Toward Efficient Membership Inference Attacks against Federated Large Language Models: A Projection Residual Approach

Probleemstelling

Federated Large Language Models (FedLLMs) stellen een veelbelovende oplossing voor om grote taalmodellen (LLMs) gezamenlijk te finetunen zonder dat ruwe data gedeeld wordt, wat privacy en resource-beperkingen adresseert. Echter, ondanks dat de data lokaal blijft, worden modelgradiënten of parameter-updates uitgewisseld. Dit maakt FedLLMs kwetsbaar voor Membership Inference Attacks (MIAs), waarbij een aanvaller kan bepalen of een specifiek data-punt deel uitmaakte van het trainingsset van een client.

Bestaande MIA-methoden uit traditioneel Federated Learning (FL) zijn echter inefficiënt of ondoeltreffend voor FedLLMs vanwege drie unieke eigenschappen:

1. Massale parametergroottes: Het trainen van "shadow models" (nabootsingsmodellen) voor aanvallen is computationeel onhaalbaar vanwege de enorme omvang van LLMs.
2. Snelle convergentie: FedLLMs starten vanuit voorgeprogrammeerde modellen en convergeren vaak binnen enkele epochs. Dit beperkt de mogelijkheid om dynamische veranderingen in de tijd te analyseren.
3. Niet-orthogonale gradiënten: In tegenstelling tot traditionele beeldmodellen waar gradiënten bij convergentie orthogonaal worden, blijven gradiënten in LLMs sterk gecorreleerd en niet-orthogonaal. Dit maakt methoden die gebaseerd zijn op gradiënt-orthogonaliteit of loss-waarden onbruikbaar.

Er bestaat dus een dringend tekort aan efficiënte aanvallen die specifiek zijn ontworpen voor de architectuur en trainingsdynamiek van FedLLMs.

Methodologie: ProjRes

De auteurs stellen ProjRes voor, de eerste passieve MIA die gebaseerd is op projectie-residuen en specifiek is ontworpen voor FedLLMs. De aanval vereist geen shadow modellen, geen hulpclassificatoren en geen historische updates; deze werkt uitsluitend met gradiënten van één trainingsronde.

De kern van de methode rust op de volgende principes:

1. Sample Representatie: In plaats van loss-waarden of voorspellingen, gebruikt ProjRes de hidden embedding vectors van de input samples als representatie. Deze embeddings bevatten de semantische informatie van de tekst.
2. Semantische Ruimte Mapping: De aanval bouwt een lineaire deelruimte ($S$) op die wordt opgespannen door de gradiëntvectoren van de trainbare componenten (bijv. Adapters, LoRA) van de client. Omdat gradiënten in fully connected lagen lineaire combinaties zijn van de input embeddings (via de kettingregel), coderen deze gradiënten impliciet de semantische ruimte van de trainingsdata.
3. Projectie en Residuberekening:
   • De server projecteert de embedding van een doel-sample $f(x)$ orthogonaal op de door de client opgespannen gradiënt-deelruimte $S$.
   • Dit resulteert in een gereconstrueerde embedding $f(x)_{rec}$.
   • Het residu $r$ wordt berekend als de $\ell_1$-norm van het verschil: $r = \|f(x) - f(x)_{rec}\|_1$.
4. Besluitvorming:
   • Als $x$ een lid is van het trainingsset, zal de embedding nauwkeurig gereconstrueerd kunnen worden binnen de deelruimte $S$, wat leidt tot een klein residu.
   • Als $x$ geen lid is, zal de reconstructie slecht zijn, wat leidt tot een groot residu.
   • Een drempelwaarde $\tau$ bepaalt of het sample als lid wordt geclassificeerd.

Belangrijkste Bijdragen

• Ontwikkeling van ProjRes: De eerste passieve MIA die specifiek is ontworpen voor FedLLMs, die gebruikmaakt van de algebraïsche relatie tussen embeddings en gradiënten zonder extra trainingskosten.
• Herformulering van het probleem: Het vertalen van lidmaatschapsinference naar een residu-projectie matching probleem binnen de gradiënt-semantische ruimte. Dit maakt het mogelijk om alleen gebruik te maken van trainbare componenten (zoals LoRA of Adapters).
• Theoretische validatie: Bewijs dat de semantische representaties (embeddings) van samples in hoge-dimensionale LLMs reversibel kunnen worden geanalyseerd via gradiëntinformatie, waarbij grotere dimensies het privacyrisico versterken.
• Uitgebreide experimenten: Validatie op vier verschillende LLMs (BERT-Base, GPT2-Large, Llama3-8B, Qwen2.5-14B) en vier benchmark datasets.

Resultaten

De experimenten tonen aan dat ProjRes aanzienlijk superieur is aan bestaande methoden:

• Prestatie: ProjRes bereikt een nauwkeurigheid van bijna 100% (AUC $\approx$ 1.0) in de meeste scenario's.
• Verbetering: Het presteert tot 75,75% beter dan de beste bestaande baselines (zoals FedLoss, Cosine Similarity, FTA).
• Robuustheid: De aanval blijft effectief ongeacht de trainingsfase (van vroeg tot laat), de positie van de trainbare laag in het model, of het aantal clients.
• Verdedigingsresistentie: ProjRes blijft effectief onder lichte verdedigingsmechanismen:
  • Differential Privacy (DP): Vereist een zeer hoge ruissterkte ($\sigma > 0.1$) om de aanval te blokkeren, maar dit degradeert de modelnauwkeurigheid drastisch (onder 55%), wat de bruikbaarheid tenietdoet.
  • Gradient Pruning: Zelfs bij een pruning rate van 99,9% blijft er significante lekage over, vooral bij kleine batchgroottes.

Betekenis en Conclusie

Dit paper onthult een tot nu toe over het hoofd geziene privacykwetsbaarheid in FedLLMs. Het toont aan dat de gradiënten van veelgebruikte, parameter-efficiënte finetuning-modules (zoals Adapters en LoRA) voldoende informatie bevatten om de exacte trainingsdata van een client te reconstrueren.

De bevindingen hebben grote implicaties voor de beveiliging van federale learning systemen:

1. Her-evaluatie van aannames: De huidige veiligheidsaannames van FedLLMs zijn onvoldoende; zelfs zonder directe data-uitwisseling is privacy niet gegarandeerd.
2. Noodzaak voor nieuwe verdedigingen: Bestaande lichte verdedigingen (zoals DP en pruning) bieden een onaanvaardbare trade-off tussen privacy en modelprestaties. Er zijn nieuwe, robuustere mechanismen nodig die specifiek zijn afgestemd op de algebraïsche structuur van LLM-gradiënten.
3. Toekomstig onderzoek: De auteurs pleiten voor het ontwikkelen van semantische MIAs en adaptieve verdedigingen die rekening houden met de unieke dynamiek van grote taalmodellen.

Kortom, ProjRes demonstreert dat de privacy van FedLLMs fundamenteel kwetsbaar is door de inherente relatie tussen input-embeddings en modelgradiënten, wat een dringende oproep is voor de gemeenschap om de beveiliging van deze systemen opnieuw te bekijken.