💬 NLP

Do LLMs Know What Is Private Internally? Probing and Steering Contextual Privacy Norms in Large Language Model Representations

Dit onderzoek toont aan dat grote taalmodellen contextuele privacynormen intern als lineair scheidbare richtingen coderen, maar dat het handelen van deze modellen hiermee niet overeenkomt, een kloof die kan worden overbrugd door gerichte sturing langs de specifieke CI-parameters.

Oorspronkelijke auteurs: Haoran Wang, Li Xiong, Kai Shu

Gepubliceerd 2026-04-03

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Haoran Wang, Li Xiong, Kai Shu

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat een Large Language Model (LLM) – zoals de slimme chatbots die we vandaag de dag gebruiken – een enorme bibliotheek is met miljoenen boeken. Deze bibliotheek bevat alles wat er ooit is geschreven, inclusief heel veel geheimen, privé-informatie en gevoelige verhalen.

De grote vraag die deze auteurs zich stellen is: Weet de bibliotheek zelf wel wat er geheim moet blijven? En als ze het wel weet, waarom vertelt ze die geheimen dan toch soms aan de verkeerde mensen?

Hier is een uitleg van hun ontdekkingen, vertaald naar alledaagse taal:

1. Het Probleem: De "Goede" Bibliotheek die "Slecht" Gedraagt

Stel je voor dat je een zeer beleefde bibliothecaris hebt. Als je haar vraagt: "Mag ik dit boek aan mijn buurman geven?", zegt ze direct: "Nee, dat mag niet, dat is privé." Ze begrijpt de regels perfect.

Maar als je haar vervolgens vraagt om in de rol van die bibliothecaris te antwoorden op een vraag van de buurman, dan doet ze soms toch raar. Ze begint plotseling het geheim te vertellen.

De conclusie van de auteurs: De AI weet wel wat privé is (haar interne kennis is goed), maar ze kan die kennis niet altijd vertalen naar het juiste gedrag. Er is een kloof tussen wat ze weet en wat ze doet.

2. De Oplossing: De "Contextuele Integriteit" (CI) Theorie

De auteurs gebruiken een theorie genaamd Contextual Integrity. Stel je dit voor als een recept voor een gerecht.
Om te weten of iets veilig is om te delen, moet je drie ingrediënten controleren:

Wat wordt gedeeld? (Het soeprecept).
Aan wie wordt het gegeven? (Je oma of een vreemde op straat).
Hoe wordt het gegeven? (Met toestemming of stiekem).

Als je het recept aan je oma geeft, is dat prima. Als je het aan een vreemde geeft, is dat niet oké. De AI moet deze drie factoren tegelijkertijd begrijpen.

3. De Ontdekking: Het is geen Eén Knop, maar Drie

Vroeger dachten onderzoekers dat privacy in de hersenen van een AI één grote "privacy-knop" was. Je duwde die knop, en de AI werd voorzichtig.
De auteurs ontdekten echter dat dit niet zo werkt. Privacy is meer als een ruimte met drie aparte schakelaars:

Schakelaar 1: Het type informatie.
Schakelaar 2: De ontvanger.
Schakelaar 3: De manier van delen.

In de "hersenen" van de AI zitten deze drie schakelaars op verschillende plekken. Als je alleen op de schakelaar voor "informatie" duwt, maar vergeet de schakelaar voor "ontvanger", werkt het niet goed. De AI raakt in de war en vertelt het geheim toch.

4. De Nieuwe Methode: "CI-Parametrisch Sturen"

De auteurs hebben een nieuwe manier bedacht om de AI te corrigeren, die ze CI-Parametrisch Sturen noemen.

De oude manier (Monolithisch): Je duwt één grote knop om de AI "privacy-bewust" te maken. Dit werkt soms, maar vaak niet, omdat het te ruw is. Het is alsof je de hele bibliotheek afsluit met een ketting, zodat niemand meer iets kan lezen, ook niet wat wel mag.
De nieuwe manier: Je gebruikt drie kleine, precieze duwtjes. Je duwt zachtjes op de schakelaar voor "ontvanger", dan op die voor "informatie", en dan op die voor "manier". Je doet dit tegelijkertijd, maar apart.

