Resumo Técnico: Decodificação Consciente de Privacidade (PAD)

Definição do Problema

A Geração Aumentada por Recuperação (RAG) melhora os Grandes Modelos de Linguagem (LLMs) ao condicionar as saídas em fontes de conhecimento externas. No entanto, quando o corpus de recuperação contém dados privados ou sensíveis, os sistemas RAG tornam-se vulneráveis a ataques de extração. Adversários podem elaborar prompts para forçar o modelo a emitir texto literal ou vazar informações de identificação pessoal (PII) diretamente dos documentos recuperados.

As estratégias de mitigação existentes enfrentam duas limitações primárias:

1. Vulnerabilidade de Decodificação: Mesmo com mecanismos de recuperação privados, a etapa de decodificação (geração) pode atuar como um canal de vazamento. Estratégias de decodificação de baixa temperatura ou greedy frequentemente fazem com que os LLMs emitam conteúdo sensível de forma literal, contornando proteções de etapas anteriores.
2. Escalabilidade e Praticidade: Métodos fortes de privacidade diferencial (DP), como o Gradiente Estocástico de Diferencial de Privacidade (DP-SGD), exigem um retreinamento significativo, tornando-os impraticáveis para LLMs pré-treinados de grande escala. Outras abordagens geralmente exigem modificações na infraestrutura de recuperação ou filtragem de corpus.

Há uma necessidade de uma defesa agnóstica ao modelo, em tempo de inferência, que mitigue o vazamento de privacidade sem retreinar ou alterar o pipeline de recuperação.

Metodologia: Decodificação Consciente de Privacidade (PAD)

Os autores propõem a Decodificação Consciente de Privacidade (PAD), um mecanismo leve, em tempo de inferência, que injeta adaptativamente ruído Gaussiano calibrado nos logits dos tokens durante a geração. O PAD opera inteiramente na etapa de decodificação e é agnóstico ao modelo.

O framework consiste em quatro componentes principais:

1. Recorte de Logit e Limitação de Sensibilidade

Para estabelecer um limite de sensibilidade determinístico necessário para a privacidade diferencial, o PAD primeiro aplica o recorte de logit $L_2$. Para um raio fixo $C$, os logits $\mathbf{s}_t$ são recortados para $\bar{\mathbf{s}}_t$:
$$\bar{\mathbf{s}}_t = \mathbf{s}_t \cdot \min\left(1, \frac{C}{\|\mathbf{s}_t\|_2}\right)$$
Isso garante que, para quaisquer dois contextos de recuperação vizinhos, a diferença nos logits recortados seja limitada por $\Delta = 2C$, fornecendo uma sensibilidade fixa para o mecanismo Gaussiano.

2. Triagem Baseada em Confiança

O PAD não aplica ruído de forma uniforme. Em vez disso, emprega um mecanismo de triagem para identificar tokens de alto risco. Um token é considerado de alto risco se:

• A confiança do modelo (probabilidade máxima de softmax) estiver abaixo de um limiar $\tau_{conf}$.
• A margem de logit (diferença entre os dois maiores logits) estiver abaixo de um limiar $\tau_{margin}$.

Tokens que satisfazem esses critérios são sinalizados para proteção aprimorada; previsões confiantes recebem o mínimo de ruído para preservar a utilidade.

3. Calibração de Ruído Adaptativa

Para tokens de alto risco, o PAD injeta ruído Gaussiano $\mathcal{N}(0, \sigma_t^2 \mathbf{I})$ onde a escala $\sigma_t$ é calibrada dinamicamente com base em três fatores:

• Escala Adaptativa ao Risco ($r_t$): Modulada pela margem de logit. Margens menores (maior incerteza) resultam em escalas de ruído maiores.
• Calibração Consciente do Contexto: A escala de ruído é ajustada adicionalmente por:
  • Entropia do Token: Entropia mais alta (incerteza) aumenta o ruído.
  • Fator de Posição: Tokens iniciais na sequência recebem maior ruído para evitar propagação de erro.
  • Fator de Confiança: Menor confiança aumenta o ruído.
• Fator de Amplificação ($\lambda_{amp}$): Um parâmetro global para ajustar o equilíbrio entre privacidade e utilidade.

