LLM-CEG: Extending the Classification Error Gauge Framework for Privacy Auditing of Large Language Models

1. Probleemstelling

Grote Taalmodellen (LLM's) die zijn getraind op enorme corpora, onthouden vaak onbedoeld gevoelige Persoonlijk Identificeerbare Informatie (PII), wat een unieke privacybedreiging creëert waarbij het model zelf het aanvalsoppervlak wordt. Bestaande privacy-audittools voor LLM's zijn gefragmenteerd, missen gestandaardiseerde metrieken en falen in het bieden van een systematisch engineeringproces voor het afwegen van privacy en bruikbaarheid.

De kernuitdaging die wordt aangepakt is de privacy-bruikbaarheid trade-off:

• Privacy: Gemeten aan de hand van kwetsbaarheid voor Membership Inference Attacks (MIA), waarbij aanvallers bepalen of specifieke datapunten in de trainingsset zaten.
• Bruikbaarheid: Gemeten aan de hand van het vermogen van het model om te generaliseren (bijvoorbeeld perplexiteit op tekst buiten de verdeling).
• Het Gat: Traditionele visies gaan uit van een nulsomspel waarbij het verhogen van privacy (via Differentiële Privacy) onvermijdelijk de bruikbaarheid verslechtert. Bovendien bestaat er geen gestandaardiseerd kader om deze trade-off empirisch te meten en te communiceren aan niet-technische belanghebbenden (klinici, regelgevers).

2. Methodologie

Het paper stelt LLM-CEG voor, een uitbreiding van het Classification Error Gauge (x-CEG) kader dat oorspronkelijk was ontworpen voor tabulaire data, maar nu is aangepast voor taalmodellen.

Kernkader: LLM-CEG

Het kader maakt gebruik van een iteratieve feedbacklus om een optimaal bedieningspunt te vinden:

1. Privacy Gauge: Gebruikt MIA-succespercentages (specifiek Aanvaller-voordeel en AUROC) als de empirische maatstaf voor privacy.
2. Bruikbaarheid Gauge: Gebruikt Perplexiteit (PPL) op tekst buiten de verdeling als maatstaf voor bruikbaarheid.
3. Iteratieve Aanpassing: Het systeem fine-tunt een LLM met Differentiële Privacy Stochastic Gradient Descent (DP-SGD) met variërende privacy-budgetten ($\epsilon$). Het past $\epsilon$ iteratief aan totdat zowel het MIA-voordeel als de Perplexiteit voldoen aan vooraf gedefinieerde drempelwaarden.

Engineeringproces: LLM-SIED

Het paper breidt het SIED-kader (Specificaties, Implementatie, Evaluatie, Verspreiding) uit tot LLM's, en biedt een proces dat is afgestemd op regelgevers (compatibel met de EU AI Act en NIST AI RMF) voor het implementeren van privacy-conforme modellen.

Experimentele Opstelling

• Model: DistilGPT-2 (82M parameters).
• Dataset: 500 synthetische klinische PII-records (namen, diagnoses, SSN's, enz.) gegenereerd via de Faker-bibliotheek.
  • Trainingsset: 300 records (Leden).
  • Testset: 200 records (Niet-leden) + 50 algemene zinnen voor evaluatie van bruikbaarheid.
• Privacymechanisme: DP-SGD geïmplementeerd via de Opacus-bibliotheek.
• Privacy-budgetten ($\epsilon$): Vier regimes getest: Baseline (Geen DP), $\epsilon=8.0$, $\epsilon=2.0$, en $\epsilon=0.5$ (met $\delta=10^{-5}$).
• Hardware: Eén consumentenklasse CPU (macOS).