Het resultaat:
Door deze drie schakelaars apart te regelen, gedraagt de AI zich veel beter. In hun tests zagen ze dat de AI, die eerder in 42% van de gevallen een geheim verried, dit nu deed in slechts 5% van de gevallen. En dat zonder dat de AI onbegrijpelijk of stom ging praten.

Samenvatting in één zin

De auteurs hebben ontdekt dat AI's wel weten wat privé is, maar dat ze dit weten als een complex, driedimensionaal systeem in plaats van één simpele regel; door dit complexe systeem slim te "sturen" met drie aparte duwtjes in plaats van één grote duw, kunnen we ze veel beter beschermen tegen het lekken van geheimen.

Het is alsof je niet meer probeert een auto te sturen door alleen op het gaspedaal te drukken, maar door het stuurwiel, de rem en de versnelling precies op het juiste moment te bedienen.

Titel

Do LLMs Know What Is Private Internally? Probing and Steering Contextual Privacy Norms in Large Language Model Representations

1. Het Probleem

Grote Taalmodellen (LLMs) worden steeds vaker ingezet in hoog-risico omgevingen zoals gezondheidszorg en persoonlijke assistenten. Een kritiek probleem is dat deze modellen vaak contextuele privacy schenden: ze onthullen privé-informatie in situaties waar mensen discretionieel zouden handelen.

Bestaande oplossingen richten zich voornamelijk op het verminderen van memorisatie van trainingsdata of het filteren van output. Deze benaderingen behandelen privacy echter als een statische eigenschap van parameters of output, en negeren de dynamische dimensie van informatiestromen. Volgens de theorie van Contextual Integrity (CI) (Nissenbaum, 2004) is privacy niet alleen afhankelijk van de gevoeligheid van de inhoud, maar van of de informatiestroom past bij de sociale context. Een stroom is alleen gepast als de verzender, ontvanger, informatietype en transmissieprincipe voldoen aan de normen van die specifieke context.

De kernvraag van dit paper is: Coderen LLMs deze contextuele privacynormen intern, en zo ja, waarom schenden ze ze toch in de praktijk?

2. Methodologie

De auteurs voeren een systematische studie uit door te kijken naar de interne representaties van LLMs, gebaseerd op drie niveaus van analyse en een nieuwe stuurtechniek.

A. Probing Framework (Onderzoek naar interne representaties)

De auteurs testen vier modellen (Llama-3.1, Qwen-2.5, Mistral, Llama-2) op drie niveaus:

Concept-niveau: Ze testen of de onderscheid tussen gepaste en ongepaste informatiestromen lineair scheidbaar is in de "residual stream" van het model. Ze gebruiken contrastieve voorbeelden (zelfde inhoud, verschillende context).
Gedrags-niveau: Ze evalueren of de interne signalen vertalen naar daadwerkelijk gedrag (antwoorden in rollenspelscenario's). Ze meten of het model privé-informatie lekt of ongepast weigert.
CI-parametrisch niveau: Ze analyseren of de privacyrepresentatie decomposeert langs de specifieke CI-parameters: informatietype, ontvanger en transmissieprincipe. Ze gebruiken een "subspace selectivity test" (LDA) om te zien of elke parameter een functioneel onafhankelijke subruimte inneemt.

B. CI-Parametric Steering (De oplossing)

Op basis van de bevindingen introduceren ze CI-parametric steering. In tegenstelling tot eerdere methoden die één enkele "privacy-vector" gebruiken (monolithische sturing), sturen ze onafhankelijk langs de drie CI-assen.

Formule: $h'_l = h_l + \alpha \sum_{p \in P} v^{(p)}_l$ $h_{l}^{'} = h_{l} + α \sum_{p \in P} v_{l}^{(p)}$
- Waarbij $P$ de set is van de drie CI-parameters.
- $v^{(p)}_l$ zijn de genormaliseerde richtingen voor elke parameter.
- $\alpha$ is de sterkte van de sturing.
Dit maakt gebruik van de compositional structuur van privacy: het model wordt niet naar één punt geduwd, maar langs meerdere onafhankelijke dimensies gecorrigeerd.