A escala de ruído final é computada como:
$$\sigma_t = \sigma_{base} \cdot \text{calibrate}(\mathbf{p}_t, t) \cdot r_t \cdot \lambda_{amp}$$

4. Contabilidade de Privacidade de Rényi (RDP)

O PAD utiliza um contador de Privacidade de Rényi para rastrear a perda cumulativa de privacidade. Como a escala de ruído $\sigma_t$ é dependente dos dados (adaptativa), a garantia $(\varepsilon, \delta)$ reportada é específica para o cronograma de ruído realizado. O framework emprega uma relaxação-$\gamma$, fornecendo garantias formais de DP apenas para a fração $\gamma$ de tokens identificados como de alto risco, deixando os tokens de baixo risco desprotegidos para manter a qualidade da geração.

Principais Contribuições

1. Framework PAD: O primeiro mecanismo de proteção de privacidade em tempo de decodificação projetado especificamente para RAG, que não requer retreinamento ou mudanças na infraestrutura de recuperação.
2. Mecanismo de Ruído Adaptativo: Uma abordagem inovadora que visa tokens de alto risco usando triagem baseada em confiança e calibração consciente do contexto, equilibrando a proteção de privacidade com a utilidade da geração.
3. Contabilidade de Privacidade Explícita: Um contador baseado em RDP que reporta garantias de privacidade $(\varepsilon, \delta)$ ao nível da resposta para os tokens protegidos sob um cronograma de ruído dependente dos dados.
4. Validação Empírica: Avaliação abrangente demonstrando que o PAD reduz o vazamento de privacidade enquanto preserva a utilidade da resposta em diversos conjuntos de dados e modelos.

Resultados Experimentais

Os autores avaliaram o PAD em três conjuntos de dados do mundo real: HealthCareMagic, ChatDoctor-iCliniq (diálogos médicos) e Enron Mail. Os experimentos foram conduzidos utilizando os modelos Pythia-6.9B e Llama2-7B contra ataques de extração de caixa-preta (black-box).

Principais Descobertas:

• Mitigação de Privacidade: O PAD reduziu substancialmente o vazamento de informações privadas. No conjunto de dados HealthCareMagic com o Pythia-6.9B, o PAD reduziu o "Repeat Prompt" (reprodução literal de texto recuperado) de 264 para 127 (uma redução de 51,9%) e o vazamento baseado em ROUGE em 49,6%.
• Preservação de Utilidade: Ao contrário das linhas de base que degradam a qualidade da geração, o PAD manteve ou melhorou a perplexidade (PPL). Por exemplo, no HealthCareMagic, o PAD alcançou um PPL de 9,88 comparado a 10,94 da linha de base de vazamento.
• Comparação com Linhas de Base: O PAD superou as defesas baseadas em recuperação existentes (Sumarização, Limiar de Distância de Conjunto) e métodos de pós-processamento (Injeção de Ruído Estático) no equilíbrio entre privacidade e utilidade.
• Estudos de Ablação: Remover os componentes de calibração adaptativa ao risco ou consciente do contexto resultou em aumentos mensuráveis no vazamento de privacidade, confirmando a necessidade dos componentes adaptativos.
• Sensibilidade de Parâmetros: O estudo identificou uma faixa ideal de fator de amplificação (3,0–5,0) para equilibrar privacidade e utilidade. Valores de $\varepsilon$ muito baixos (ex: 0,01) eliminaram o vazamento, mas tornaram as saídas inutilizáveis devido à alta perplexidade.

Significância e Alegações

O artigo posiciona o PAD como um passo significativo para mitigar riscos de privacidade em RAG via estratégias de decodificação. Os autores alegam que o PAD oferece uma solução universal e escalável para domínios sensíveis (como saúde) porque:

• Opera inteiramente em tempo de inferência sem retreinamento.
• É agnóstico ao modelo e compatível com pipelines de recuperação existentes.
• Fornece contabilidade de privacidade explícita por resposta.

O trabalho reconhece limitações, observando que a garantia relaxada-$\gamma$ protege apenas um subconjunto de tokens e que a contabilidade de privacidade reportada é baseada no cronograma de ruído realizado, em vez de um limite independente de entrada e de pior caso. Os autores sugerem que trabalhos futuros devem explorar a otimização conjunta de defesas de recuperação e treinamento, além de estender o framework para configurações de RAG multimodal.