Technische Samenvatting: TIGER – Inverteren van Transformer-gradiënten via Embedding-subruimte Optimalisatie

Probleemstelling

Federated Learning (FL) maakt collaboratieve training van gedeelde modellen mogelijk terwijl ruwe cliëntgegevens lokaal blijven. Echter, gradiënt-inversie-aanvallen hebben aangetoond dat modelupdates (gradiënten) voldoende informatie kunnen lekken om private cliënt-inputs te reconstrueren. Hoewel deze aanvallen succesvol zijn geweest op beelddata, blijft het reconstrueren van tekst uit Transformer-gebaseerde Large Language Models (LLMs) een uitdaging.

Bestaande tekst-inversiemethoden kampen met significante beperkingen in realistische FL-omgevingen:

1. Optimalisatie-gebaseerde benaderingen: Methoden die dummy-inputs optimaliseren om volledige gradiënten te matchen zijn computationeel duur en instabiel voor moderne modellen, met name bij grote batchgroottes.
2. Subruimte-gebaseerde benaderingen: Voorgaand werk (bijv. DAGER) maakt gebruik van de laag-rang structuur van Transformer lineaire-laag gradiënten om een subruimte te identificeren die de ware laag-embeddings bevat. Deze methoden vertrouwen echter op discrete lidmaatschapstests (controleren of kandidaat-tokens in de subruimte liggen). Deze aanpak is broos onder numerieke ruis (bijv. door kwantisatie of Differential Privacy) en schaalt slecht voor encoder-modellen met niet-causale aandacht, waarbij sequentiële token-reconstructie onmogelijk is.

Gevolgelijk falen bestaande aanvallen vaak of onderschatten ze de privacyrisico's in verdedigde FL-omgevingen met grote batches, gekwantiseerde gradiënten of ruis.

Methodologie: TIGER

De auteurs introduceren TIGER (Transformer Data Inversion from Gradients via Embedding-subspace Reconstruction), een continue gradiënt-inversie-aanval die de subruimte-signaal transformeert naar een differentieerbare doelstelling. In plaats van te zoeken over discrete tokens of volledige gradiënten te matchen, optimaliseert TIGER direct continue token-embeddings om hun afstand tot de gradiënt-geïnduceerde subruimtes te minimaliseren.

Kernmechanisme

TIGER maakt gebruik van de observatie dat voor een lineaire laag in een Transformer, de rij-span van de laag-inputs samenvalt met de kolomruimte van de bijbehorende gewichtsgradiënt (onder milde rang-condities).

• Subruimte-signaal: Gegeven geobserveerde gradiënten $\frac{\partial \mathcal{L}}{\partial W^l_Q}$, berekent de aanvaller de kolomspan $S_l$.
• Continue Doelstelling: In plaats van discrete kandidaten te testen, optimaliseert TIGER een continue ruwe input embedding matrix $\bar{Z}_0$. Het doel is om ervoor te zorgen dat de hidden states $\bar{Z}_l$ geïnduceerd door de forward pass uitlijnen met de geobserveerde subruimtes $S_l$.
• Verliesfunctie: De primaire doelstelling is een forward span-distance loss ($\ell_{forw}$), die de gekwadrateerde afstand minimaliseert tussen genormaliseerde gereconstrueerde hidden states en hun projectie op de gradiënt-geïnduceerde subruimte.

Architectuur-specifieke Aanpassingen

TIGER hanteert verschillende strategieën voor decoder-only en encoder-only modellen:

1. Decoder-Only Modellen (Causaal):

   • Maakt gebruik van causale aandacht-masks om tokens sequentieel (token-voor-token) te reconstrueren.
   • Omdat de representatie op positie $i$ alleen afhangt van voorafgaande tokens, optimaliseert de aanval embeddings één voor één.
   • Deductie (Deduplicatie): Om te voorkomen dat meerdere sequenties in een batch convergeren naar dezelfde eerste token, wordt een deduplicatie-loss ($\ell_{dedup}$) toegevoegd. Deze straft de huidige eerste-token embedding af als deze uitlijnt met de subruimte die al bezet wordt door eerder gereconstrueerde eerste tokens in de batch.

2. Encoder-Only Modellen (Niet-causaal):

   • Causale sequentiële reconstructie is onmogelijk omdat alle tokens in een sequentie onderling afhankelijk zijn.
   • TIGER voert een gezamenlijke optimalisatie uit van de ruwe embeddings van de gehele batch.
   • Bidirectionele Uitlijning: Om degeneratieve oplossingen te voorkomen (bijv. waarbij alle gereconstrueerde tokens naar één enkele richting convergeren), introduceert TIGER een backward span-distance loss ($\ell_{back}$). Deze loss dwingt af dat de gradiënt-geïnduceerde basisrichtingen ook binnen de span van de gereconstrueerde hidden states moeten liggen. Dit zorgt ervoor dat de gereconstrueerde batch de volledige geobserveerde subruimte dekt, wat herhaalde tokens of dubbele sequenties ontmoedigt.