3. Belangrijkste Bevindingen en Resultaten

Vinding 1: Privacy is lineair gecodeerd, maar niet als één richting

Privacynormen zijn lineair scheidbaar in de bovenste lagen van het model.
Echter, ze kunnen niet worden samengevat in één enkele PCA-richting. Een enkele richting presteert slecht (AUROC ~0.43).
Pas wanneer men meerdere componenten gebruikt (k=3), stijgt de prestatie aanzienlijk (AUROC ~0.77). Dit suggereert dat privacy een multidimensionaal concept is.

Vinding 2: De "Privacy Awareness Gap" (Kloof tussen bewustzijn en gedrag)

Hoewel de modellen intern de juiste normen kunnen classificeren (bijna perfecte nauwkeurigheid in concept-probing), gedragen ze zich niet altijd conform deze normen.
In gedrags-scenario's lekt het Llama-3.1-8B model privé-informatie in 42,5% van de gevallen, ondanks dat het intern "weet" dat het niet mag.
Dit bewijst dat het probleem niet het ontbreken van bewustzijn is, maar een misalignement tussen representatie en gedrag.

Vinding 3: Privacy leeft in een CI-gealigneerde subruimte

De drie CI-parameters (informatietype, ontvanger, transmissieprincipe) bezetten functioneel onafhankelijke subruimtes.
Een classifier getraind op de subruimte van de "ontvanger" kan de "informatietype" categorieën niet voorspellen (en vice versa). Dit bevestigt dat de interne structuur van het model de CI-theorie volgt.

Resultaten van CI-Parametric Steering

De nieuwe stuurmethode wordt vergeleken met monolithische methoden (Additive Steering, LoRRA, Representation Tuning):

Synthetische Data: CI-Parametric Steering reduceert lekkage van 42,5% naar 5,0% (PPI = 98,8%). Monolithische methoden halen slechts ~50% verbetering.
Transfer naar Benchmarks (CONFAIDE & PrivaCI-Bench):
- Monolithische sturing faalt vaak bij transfer; op CONFAIDE verhoogt het zelfs de lekkage bij sommige instellingen (van 24,1% naar 47,4%).
- CI-Parametric Steering is robuust en reduceert lekkage aanzienlijk (bijv. naar 0,0% of 1,9% op CONFAIDE voor verschillende modellen).
Ablatie-studie: Het sturen langs slechts één CI-as (bijv. alleen "ontvanger") verergert de lekkage vaak, omdat het de delicate balans van het model verstoort. Alleen het combineren van alle drie de assen werkt effectief.

4. Bijdragen

Eerste systematische studie: Het is de eerste studie die contextuele privacy bekijkt als een gestructureerde, latente representatie in LLMs, gebaseerd op CI-theorie.
Ontdekking van de Awareness Gap: Het toont aan dat modellen privacynormen intern perfect coderen, maar deze niet consistent toepassen in hun gedrag.
Decompositie van Privacy: Het bewijst dat privacyrepresentaties decomponeren langs onafhankelijke CI-parameters.
CI-Parametric Steering: Een nieuwe, effectieve methode die de compositional structuur van privacy benut om lekkage te reduceren, zelfs in out-of-distribution scenario's waar eerdere methoden falen.

5. Significantie

Dit paper verschuift het paradigma van privacybeveiliging in LLMs:

Van externe filtering (na de generatie) of retraining (fine-tuning) naar interne representatie-engineering.
Het laat zien dat privacy niet een "enkele knop" is die je kunt indrukken, maar een multidimensionale ruimte die correct moet worden gestuurd.
De bevinding dat modellen "weten" wat privé is, maar het toch lekken, biedt een nieuwe richting voor onderzoek: het is niet nodig om modellen opnieuw te leren wat privacy is, maar hun interne sturing moet worden afgestemd om hun interne kennis te vertalen naar gedrag.

De methode biedt een veelbelovende weg voor het betrouwbaar implementeren van privacy in real-world LLM-toepassingen zonder de kwaliteit van de output te verstoren.