Stel je voor dat je een super slimme robotassistent hebt die foto's kan bekijken en tekst kan lezen tegelijkertijd. Wetenschappers noemen deze "Multimodale Large Language Models" (MLLM's). Zie ze als een brein dat heeft geleerd de wereld te zien via een cameralens en te spreken via een microfoon tegelijkertijd. Ze zijn geweldig in taken zoals het bekijken van een foto van een bonnetje en de totale kosten te vertellen, of een paspoort te scannen en de naam te lezen. Maar, net als een mens die het telefoonnummer van een vriend uit het hoofd leert en het per ongeluk uitbraakt wanneer er een andere vraag wordt gesteld, kunnen deze robots soms privédetails "onthouden" uit de foto's waarop ze getraind zijn, zelfs wanneer die details niet daadwerkelijk zichtbaar zijn in de nieuwe foto waar ze naar kijken. Dit is een groot probleem omdat we deze robots gaan gebruiken om gevoelige documenten zoals ID's en paspoorten te verwerken. Als een robot jouw geheime informatie raadt simpelweg omdat hij "goed is in raden" op basis van wat hij eerder heeft geleerd, komt je privacy in gevaar.

Dit artikel, getiteld "Beyond Visual Evidence," onderzoekt een sluwe manier waarop deze robots geheimen lekken. De onderzoekers ontdekten dat wanneer een robot een document wordt getoond met vage of ontbrekende delen (zoals een bewogen foto van een identiteitskaart), hij niet alleen zegt "ik kan het niet zien." In plaats daarvan probeert hij vaak de gaten in te vullen met wat hij heeft onthouden uit zijn training. Het enge deel is dat hij niet zomaar één ding raadt; hij raadt een hele set verbonden geheimen tegelijkertijd. Bijvoorbeeld, als de robot het documentnummer niet kan zien, kan hij nog steeds jouw naam, je geboortedatum en het documentnummer samen raden, omdat hij heeft geleerd dat deze drie dingen meestal bij elkaar horen in de trainingsdata. De auteurs noemen dit "relationele privacylekkage." Om dit op te lossen, hebben ze een nieuwe trainingsmethode gebouwd genaamd DRUF (Dynamic Relational Unlearning Framework). Denk aan een strenge leraar die een leerling niet alleen vertelt om een specifiek feit te "vergeten", maar de leerling leert de mentale link tussen verbonden feiten te verbreken. Ze hebben ook een nieuwe test gemaakt genaamd DocPrivacyBench om te zien hoe gemakkelijk verschillende robots deze geheimen lekken. Hun experimenten toonden aan dat hoewel huidige robots erg goed zijn in het lekken van deze verbonden geheimen wanneer visuele aanwijzingen zwak zijn, hun nieuwe methode, DRUF, de lekken bijna volledig kan stoppen zonder de robot slecht te maken in zijn taak van het lezen van documenten.

Het Probleem: Wanneer Robots Te Goed Raden

Het verhaal begint met een specifiek type robot: één die ontworpen is om documenten te lezen. Dit zijn de "document MLLM's". Stel je voor dat je een robot een foto van een rijbewijs geeft. Het is de bedoeling dat de robot naar de foto kijkt, de tekst vindt, en de naam, de geboortedatum en het rijbewijsnummer vertelt. Dit wordt Key Information Extraction (KIE) genoemd. Meestal kijkt de robot naar de pixels in de afbeelding om het antwoord te vinden. Maar wat gebeurt er als de afbeelding slecht is? Wat als de foto wazig is, de tekst wordt bedekt door een vinger, of de afbeelding gewoon een blanco wit vierkant is?

De onderzoekers ontdekten dat wanneer de visuele bewijslast zwak of afwezig is, deze robots niet zomaar stoppen. Ze schakelen over naar een andere modus: ze beginnen te raden op basis van patronen die ze hebben onthouden. Als de robot van duizenden trainingsvoorbeelden heeft geleerd dat "John Smith" bijna altijd gepaard gaat met "Rijbewijs Nummer 12345" en "Geboren in 1990," dan kan hij al deze drie dingen samen gaan produceren, zelfs als de foto waar hij naar kijkt volledig blanco is.

