Protecting User Prompts Via Character-Level Differential Privacy

Probleemstelling

Grote Taalmodellen (LLMs) worden steeds vaker gebruikt voor persoonlijke en zakelijke taken, maar deze modellen worden vaak gehost door derden. Gebruikers kunnen onbedoeld gevoelige informatie (zoals persoonsgegevens, medische dossiers of bedrijfsgeheimen) in hun prompts invoeren. Dit creëert een groot risico op datalekken, waarbij de hostingpartij deze informatie kan opslaan, memoriseren of per ongeluk onthullen.

Bestaande oplossingen hebben beperkingen:

• NER en regelgebaseerde filters: Vereisen nauwkeurige detectie van gevoelige entiteiten, wat leidt tot fouten (false positives/negatives) en onvolledige redactie.
• Cryptografie (Homomorf versleuteling/SMC): Vereist aanpassingen aan het LLM en introduceert enorme rekenkundige en communicatie-overhead, wat onrealistisch is voor externe LLM-diensten.
• Woordniveau Differentiële Privacy (DP): Vervangt hele woorden door semantisch vergelijkbare alternatieven, wat vaak de bruikbaarheid (utility) van de tekst aantast omdat ook niet-gevoelige woorden worden verstoord.

Methodologie

De auteurs stellen een nieuwe methode voor die Lokale Differentiële Privacy (LDP) toepast op karakter-niveau voordat de prompt de LLM bereikt. De aanpak bestaat uit twee hoofdstappen:

1. Ruisinjectie (Noise Injection):

   • Elke gebruiker verstoort zijn eigen prompt lokaal.
   • Voor elk teken in elk woord wordt een k-ary Randomized Response (k-RR) mechanisme toegepast.
   • Met een privacy-parameter $\epsilon$ wordt elk teken met een bepaalde waarschijnlijkheid vervangen door een willekeurig ander printbaar ASCII-teken.
   • Dit gebeurt onafhankelijk voor elk teken, zonder dat gevoelige termen eerst geïdentificeerd hoeven te worden.

2. Prompt Herstel en Taakuitvoering:

   • De verstoord tekst ($T^*$) wordt naar de externe (onbetrouwbare) LLM gestuurd.
   • De LLM krijgt de instructie om de tekst te herstellen (spelfouten en verstoringen te corrigeren) en vervolgens de oorspronkelijke taak (bijv. samenvatten) uit te voeren.
   • De kernintuïtie: LLMs zijn getraind op grote hoeveelheden tekst en kunnen veelvoorkomende woorden (zoals "hospital", "doctor") makkelijk reconstrueren op basis van context, woordlengte en tekenpatronen, zelfs als enkele tekens zijn vervangen.
   • Gevoelige termen (zoals specifieke namen, telefoonnummers, medische ID's) zijn echter zeldzaam (hoge entropie) en komen minder vaak voor in trainingsdata. De LLM heeft hierdoor geen sterke contextuele aanwijzingen om deze zeldzame, verstoord woorden correct te reconstrueren. De kans op reconstructie is dus vergelijkbaar met raden.

Belangrijkste Bijdragen

• Karakter-niveau LDP: Een methode die privacy garandeert door ruis toe te voegen op het teken-niveau, wat elimineert dat er eerst gevoelige entiteiten gedetecteerd moeten worden (geen afhankelijkheid van NER-modellen).
• Uitbuiting van LLM-capaciteiten: Het gebruik van de LLM zelf om de bruikbaarheid te herstellen door veelvoorkomende woorden te corrigeren, terwijl zeldzame (gevoelige) woorden onherkenbaar blijven.
• Theoretische Baseline: De auteurs hebben een theoretische ondergrens berekend voor de reconstructie van volledig willekeurige woorden na k-RR verstoring. Ze tonen aan dat gevoelige PII (Persoonlijk Identificeerbare Informatie) wordt gereconstrueerd op een niveau dat dicht bij deze willekeurige baseline ligt (dus geen betere prestatie dan raden).
• Universele Vergelijking: Een uitgebreide evaluatie die de methode vergelijkt met woordniveau DP en regelgebaseerde redactie (Presidio) onder een uniforme privacy-utility-maatstaf.

Resultaten

De methode is getest op twee datasets: i2b2/UTHealth (medische dossiers) en Enron (e-mails), met twee LLMs: Llama-3.1 8B en GPT-4o mini.

• Privacy vs. Utility:
  • Bij een optimale $\epsilon$ (rond 5.5 voor GPT-4o mini en 6.0 voor Llama-3.1) wordt een uitstekende balans bereikt.
  • Niet-gevoelige woorden: Worden met hoge snelheid (tot ~70-80%) correct hersteld, wat zorgt voor hoge semantische gelijkenis (cosine similarity > 80%) tussen de originele en de herstelde samenvatting.
  • Gevoelige woorden (PII): Worden slechts met een lage snelheid gereconstrueerd (bijv. <20-30% bij $\epsilon=5.5$), wat dicht bij de theoretische kans ligt van het raden van willekeurige woorden.
• Iteratief Herstel: Een tweede poging tot herstel door de LLM leidt niet tot een significante toename in het reconstrueren van gevoelige termen, wat de robuustheid van de methode bevestigt.
• Entiteit-Reconstructie: Volledige reconstructie van multi-woord entiteiten (zoals volledige namen of straten) is aanzienlijk moeilijker dan het reconstrueren van losse woorden of algemene termen (zoals stadsnamen).
• Vergelijking: Karakter-niveau DP behoudt de bruikbaarheid van de samenvatting beter dan woordniveau DP bij vergelijkbare privacy-niveaus. In tegenstelling tot Presidio (dat geen instelbare privacy biedt en afhankelijk is van detectie), biedt deze methode een schaalbare privacy-utility afweging.

Betekenis en Conclusie

De studie toont aan dat het toepassen van differentieel privacy op karakter-niveau een krachtige, automatische en efficiënte manier is om prompt-privacy te waarborgen zonder de functionaliteit van LLMs te verliezen.

• Geen detectie nodig: De methode werkt uniform op de hele tekst, waardoor het risico op gemiste gevoelige informatie (zoals bij NER) wordt vermeden.
• Formele garanties: Het biedt wiskundig onderbouwde privacygaranties via LDP, in tegenstelling tot obscuratie-technieken.
• Praktische toepasbaarheid: Het is lichtgewicht, vereist geen aanpassingen aan de remote LLM en kan direct in de client-side applicatie (bijv. een browserplugin) worden geïmplementeerd.

De auteurs concluderen dat deze aanpak een nieuwe standaard kan worden voor het veilig gebruik van LLMs in sectoren met strikte privacy-eisen, zoals de gezondheidszorg en juridische diensten.