3. Belangrijkste Bijdragen

1. LLM-CEG Kader: Een systematische methode voor privacy-auditing van LLM's die theoretische $\epsilon$-garanties vervangt door empirische, MIA-gebaseerde meting, waardoor de privacy-bruikbaarheid trade-off zichtbaar en hanteerbaar wordt.
2. LLM-SIED Proces: Een vierfasig engineeringwerkstroom voor privacy-conforme LLM-implementatie die is afgestemd op wereldwijde regelgevingsstandaarden.
3. Nieuwe Empirische Bevinding (Impliciete Regularisatie): De ontdekking dat onder smalle fine-tuning-omstandigheden (kleine, repetitieve datasets) DP-ruimte fungeert als impliciete regularisatie. In tegenstelling tot de heersende wijsheid, verbeterde het toevoegen van privacyruimte de generalisatie en bruikbaarheid van het model in vergelijking met de niet-privacy-baseline.
4. Reproduceerbaar Prototype: Een proof-of-concept implementatie die volledig draait op één CPU, wat aantoont dat rigoureuze privacy-auditing geen enorme GPU-clusters vereist.

4. Belangrijkste Resultaten

De experimenten leverden tegenintuïtieve maar significante resultaten op:

• Privacyverbetering:

  • De niet-privacy-baseline was zeer kwetsbaar voor MIA (Aanvaller-voordeel: 0,358, AUROC: 0,876).
  • Alle DP-modellen verlaagden het Aanvaller-voordeel tot ~0,10 (een reductie van 71,5%) en de AUROC tot ~0,51 (bijna raden).
  • Opmerkelijk is dat het verschil in privacybescherming tussen $\epsilon=8.0$ en $\epsilon=0.5$ verwaarloosbaar was in empirische MIA-tests, wat wijst op een "plateau"-effect waarbij gematigde privacy-budgetten voldoende zijn om memorisatiesignalen te onderdrukken.

• Verbetering van Bruikbaarheid (Het Regularisatie-effect):

  • De niet-privacy-baseline overfitted op de smalle klinische data, wat resulteerde in slechte generalisatie (Perplexiteit op algemene tekst: 179,91).
  • Alle DP-getrainde modellen vertoonden lagere perplexiteit (betere bruikbaarheid) op algemene tekst, variërend van 119,63 tot 121,97.
  • Dit vertegenwoordigt een verbetering van 47–50% in bruikbaarheidsscores in vergelijking met de baseline.

• Pareto-optimaliteit:

  • De configuratie met $\epsilon=8.0$ werd geïdentificeerd als het Pareto-optimale punt. Het bood dezelfde empirische privacybescherming als de strengste instelling ($\epsilon=0.5$) terwijl het de hoogste modelbruikbaarheid behield.

5. Betekenis en Implicaties

• Uitdagen van de Nulsommythe: Het paper levert empirisch bewijs dat privacy en bruikbaarheid niet altijd in spanning staan. In scenario's met smalle fine-tuning (vaak voorkomend in de gezondheidszorg, juridische sector en ondernemingen) kan DP "modelinstorting" en overfitting voorkomen, en effectief fungeren als een regularisator.
• Hanteerbare Governance: Door abstracte $\epsilon$-waarden te vertalen naar concrete metrieken (MIA-voordeel en Perplexiteit), stelt LLM-CEG klinici en regelgevers in staat om geïnformeerde beslissingen te nemen. Zo kunnen belanghebbenden zien dat een hogere $\epsilon$ (bijvoorbeeld 8,0) dezelfde veiligheid biedt als een lagere, maar dan met betere prestaties.
• Regelgevingsafstemming: Het LLM-SIED-kader biedt een concreet pad voor organisaties om te voldoen aan de EU AI Act en NIST AI RMF door auditabele, gedocumenteerde privacyprofielen te bieden.
• Vertrouwen Opbouwen: Het werk suggereert dat transparantie en empirisch bewijs effectiever zijn voor het opbouwen van publiek vertrouwen in AI dan wiskundige bewijzen alleen.

Concluderend toont LLM-CEG aan dat organisaties met het juiste systematische kader LLM's kunnen implementeren die zowel zeer privé als zeer bruikbaar zijn, waardoor de privacy-bruikbaarheid trade-off wordt omgezet van een barrière in een navigeerbare ontwerpruimte.