Decomposing Memorization Reduction in Privacy-Preserving Fine-Tuning of SLMs for CSIRTs

Technische Samenvatting: Decompositie van Reductie in Memorisatie bij Privacy-Preserving Fine-Tuning van SLM's voor CSIRTs

Probleemstelling
Computer Security Incident Response Teams (CSIRTs) maken steeds vaker gebruik van Small Language Models (SLM's) voor het triageren van kwetsbaarheidsscans. Echter, operationele records bevatten gevoelige interne topologiegegevens (IP's, hostnames, assetnamen) die, indien gememoriseerd door modellen tijdens fine-tuning, privacyrisico's creëren onder regelgeving zoals GDPR en LGPD. Hoewel verdedigingsmechanismen zoals Differential Privacy (DP-SGD) en cryptografische pseudonimisatie bestaan, blijft hun empirische interactie in de specifieke context van het fine-tunen van 1–3B parameter SLM's op gestructureerde CSIRT-data onverkend. Eerder werk heeft zich grotendeels gericht op grotere modellen, algemene benchmarks, of het evalueren van verdedigingen in isolatie in plaats van compositie.

Methodologie
De auteurs voerden een empirische studie uit met vier open-weight SLM's (Gemma 3 1B, Qwen3 1.7B, Llama 3.2 3B, en VaultGemma 1B), die werden gefinetuned op een synthetische dataset van 70.951 kwetsbaarheidsrecords (Mock CAIS) afgeleid van Tenable scannerdata. De studie maakte gebruik van 96 LoRA-adapters over vier verschillende trainingsregimes om de marginale bijdragen van diverse mechanismen te isoleren:

1. V0 (Raw): Onbeschermde baseline met gebruik van bf16-gewichten.
2. V1 (Stack): Voegt QLoRA (4-bit kwantisatie) en grote-batching toe (effectieve batch via gradiëntaccumulatie van 32).
3. V2 (ε=8): Voegt DP-SGD met Ghost Clipping toe aan V1.
4. V3 (ε=2): Een strikter DP-SGD budget.

De studie hanteerde een "dual-attack" protocol om memorisatie te evalueren:

• Attack 1: Vraagt het model naar de originele identificatoren (canaries) die in de trainingsdata zijn geplant.
• Attack 2: Vraagt het model naar de HMAC-gepseudonimiseerde "slug" (bijv. [IP_ADDRESS_6975bab4]) gegenereerd door de AnonShield preprocessing tool.

Memorisatie werd gemeten met behulp van exposure-metrieken (log-rank gebaseerd) en loss-gebaseerde Membership Inference Attacks (MIA) over 20 geplante canaries, elk 10 keer gereproduceerd. Nut (utility) werd beoordeeld via logit-gebaseerde ernstclassificatie (CVSS-buckets) op gehouden data (held-out data).

Belangrijkste Bijdragen

1. Decompositie van Memorisatie-reductie: De studie toont aan dat de reductie in memorisatie die wordt waargenomen bij de overgang van raw fine-tuning naar een "stack" van QLoRA en grote-batching primair wordt gedreven door de reductie in het aantal optimizer-updates (minder stappen), in plaats van door de privacymechanismen zelf. Controls met een gelijk aantal updates reproduceerden 66–132% (gemiddeld 100%) van de memorisatie-reductie gezien in de V0→V1 transitie, uitsluitend door het aantal updates te verminderen.
2. Compositie van Verdedigingen: Het artikel evalueert de compositie van DP-SGD en HMAC-pseudonimisatie. Het stelt vast dat DP-SGD formele (ε, δ) garanties biedt, maar geen significante verdere reductie in memorisatie oplevert bovenop wat al wordt bereikt door de verminderde optimizer-updates in het V1-regime.
3. Effectiviteit van Pseudonimisatie: HMAC-pseudonimisatie verwijdert succesvol de originele identifier uit het exposure-oppervlak (vermindering van exposure met 40–61% in het raw regime) zonder een secundair memorisatie-doelwit te creëren. De exposure van de HMAC-slug zelf blijft binnen ±0,65 bits van de kans-floor over alle modellen en varianten.
4. Identificatie van de Utility Gap: Onder het geëvalueerde trainingsbudget (3 epochs, 3.200 records) slagen 1–3B SLM's er niet in om operationeel nut te bereiken voor ernstclassificatie, met F1-scores variërend tussen 0,19 en 0,28. Dit duidt op een "budget-conditional gap" waarbij deze modellen niet convergeren naar bruikbare prestatieniveaus voor deze specifieke taak, ongeacht het privacyregime.

Resultaten

• Memorization: De overgang van V0 naar V1 verminderde de gemiddelde exposure met 36–66%. Het toevoegen van DP-SGD (V2, V3) leverde echter geen statistisch significante verdere reducties op na correctie voor false discovery rates.
• Pseudonimisatie: In het raw regime (V0) verminderde HMAC-pseudonimisatie de exposure van de originele canary met 40–61%. Cruciaal is dat het model de HMAC-slugs niet memoreerde; de slug-exposure bleef nabij de random baseline (ongeveer 1 bit) over alle 16 model-variant cellen.
• Utility: F1-macro scores voor ernstclassificatie bleven laag (0,19–0,28) over alle 96 adapters, wat nauwelijks boven de "always-Medium" baseline (0,125) uitkomt en ver onder de operationele drempels ligt. Prompt engineering op de base modellen vertoonde vergelijkbaar laag nut, wat bevestigt dat de gap niet louter een fine-tuning artefact is, maar een beperking van de modelgrootte en taakformulering onder het gegeven budget.
• Deployment Hazard: De studie identificeerde een compatibiliteitsprobleem waarbij DP-SGD faalt op multimodale SLM-architecturen (bijv. Gemma 4, Qwen3-VL) omdat de attention-modules voor niet-tekst towers geen gradiënten ontvangen, wat leidt tot het afbreken van de optimizer. Dit vereist architectuur-specifieke exclusie-regexes.

Significantie en Claims
Het artikel claimt de eerste empirische studie te zijn die de decompositie van memorisatie-reductie in 1–3B SLM's die getraind zijn op gestructureerde CSIRT-data onder gecomponeerde verdedigingen onderzoekt. De primaire significantie ligt in het verduidelijken dat:

• Optimizer-updates de dominante factor zijn: Het waargenomen voordeel van "privacy-preserving" stacks (QLoRA + batching) is grotendeels een bijproduct van verminderde trainingsstappen, en niet van het privacymechanisme zelf.
• Pseudonimisatie veilig is: Cryptografische pseudonimisatie verbergt effectief de originele identificatoren zonder het memorisatie-risico naar de pseudoniemen te verschuiven.
• Operationele beperkingen: Huidige 1–3B SLM's, zelfs met fine-tuning, zijn mogelijk niet operationeel levensvatbaar voor gestructureerde kwetsbaarheidsclassificatie onder standaard on-premise hardwarebeperkingen, wat suggereert dat er behoefte is aan grotere modellen of andere taakformuleringen.

De auteurs stellen expliciet dat hun bevindingen specifiek zijn voor het 1–3B regime en gestructureerde data, en zij beweren niet dat deze resultaten generaliseerbaar zijn naar grotere modellen (≥7B) of ongestructureerde narratieve data, waar eerder werk wijst op een hoger nut.