ waarbij de schaal $\sigma_t$ dynamisch wordt gekalibreerd op basis van drie factoren:

• Risk-Adaptive Scale ($r_t$): Gemoduleerd door de logit-marge. Kleinere marges (hogere onzekerheid) resulteren in grotere ruis-schalen.
• Context-Aware Calibration: De ruis-schaal wordt verder aangepast door:
  • Token Entropie: Hogere entropie (onzekerheid) verhoogt de ruis.
  • Positie Factor: Vroege tokens in de sequentie ontvangen hogere ruis om foutpropagatie te voorkomen.
  • Confidence Factor: Lagere betrouwbaarheid verhoogt de ruis.
• Amplification Factor ($\lambda_{amp}$): Een globale parameter om de privacy-utility afweging af te stemmen.

De uiteindelijke ruis-schaal wordt berekend als:
$$\sigma_t = \sigma_{base} \cdot \text{calibrate}(\mathbf{p}_t, t) \cdot r_t \cdot \lambda_{amp}$$

4. Rényi Differential Privacy (RDP) Accounting

PAD maakt gebruik van een Rényi Differential Privacy accountant om de cumulatieve privacy-verlies bij te houden. Omdat de ruis-schaal $\sigma_t$ datagedependent (adaptief) is, is de gerapporteerde $(\varepsilon, \delta)$ garantie specifiek voor het gerealiseerde ruis-schema. Het framework hanteert een $\gamma$-relaxatie, wat formele DP-garanties biedt voor slechts het deel $\gamma$ van de tokens die als hoog-risico zijn geïdentificeerd, terwijl laag-risico tokens onbeschermd blijven om de kwaliteit van de generatie te behouden.

Belangrijkste Bijdragen

1. PAD Framework: De eerste decoding-time privacy-beschermingsmechanisme specifiek ontworpen voor RAG, dat geen hertraining of wijzigingen in de retrieval-infrastructuur vereist.
2. Adaptive Noise Mechanism: Een nieuwe benadering die zich richt op hoog-risico tokens met behulp van confidence-based screening en context-bewuste kalibratie, waarbij een balans wordt gevonden tussen privacy-bescherming en generatie-utility.
3. Expliciete Privacy Accounting: Een RDP-gebaseerde accountant die response-niveau $(\varepsilon, \delta)$ privacy-garanties rapporteert voor beschermde tokens onder een datagedependente ruis-schema.
4. Empirische Validatie: Uitgebreide evaluatie die aantoont dat PAD privacy-lekken vermindert terwijl de respons-utility behouden blijft over diverse datasets en modellen.

Experimentele Resultaten

De auteurs hebben PAD geëvalueerd op drie real-world datasets: HealthCareMagic, ChatDoctor-iCliniq (medische dialogen), en Enron Mail. Experimenten werden uitgevoerd met Pythia-6.9B en Llama2-7B modellen tegen black-box extractie-aanvallen.

Belangrijkste bevindingen:

• Privacy Mitigatie: PAD verminderde de lekkage van privé-informatie aanzienlijk. Op de HealthCareMagic dataset met Pythia-6.9B verminderde PAD "Repeat Prompt" lekkage (letterlijke reproductie van retrieved tekst) van 264 naar 127 (een reductie van 51,9%) en ROUGE-gebaseerde lekkage met 49,6%.
• Utility Behoud: In tegenstelling tot baselines die de kwaliteit van de generatie verslechteren, behield of verbeterde PAD de perplexiteit (PPL). Bijvoorbeeld, op HealthCareMagic behaalde PAD een PPL van 9,88 vergeleken met 10,94 voor de lekkage-baseline.
• Vergelijking met Baselines: PAD presteerde beter dan bestaande retrieval-gebaseerde defensies (Summarization, Set Distance Threshold) en post-processing methoden (Static Noise Injection) in de privacy-utility afweging.
• Ablatie Studies: Het verwijderen van de risk-adaptive of context-aware kalibratie componenten resulteerde in meetbare toenames in privacy-lekken, wat de noodzaak van de adaptieve componenten bevestigt.
• Parameter Sensitiviteit: De studie identificeerde een optimaal amplificatie-factor bereik (3.0–5.0) voor het balanceren van privacy en utility. Zeer lage $\varepsilon$ waarden (bijv. 0,01) elimineerden lekkage maar maakten outputs onbruikbaar door hoge perplexiteit.

Betekenis en Claims

Het artikel positioneert PAD als een belangrijke stap naar het mitigeren van privacy-risico's in RAG via decoding-strategieën. De auteurs beweren dat PAD een universele en schaalbare oplossing biedt voor gevoelige domeinen (zoals de gezondheidszorg) omdat het:

• Volledig tijdens inference opereert zonder hertraining.
• Model-agnostisch is en compatibel met bestaande retrieval-pipelines.
• Expliciete, per-respons privacy-accounting biedt.

Het werk erkent beperkingen, waarbij wordt opgemerkt dat de huidige $\gamma$-gerelaxeerde garantie slechts een subset van de tokens beschermt en dat de gerapporteerde privacy-accounting gebaseerd is op het gerealiseerde ruis-schema in plaats van een worst-case, input-onafhankelijke grens. De auteurs suggereren dat toekomstig werk de gezamenlijke optimalisatie van retrieval en training defensies moet verkennen en het framework naar multimodale RAG-settings moet uitbreiden.