Technische Samenvatting: SynBench – Een Benchmark voor Differentieel Private Tekstgeneratie

Probleemstelling

De proliferatie van Large Language Models (LLMs) heeft een kritieke bottleneck gecreëerd: de uitputting van publiek beschikbare, hoogwaardige trainingsdata. Hoewel er enorme hoeveelheden gevoelige data bestaan in gespecialiseerde domeinen (gezondheidszorg, financiën, recht), beletten privacy- en regelgevingsbeperkingen hun gebruik. Synthetische datageneratie biedt een potentiële oplossing, maar bestaande aanpakken staan voor drie gefragmenteerde uitdagingen:

1. Gebrek aan Standaardisatie: Bestaande evaluaties vertrouwen op "pick-and-choose"-datasets en metrieken, waarbij vaak eenvoudige open-domein data wordt gebruikt (bijv. productrecensies) die domeinspecifieke complexiteiten zoals technische jargon of lange-contextafhankelijkheden niet vastleggen.
2. Vervuiling tijdens Pre-training: Veel benchmarkdatasets die worden gebruikt om differentieel private (DP) generators te evalueren, kunnen zijn tegengekomen tijdens de pre-training van de onderliggende LLM's. Dit leidt tot een overschatting van de generatiekwaliteit, omdat modellen mogelijk gebruikmaken van gememoriseerde informatie in plaats van te leren van de private dataset.
3. Onvoldoende Privacy-auditing: Huidig onderzoek vertrouwt vaak uitsluitend op formele $(\epsilon, \delta)$-garanties zonder rigoureuze empirische verificatie. Bijgevolg blijven privacy-schendingen veroorzaakt door blootstelling tijdens pre-training ongedetecteerd, en kan het paradigma "publieke pre-training en private generatie" de beweerde privacygrenzen in de praktijk ongeldig maken.

Methodologie: Het SynBench-kader

De auteurs introduceren SynBench, een unificerend benchmark- en auditkader dat is ontworpen om DP-tekstgeneratie te evalueren langs drie assen: Utility, Fidelity en Privacy-lek.

1. Dataset-curatie

SynBench maakt gebruik van negen gecureerde datasets die hoge-stakes-domeinen bestrijken, en gaat verder dan open-domein benchmarks:

• Gezondheidszorg: HOC (kankerliteratuur), N2C2'08 (klinische samenvattingen), PSYTAR (sociale media-effecten van medicijnen) en MIMIC (triage-samenvattingen).
• Financiën: DMSAFN, LC37FND en ZSTFNS (nieuws en tweets voor sentiment).
• Recht: ASYLEX (redenering) en EURLEX (multi-label classificatie).
  Deze datasets kenmerken zich door lange documenten, afgesloten toegang, gespecialiseerde terminologie en complexe labelruimten.

2. Evaluatie-baselines

Het kader benchmarkt drie distincte DP-generatieparadigma's:

• AUG-PE: Een API-gebaseerde methode die gepubliceerde feature-statistieken schat en iteratief een LLM raadpleegt om deze te matchen.
• DP-Gen (DP-transformers): End-to-end neurale generatie met DP-SGD (gradient clipping en ruisinjectie) om Transformer-modellen te trainen.
• DP-Diffusion (DP-Dfs): Een op diffusie gebaseerde generator die een omgekeerd ontdeningsproces leert met DP-beperkingen.

3. Evaluatieprotocol

• Utility: Gemeten door downstream classificatiemodellen te trainen op synthetische data en de prestaties te evalueren op vastgehouden originele data.
• Fidelity: Beoordeeld via MAUVE (semantische uitlijning), Named Entity Recognition (NER)-distributieafwijking en tekstlengtestatistieken.
• Privacy-auditing (MIA): De auteurs stellen een nieuwe Synthetic Text Membership Inference Attack (MIA) voor. In tegenstelling tot standaard MIAs die toegang tot modellogits veronderstellen, werkt deze aanval in een black-box setting waarbij de adversary alleen de synthetische dataset heeft.
  • Proces: De pipeline identificeert outlier-records in de private dataset, partitioneert data in private en auxiliary sets, genereert synthetische data en traint n-gram-modellen om lidmaatschapssignalen te detecteren.
  • Meting: Het Area Under the Curve (AUC) van de Receiver Operating Characteristic (ROC) wordt gebruikt om lekken te kwantificeren.