Initialisatie en Optimalisatie

• Initialisatie: TIGER gebruikt een positie-afhankelijke Gaussische prior die is aangepast aan een groot corpus (bijv. WikiText) om embeddings te initialiseren, wat een sterk startpunt biedt voor de niet-convexe optimalisatie.
• Optimalisatie: De aanval voert meerdere onafhankelijke optimalisaties uit ($N_{init}$) met verschillende initialisaties, waarbij Adam-optimalisatie wordt gebruikt om de span-distance loss te minimaliseren.
• Discretisatie: Nadat de continue optimalisatie is geconvergeerd, worden de gereconstrueerde embeddings geprojecteerd naar de dichtstbijzijnde vocabulaire-token via cosine similarity.

Belangrijkste Bijdragen

1. TIGER Attack: Een robuuste, schaalbare, continue gradiënt-inversie-aanval voor Transformer LLMs die private tekst herstelt in uitdagende settings (grote batches, gekwantiseerde gradiënten, DP-ruis).
2. Differentiabele Subruimte Doelstelling: Een nieuwe formulering die de laag-rang gradiënt structuur omzet in een differentieerbare embedding-subruimte doelstelling. Dit vermijdt breekbare discrete filtering en breidt de methode uit naar encoder-only modellen via een bidirectionele uitlijningsloss.
3. Uitgebreide Evaluatie: Uitgebreide experimenten op moderne modellen (GEMMA-3-4B-IT en EMBEDDINGGEMMA-300M) tonen aan dat TIGER de prestaties van eerdere aanvallen in verdedigde en encoder-only settings aanzienlijk overtreft, terwijl het competitief blijft in onverdedigde decoder-settings.
4. Open Source: Een open-source implementatie om toekomstig onderzoek naar privacyrisico's en verdedigingen te faciliteren.

Experimentele Resultaten

De auteurs evalueerden TIGER op WikiText-batches met variërende batchgroottes, sequentielengtes en verdedigingsniveaus (gradiëntruis en kwantisatie), waarbij de prestaties werden gemeten via ROUGE-1 en ROUGE-L.

• Robuustheid tegen Ruis (Decoder): In onverdedigde settings is TIGER competitief met of presteert het licht beter dan DAGER. Echter, onder Differential Privacy-stijl gradiëntruis ($\sigma = 10^{-3}$), stort de reconstructiekwaliteit van DAGER in naar bijna nul, terwijl TIGER een betekenisvol herstel behoudt (ROUGE-1 > 70%).
• Encoder Prestaties: Op encoder-only modellen, waar causale reconstructie onmogelijk is, bereikt TIGER een ROUGE-1 van ~60% op batches van 16 sequenties, wat de prestaties van eerdere optimalisatie-gebaseerde aanvallen (bijv. LAMP) aanzienlijk overtreft.
• Kwantisatie: TIGER blijft effectief onder BF16 precisie, terwijl DAGER volledig faalt door de onbetrouwbaarheid van zijn drempelwaarde-gebaseerde discrete tests.
• Schaalbaarheid: TIGER schaalt effectiever naar langere sequenties en grotere batchgroottes dan eerdere methoden, met name in encoder-settings.

Betekenis en Claims

Het artikel claimt dat TIGER aanzienlijke privacykwetsbaarheden in Transformer LLMs blootlegt die voorheen werden onderschat.

• Veerkracht van Gradiënten: De studie demonstreert dat transformer-gradiënten aanzienlijke tekstuele informatie behouden, zelfs na veelvoorkomende perturbaties zoals additieve ruis (DP) of verminderde numerieke precisie (kwantisatie).
• Beperkingen van Huidige Verdedigingen: De resultaten suggereren dat een matige hoeveelheid gradiëntruis of rekenen met een lagere precisie niet mag worden aangenomen als een middel om reconstructierisico's volledig te elimineren.
• Breder Dreigingsbeeld: Door succesvolle reconstructies mogelijk te maken in settings waar eerdere aanvallen falen (grote batches, encoders, verdedigde settings), breidt TIGER het praktische dreigingslandschap van gradiënt-inversie uit, wat wijst op de noodzaak van zorgvuldig geëvalueerde en toegepaste privacyverdedigingen in federated learning-implementaties.

De auteurs merken beperkingen op, specifiek dat de aanval leunt op de laag-rang structuur van gradiënten, die afneemt wanneer het totaal aantal tokens de verborgen dimensie overschrijdt. Ze erkennen ook dat hoewel TIGER aanzienlijke inhoud herstelt, het niet altijd een exacte geordende reconstructie produceert, wat wijst op potentieel voor hybride benaderingen die continue subruimte-reconstructie combineren met discrete verfijning.