Dit is anders dan eerdere privacyzorgen. Voorheen maakten mensen zich zorgen dat een robot per ongeluk een geheim naam zou kunnen zeggen als je de juiste vraag stelt. Maar dit artikel laat een nieuw, gevaarlijker risico zien: Relationele Lekken. Het gaat niet alleen om het lekken van één geheim; het gaat om het onthullen van een hele keten van geheimen die aan elkaar verbonden zijn. Het is als een goochelaar die, wanneer gevraagd wordt een konijn uit een hoed te toveren, per ongeluk het konijn, de hoed, de toverstaf en het huisadres van de assistent tegelijkertelijk tevoorschijn tovert, omdat die dingen in zijn geheugen altijd bij elkaar horen.

De Onderzoek: DocPrivacyBench

Om te bewijzen dat dit gebeurde, bouwden de auteurs een nieuwe testomgeving genaamd DocPrivacyBench. Ze wilden zien of robots geheimen zouden lekken wanneer ze het document niet echt konden zien.

Ze zetten twee hoofdmaniere op om de robots te testen:

1. Beeldgestuurd: Ze toonden de robot een foto van een document, maar vervingen de foto vervolgens door een blanco witte afbeelding (of een wazige bende) terwijl de vraag hetzelfde bleef. Ze vroegen: "Wat is het documentnummer?" De robot had geen visuele aanwijzingen, dus als hij antwoordde, was hij aan het raden vanuit zijn geheugen.
2. Promptgestuurd: Ze hielden de afbeelding aan, maar veranderden de vraag om de robot uit te lokken, waarbij werd gevraagd om informatie te onthullen die hij niet op basis van de foto alleen zou moeten weten.

Ze testten drie verschillende populaire robotmodellen (LLaVA-1.5-hf, Xgen-Phi3, en Idefics2) op drie verschillende datasets van ID-kaarten en paspoorten. De resultaten waren verbijsterend. Wanneer de visuele bewijslast ontbrak, waren de robots verrassend goed in het raden van de geheimen.

Bijvoorbeeld, op een "noisy" dataset (waar de afbeeldingen een beetje rommelig waren), had het LLaVA-1.5-hf model een lekpercentage van 1.000 (wat betekent dat het het juiste geheim 100% van de tijd lekte) wanneer een blanco afbeelding werd getoond, maar dit werd gemeten bij een lagere gelijkenis-drempel (Acc@0.8). Nog verbazingwekkender was dat toen ze het testten met een "noisy" versie van de IDNet-dataset, het lekpercentage omhoog schoot naar 1.000 voor de Acc@0.8 metriek. Dit betekent dat zonder een duidelijke foto, de robot in essentie gewoon de trainingsdata reciteerde die hij had onthouden, waarbij hij namen koppelde aan documentnummers en geboortedata, zelfs terwijl hij ze niet kon zien.

Het artikel vond ook dat de kwaliteit van de trainingsdata ertoe deed. Wanneer de trainingsdata "ruiziger" was (lagere kwaliteit), vertrouwden de robots meer op hun onthouden verbindingen, wat leidde tot hogere privacyrisico's. Dit suggereert dat hoe rommeliger de data is waar de robot van leert, hoe meer hij probeert de "gaten in te vullen" met gokken, wat slecht is voor de privacy.

De Oplossing: DRUF

Dus, hoe stop je een robot van het raden van deze verbonden geheimen? Je kunt hem niet simpelweg vertellen om de naam "John Smith" te "vergeten", want hij moet nog steeds weten hoe hij namen in het algemeen moet lezen. En je kunt hem ook niet simpelweg vertellen om het nummer "12345" te vergeten. Het probleem is de link tussen hen.