4. Analyse van vervuiling

Om pre-training-lekken aan te pakken, gebruiken de auteurs de Infini-gram API om exacte overlappingen te meten tussen private trainingssets en publieke web-schaal corpora (geproxied door RedPajama). Ze correleren dit lekpercentage met de kwaliteit van synthetische data en privacyrisico's.

Belangrijkste Resultaten

1. Uitdagingen voor Utility en Fidelity

• Domein-afhankelijkheid: Huidige DP-methoden worstelen om real-data-baselines te evenaren, vooral in complexe, domeinspecifieke settings. Hoge utility is vaak dataset-afhankelijk in plaats van methode-afhankelijk.
• Privacy-Utility Trade-off: Striktere privacy-budgetten ($\epsilon$) correleren niet altijd lineair met verminderde prestaties, maar hoogwaardige generatie onder sterke DP-beperkingen blijft ontvlucht.
• Modelinstorting: DP-Diffusion vertoont broosheid onder sterke privacy-beperkingen (bijv. $\epsilon=0.5$), en stort vaak in tot degeneratieve output (lege of willekeurige strings).
• Verslechtering van Fidelity: MAUVE-scores en distributiemetrieken tonen aan dat distributies van synthetische data significant afwijken van echte data; deze kloof wordt breder onder DP-beperkingen.

2. De Impact van Vervuiling tijdens Pre-training

• Opgeblazen Scores: Er bestaat een sterke positieve correlatie tussen het percentage gelekte samples (overlapping met pre-training data) en de gemeten kwaliteit van synthetische data (zowel utility als fidelity).
• PSYTAR Case Study: Op de afgesloten PSYTAR-dataset hebben de auteurs 416/5102 samples gemarkeerd als potentieel vervuild. Het verwijderen van deze samples leidde tot een monotoon afnemende downstream-utility, wat bewijst dat "hoge scores" werden gedreven door gememoriseerde pre-training data in plaats van echt leren van de private dataset.

3. Bevindingen van het Privacy-audit

• Schending van Grenzen: Empirische MIA-resultaten overschrijden vaak theoretische $(\epsilon, \delta)$-grenzen, met name voor datasets met hoge pre-training-lekken (bijv. PSYTAR, DMSAFN).
• Non-monotoonheid: De mapping van privacy-budget $\epsilon$ naar empirisch lek is niet-monotoon. Striktere budgetten verminderen niet altijd het lek; in sommige gevallen (bijv. PSYTAR) nam de AUC toe toen $\epsilon$ daalde van 4 naar 0.5.
• Risico van Pre-training: Modellen getraind op synthetische data gegenereerd zonder DP (of met zwakke DP) kunnen kwetsbaarder zijn voor membership inference dan modellen die direct op private data met DP zijn getraind, wat complexe interacties suggereert tussen blootstelling tijdens pre-training en de synthetische pipeline.

Betekenis en Claims

Het artikel betoogt dat DP-synthetische tekstgeneratie een onopgeloste uitdaging blijft voor hoogwaardige, domeinspecifieke toepassingen. De primaire bijdragen zijn:

1. Unificerend Kader: Het biedt de eerste gestandaardiseerde benchmark voor DP-tekstgeneratie die utility, fidelity en rigoureuze privacy-auditing integreert over diverse, hoge-stakes-domeinen.
2. Bewustzijn van Vervuiling: Het demonstreert dat het negeren van vervuiling tijdens pre-training leidt tot een fundamentele overschatting van generatiekwaliteit en een vals gevoel van veiligheid met betrekking tot privacygaranties.
3. Empirische Validatie: Het levert kwantitatief bewijs dat het paradigma "publieke pre-training en private generatie" real-world privacygrenzen kan ongeldig maken. De auteurs stellen dat utility en fidelity geïnterpreteerd moeten worden naast rigoureuze privacy-audits, in plaats van uitsluitend te worden afgeleid uit privacy-budgetten of intuïtie.
4. Oproep tot Auditing: Het werk motiveert de adoptie van vervuiling-bewuste rapportage en gestandaardiseerde, multi-aanval modelgebaseerde audits om de praktische geldigheid van DP-garanties bij synthetische datageneratie te waarborgen.

De auteurs concluderen dat, hoewel DP een principiële aanpak biedt voor datadeling, huidige methoden nog niet betrouwbaar utility, fidelity en privacy in evenwicht kunnen brengen zonder rekening te houden met de complexe wisselwerking tussen pre-training data en private generatietaken.