Technische Samenvatting: DeepInvert

Probleemstelling

Cloud-gebaseerde taalmodel (LM) diensten verwerken regelmatig prompts die gevoelige persoonlijke of zakelijke informatie bevatten. Om privacyrisico's te beperken zonder de zware computationele overhead van cryptografische oplossingen (bijv. homomorfe encryptie), heeft recent onderzoek voorgesteld om obfuscatie-gebaseerde verdedigingen te gebruiken. Deze methoden transformeren de representaties van prompts aan de client-zijde voordat ze naar de server worden verzonden, met behulp van technieken zoals vocabulaire-permutatie, token-substitutie, clustering/mixing en het toevoegen van differential privacy (DP) ruis.

Hoewel deze verdedigingen tot doel hebben de bruikbaarheid voor downstream-taken te behouden terwijl de originele tokens worden verborgen, stellen de auteurs dat bestaande beschermingen aanzienlijk zwakker zijn dan wordt aangenomen. Eerdere aanvallen, zoals KNN-gebaseerde gelijkeniszoekopdrachten of volledig gesuperviseerde inversiemodellen (bijv. InvBert), hebben slechts beperkt succes getoond. Specifiek lijden gesuperviseerde aanvallen onder distributieverschuivingen tussen de schaduwdata van de aanvaller en de geobfusceerde embeddings van het doelwit, terwijl optimalisatiegebaseerde aanvallen een gebrek aan structurele robuustheid vertonen tegen obfuscatieruis.

Methodologie: DeepInvert

Het artikel presenteert DeepInvert, een semi-gesuperviseerde embedding-inversieaanval die is ontworpen om originele tokens uit geobfusceerde representaties te herstellen met een hogere nauwkeurigheid dan eerdere methoden. De kerninzicht is dat, hoewel geobfusceerde embeddings verstoord zijn, ze een exploiteerbare semantische structuur behouden die geleerd kan worden van ongelabelde doelwitdata.

Kernarchitectuur

DeepInvert maakt gebruik van een semi-gesuperviseerd leerkader geïnspireerd door FixMatch, maar is afgestemd op de hoog-vocabulaire en ruizige aard van embedding-inversie. Het wisselt af tussen twee trainingsdoelstellingen:

1. Gesuperviseerd Leren (Schaduwdata): Het model wordt getraind op gelabelde geobfusceerde embeddings gegenereerd door "schaduwmodellen" (gesimuleerde verdedigingen). Deze component gebruikt standaard cross-entropy loss om geobfusceerde staten naar token-ID's te mappen.
2. Ongesuperviseerde Consistentie (Doelwitdata): Het model maakt gebruik van ongelabelde geobfusceerde embeddings van de werkelijke doelwitimplementatie. Het dwingt consistentie af tussen "zwak" en "sterk" geaugmenteerde weergaven van dezelfde embedding.

Belangrijke Technische Innovaties

Om de specifieke uitdagingen van embedding-inversie (grote vocabulaire, distributieverschuiving en ruis) aan te pakken, introduceert DeepInvert verschillende op maat gemaakte aanpassingen:

• Soft Labeling & Top-$k$ KL Divergentie: In plaats van harde pseudo-labels te gebruiken (die vaak inaccuraat zijn in hoog-vocabulaire settings), gebruikt de aanval soft labels. Het beperkt de consistentie-loss tot de top-$k$ voorspelde waarschijnlijkheden, wat de invloed van voorspellingen met een lage betrouwbaarheid in de 'long-tail' vermindert en computationele middelen optimaliseert.
• Gemaskeerde Geaugmenteerde Weergaven: Geïnspireerd door pretraining-technieken, maskeert de methode willekeurig token-embeddings in de inputsequentie. Dit dwingt het model om de semantische structuur uit de context te reconstrueren in plaats van te vertrouwen op specifieke token-kenmerken, wat helpt om informatie te herstellen die door obfuscatie is beschadigd.
• EMA Teacher: Om het ongesuperviseerde trainen te stabiliseren en model collapse te voorkomen, wordt een Exponential Moving Average (EMA) teacher-model gebruikt. Het student-model leert van de voorspellingen van de teacher op zwakke weergaven, terwijl de teacher wordt bijgewerkt via de EMA van de parameters van de student.
• Mixed Training Pipeline: In plaats van de gesuperviseerde en ongesuperviseerde losses gezamenlijk te optimaliseren (wat kan leiden tot gradiëntconflicten), gebruikt DeepInvert een afwisselend schema. Het schakelt tussen gesuperviseerde en ongesuseervecerde optimalisatiestappen binnen een epoch, waardoor de twee doelstellingen elkaar wederzijds kunnen versterken.
• Verdedigingsspecifieke Optimalisaties:
  • Multi-Shadow Aanval: Om distributieverschuivingen te mitigeren die worden veroorzaakt door geheime permutaties of clustering in verdedigingen zoals ObfusLM, maakt de aanval gebruik van meerdere schaduwmodellen met verschillende random seeds.
  • Renormalisatie & Denoising: Voor DP-gebaseerde verdedigingen past de aanval layer normalization toe om de schaal van embeddings te standaardiseren en gebruikt het Principal Component Analysis (PCA) om embeddings te denoisen vóór de inversie, wat effectief de ruis-signaalverhouding vermindert.

Experimentele Resultaten

De auteurs evalueerden DeepInvert over negen verdedigingen, vijf taken (inclusief binaire/multi-class classificatie, NER en medische QA) en vier modelarchitecturen (BERT, RoBERTa, LLaMA3-8B, Qwen3.5-27B).

• Prestaties op ObfusLM: Tegen de state-of-the-art ObfusLM-verdediging bereikt DeepInvert een top-1 token herstelpercentage van 73,5% (op SST-2 met RoBERTa), een significante verbetering ten opzien van de vorige beste aanval (InvBert) die slechts 26,2% behaalde. In generatieve taken (Medical QA met Qwen3.5-27B) bereikt het herstelpercentage 85,2%.
• Generalisatie: DeepInvert presteert consequent beter dan baselines (KNN, TBS, DEML, InvBert) over de meeste verdedigingen en taken. Het vertoont robuustheid, zelfs in out-of-domain settings waar de distributie van de schaduwdata verschilt van de doelwitdata.
• Herstel van Gevoelige Tokens: De aanval herstelt gevoelige tokens (bijv. medische termen, benoemde entiteiten) tegen snelheden die vergelijkbaar zijn met niet-gevoelige tokens, wat aangeeft dat obfuscatie gevoelige inhoud niet selectief beschermt.

Betekenis en Claims

Het artikel claimt dat DeepInvert een fundamentele taakafhankelijke spanning blootlegt in de privacy-utiliteit afweging van huidige obfuscatie-verdedigingen:

1. Token-niveau en Generatieve Taken: Er is een ernstig conflict. Verdedigingen die genoeg signaal behouden voor downstream-bruikbaarheid (bijv. accurate generatie of NER), behouden inherent voldoende semantische structuur zodat DeepInvert de originele tokens accuraat kan herstellen. Omgekeerd leiden verdedigingen die sterk genoeg zijn om inversie te weerstaan (bijv. hoge $\epsilon$ DP of zware ruis), tot het instorten van de downstream-taakbruikbaarheid naar bijna willekeurige niveaus.
2. Zinsniveau Classificatie: Bij eenvoudigere taken zoals sentimentanalyse kunnen sommige DP-gebaseerde verdedigingen tegelijkertijd de bruikbaarheid behouden en het token-herstel beperken, wat suggereert dat de spanning minder acuut is voor grovere taken.

De auteurs concluderen dat huidige obfuscatie-gebaseerde verdedigingen veel minder bescherming bieden dan voorheen werd aangenomen onder standaard privacyparameters. Ze pleiten voor een herwaardering van deze klasse van verdedigingen, met name voor token-niveau en generatieve workloads, en suggeren dat het bereiken van betekenisvolle privacy een verschuiving naar zware cryptografische oplossingen of hybride ontwerpen vereist.