De auteurs stelden een nieuwe methode voor genaamd DRUF (Dynamic Relational Unlearning Framework). Stel je voor dat je een student leert die blijft vertrouwen op het antwoordenblad. In plaats van alleen één antwoord van het blad te wissen, wil je de student leren dat de verbinding tussen "Vraag A" en "Antwoord B" nep is.

DRUF werkt in twee stappen:

1. Dynamische Vergetensset: Eerst onderzoekt het systeem de robot om te zien welke specifieke paren geheimen hij op dit moment lekt. Miss misschien vandaag "Naam + Documentnummer", maar morgen is het misschien "Naam + Geboortedatum". In plaats van te gokken wat er vergeten moet worden, observeert DRUF de robot, ziet wat hij lekt, en maakt een "vergetenslijst" op basis van wat hij daadwerkelijk zag. Deze lijst verandert dynamisch naarmate de robot leert.
2. Relationele Ontkoppeling (RDU): Dit is het magische deel. Wanneer de robot probeert te leren van deze "vergetenslijst", straft DRUF de robot niet alleen voor het zeggen van de verkeerde naam. Het straft de robot voor het tegelijkertijd zeggen van het paar. Het gebruikt een speciale wiskundige truc (een "multiplicatieve koppeling") die ervoor zorgt dat de robot een enorme straf krijgt als hij probeert zowel de naam als het documentnummer tegelijkertijd uit te voeren. Het verbreekt de mentale lijm die die twee geheimen bij elkaar houdt.

De resultaten van deze nieuwe methode waren indrukwekkend. Toen ze DRUF toepasten op het LLaVA-1.5-hf model:

• Het verminderde het lekpercentage in de "Beeldgestuurde" test (waar de robot een blanco afbeelding zag) van 0.642 naar 0.001. Dat is een daling van bijna 99,8%.
• Het verminderde de lekkage in de "Promptgestuurde" test tot 0.000.
• Cruciaal was dat het de capaciteit van de robot om zijn werk te doen niet verpestte. De robot kon nog steeds heldere documenten perfect lezen, met een prestatiescore (LC) van 0.808, wat heel dicht bij de oorspronkelijke 0.852 van het originele model ligt.

Andere methoden probeerden dit te fixen, maar hadden problemen. Sommige methoden (zoals GA) stopten de lekken, maar maakten de robot ook slecht in het lezen van documenten (waardoor de prestatie daalde naar 0.119). Anderen (zoals DPO) hielden de robot slim, maar faalden in het stoppen van de lekken (de lekkage bleef hoog op 0.633). DRUF was de enige die erin slaagde de lekken te stoppen én de robot slim te houden.

Waarom dit Belangrijk is

Het artikel concludeert dat deze "relationele lekkage" een echt en veelvoorkomend probleem is. Wanneer visueel bewijs zwak is, zullen robots tevreden raden aan jouw privé-informatie als ze denken dat ze het patroon kennen. De auteurs toonden aan dat bestaande methoden niet goed genoeg zijn omdat ze proberen individuele feiten te vergeten in plaats van de links tussen feiten te verbreken.

Door DRUF te gebruiken, kunnen we deze robots leren om niet te raden aan verbonden geheimen. Het artikel suggereert dat deze aanpak een noodzakelijke stap is om documentverwerkende robots veilig te kunnen gebruiken in de echte wereld. Als we willen dat AI onze paspoorten en ID's afhandelt, moeten we ervoor zorgen dat wanneer de AI het document niet kan zien, hij niet zomaar de rest van je levensverhaal verzint op basis van wat hij heeft onthouden. De auteurs hopen dat dit werk zal leiden tot betere privacytools voor alle soorten gestructureerde documenttaken.

Kortom, het artikel vond dat robots te goed zijn in het raden van verbonden geheimen wanneer ze het bewijs niet kunnen zien, maar ze vonden ook een manier om hen deze verbindingen te leren verbreken, waardoor onze gegevens veilig blijven zonder de robots nutteloos te maken.