Technische Samenvatting: Wanneer Tabellen Lekken: Aanvallen op String-memorizatie in LLM-gebaseerde Generatie van Tabulaire Data

1. Probleemstelling

Grote Taalmodellen (LLMs) zijn opgekomen als state-of-the-art generators voor synthetische tabulaire data, waarbij twee primaire regimes worden gebruikt: In-Context Learning (ICL), waarbij voorbeelden in het contextvenster worden verstrekt, en Supervised Fine-Tuning (SFT), waarbij modellen worden getraind op string-gecodeerde tabulaire data. Hoewel deze methoden hoge statistische fideliteit en bruikbaarheid voor downstream-taken bieden, introduceren ze een nieuwe privacykwetsbaarheid die verschilt van traditionele generatieve modellen (zoals GANs, VAEs).

Traditionele tabulaire generators werken direct in de feature-ruimte en behandelen samples als atomaire eenheden. In tegenstelling hiermee decomponeren LLMs tabulaire rijen in autoregressieve stringsequenties (token voor token). Dit artikel stelt dat deze architecturale verschuiving een uniek aanvalsoppervlak creëert: LLMs neigen om stijve, gestructureerde patronen van numerieke cijfers uit hun trainingsdata te memoriseren en te reproduceren. Omdat tabulaire data de semantische ambiguïteit van natuurlijke taal mist (waarbij parafraseren mogelijk is), vormen zelfs minimale reprodukties op karakterniveau exacte memorizatie van gevoelige informatie (zoals financiële bedragen, identificatoren).

Bestaande Membership Inference Attacks (MIAs) voor synthetische data richten zich op afstanden in de feature-ruimte (zoals Euclidische afstand, dichtheidsschatting). De auteurs betogen dat deze methoden kwetsbaarheden inherent aan de door LLMs gebruikte intermediaire stringrepresentatie niet detecteren, waardoor er een kritieke kloof blijft in privacyauditing voor LLM-gebaseerde tabulaire generators.

2. Methodologie

2.1 Bedreigingsmodel

De studie hanteert een conservatief No-box-bedreigingsmodel. De adversary heeft alleen toegang tot de gegenereerde synthetische dataset ($S$). De adversary heeft geen toegang tot:

• De interne werking, gewichten of hyperparameters van het model.
• Query-toegang tot het model.
• Een referentiedataset of hulpdata voor kalibratie.
  Dit model weerspiegelt realistische scenario's waarbij synthetische data publiek wordt gedeeld zonder openbaarmaking van het generatieproces.

2.2 De Aanval: LevAtt (Levenshtein-aanval)

Om de op strings gebaseerde aard van LLM-generatie te exploiteren, stellen de auteurs LevAtt voor, een No-box MIA die gebaseerd is op stringgelijkenis in plaats van proximaliteit in de feature-ruimte.

• Mechanisme: De aanval converteert tabulaire records naar canonieke stringrepresentaties, waarbij de structuur wordt behouden (consistente precisie voor getallen, stabiele tokens voor categorieën). Vervolgens wordt de Levenshtein-editafstand (editafstand op karakterniveau) berekend tussen een testobservatie ($x^*$) en het dichtstbijzijnde synthetische record in de gegenereerde dataset.
• Scorebepaling: De aanvalsscore wordt gedefinieerd als $f(x^*_{str}, S_{str}) = -\min_{s \in S_{str}} \ell(x^*_{str}, s)$, waarbij $\ell$ de Levenshtein-afstand is. Lagere afstanden (hogere scores) duiden op een nauwere overeenkomst, wat suggereert dat de synthetische data het trainingsrecord heeft gememoriseerd.
• Redenering: In tegenstelling tot natuurlijke taal zijn tabulaire numerieke strings stijf. Een enkele cijferverandering verandert de waarde betekenisvol. Daarom is een bijna exacte stringovereenkomst een sterk, hoogzekerheidssignaal van memorizatie dat door aanvallen in de feature-ruimte wordt gemist.

2.3 Voorgestelde Verdedigingen

Het artikel evalueert twee strategieën om deze lekkage te mitigeren:

1. Digit Modifier (DM): Een post-processing-algoritme dat door numerieke kolommen iterert en cijfers omdraait op basis van een waarschijnlijkheidsfunctie $g$. Grotere magnitude-waarden krijgen hogere verstooringswahrscheinlijkheden. Dit wordt na de generatie toegepast.
2. Tendency-based Logit Processor (TLP): Een verdediging tijdens het samplingproces die geïntegreerd is in het generatieproces. Het past een concaaf, monotoon krommende functie ($f_t(x) = x^{1/t}$) toe op de logits van het model voordat er wordt gesampled. Dit onderdrukt tokens met hoge zekerheid (vaak gememoriseerde sequenties) en versterkt tokens met lagere waarschijnlijkheid, waardoor gecontroleerde willekeur wordt geïntroduceerd zonder feature-afhankelijkheden te verbreken.

3. Experimentele Resultaten

3.1 ICL-regime (In-Context Learning)

Experimenten werden uitgevoerd op 35 real-world regressiedatasets met LLaMA 3.3-70B, GPT-4o-mini en TabPFN-v2.

• Lekkage: LevAtt toonde aanzienlijke privacylekkage aan. Voor TabPFN-v2 en LLaMA 3.3-70B bereikte de aanval een perfecte classificatie van lidmaatschap (AUC-ROC $\approx$ 1,0) in de top 20 worst-case runs.
• Correlatie: LevAtt toonde een zwakke correlatie met traditionele feature-space MIAs (DCR, Dichtheidsschatting, MC), wat bevestigt dat het een uniek, orthogonaal lekkagesignaal detecteert.
• Schaling: Privacylekkage nam toe met de modelgrootte (70B-modellen lekten meer dan modellen van 7B-schaal) en nam af met het aantal in-context voorbeelden (minder voorbeelden leidden tot hogere memorizatie).

3.2 SFT-regime (Supervised Fine-Tuning)

Experimenten omvatten het fine-tunen van modellen (LLaMA 3.2, Qwen2.5, Mistral, GPT-2) op datasets zoals CASP, Diabetes en CA-Housing, gebenchmarkt tegen RealTabFormer en GREAT.

• Lekkage: SFT-modellen vertoonden lagere, maar nog steeds significante lekkage in vergelijking met ICL. RealTabFormer, ondanks claims van privacybewustzijn, toonde de grootste kwetsbaarheid (LevAtt AUC $\approx$ 0,65–0,70).
• Conventionele Modellen: Traditionele deep learning-generators (CT-GAN, TVAE) waren immuun voor LevAtt, aangezien ze geen tokensequenties genereren.
• Factoren: Lekkage nam monotoon toe met het volume gegenereerde synthetische data en de lengte van cijfersequenties in de trainingsdata.
• Trade-off: Er werd een negatieve correlatie waargenomen tussen privacy (LevAtt AUC) en fideliteit (MMD, Wasserstein-afstand). Modellen met hogere statistische fideliteit waren vatbaarder voor string-memorizatie.

3.3 Evaluatie van Verdedigingen

• Digit Modifier (DM): Verminderde de LevAtt AUC succesvol, maar veroorzaakte een catastrofale daling in datafideliteit. De injectie van ruis duwde waarden buiten de geldige verdeling, waardoor de data onbruikbaar werd voor downstream-taken.
• TLP: Verminderde de LevAtt AUC succesvol tot bijna-willekeurige niveaus ($\approx$ 0,55) en de TPR tot $<0,125$, terwijl de statistische fideliteit behouden bleef (MMD- en Wasserstein-afstanden bleven vergelijkbaar met de vanilla-generatie) en de downstream-gebruikswaarde (XGBoost-prestaties).
• Differentiële Privacy (DP): Hoewel DP2Stage (DP-SGD) LevAtt effectief versloeg, resulteerde het in de slechtste gebruikswaarde en fideliteit onder alle modellen, wat de ernstige privacy-gebruikswaarde-trade-off van training-time DP voor LLMs benadrukt.

4. Belangrijkste Bijdragen

1. Identificatie van String-memorizatie: Het artikel identificeert dat LLM-gebaseerde tabulaire generators stijve numerieke stringpatronen memoriseren, een kwetsbaarheid die onzichtbaar is voor aanvallen in de feature-ruimte.
2. LevAtt-aanval: Introductie van een eenvoudige, No-box MIA met gebruik van Levenshtein-afstand die perfecte classificatie bereikt op state-of-the-art modellen onder minimale adversariale aannames.
3. Empirisch Bewijs van Risico: Demonstratie dat hoge-fideliteit SFT- en ICL-modellen (inclusief RealTabFormer) lidmaatschapsinformatie lekken, terwijl conventionele generators dit niet doen.
4. Effectieve Verdediging (TLP): Voorstel van TLP, een mechanisme tijdens het samplingproces dat memorizatie mitigeert door logits te verstoren, en succesvol privacybescherming afweegt tegen data-gebruikswaarde en fideliteit.

5. Betekenis en Claims

De auteurs beweren dat LLM-gebaseerde generatie van tabulaire data een fundamenteel nieuw privacyrisico introduceert dat verschilt van traditionele generatieve modellen. De betekenis van dit werk ligt in:

• Herdelen van het Aanvalsoppervlak: Het verschuiven van de focus van afstand in de feature-ruimte naar stringgelijkenis op karakterniveau, wat cruciaal is voor autoregressieve modellen.
• Uitdagen van Privacy-aannames: Demonstratie dat zelfs "privacybewuste" SFT-methoden en hoge-fideliteit generators trainingsdata catastrofaal kunnen lekken wanneer de datastructuur stijf is.
• Praktische Mitigatie: Levering van een inzetbare verdediging (TLP) die geen hertraining vereist en geen inlevering van data-gebruikswaarde eist, in tegenstelling tot Differentiële Privacy.

Het artikel concludeert dat hoewel LLMs superieure gebruikswaarde bieden, hun autoregressieve aard hen vatbaar maakt voor "retrieval" in plaats van "generalisatie" in tabulaire contexten. De auteurs benadrukken dat zonder specifieke verdedigingen zoals TLP, de inzet van LLM-gebaseerde synthetische tabulaire data in privacygevoelige sectoren (gezondheidszorg, financiën) een significant risico op heridentificatie met zich meebrengt.

Opgemerkte Beperkingen:

• LevAtt is afhankelijk van consistente stringopmaak; variaties in opmaak (bijv. "17,5" versus "17,500") zouden signalen kunnen verduisteren.
• De verdedigingen (DM, TLP) zijn empirisch en missen formele privacygaranties (in tegenstelling tot DP).
• De studie gaat uit van een No-box-model; krachtigere aanvallen met modeltoegang zouden effectiever kunnen zijn.
• De aanval is minder effectief op open tekstvelden in vergelijking met stijve numerieke/categorische schema's.