Resumo Técnico: Explorando a Memorização Cruzada entre Clientes de Dados de Treinamento em Modelos de Linguagem Grandes para Aprendizado Federado

Declaração do Problema

O Aprendizado Federado (FL) permite o treinamento colaborativo de Modelos de Linguagem Grandes (LLMs) sem compartilhar dados brutos, visando preservar a privacidade. No entanto, o FL não elimina o risco de memorização, onde os modelos codificam e reproduzem inadvertidamente dados sensíveis de treinamento. As técnicas existentes de detecção para FL dependem principalmente de injeção de canário (incorporação de frases fora da distribuição) ou focam na memorização literal dentro de uma única amostra. Essas abordagens falham em capturar a memorização cruzada entre amostras, onde um modelo pode reproduzir um sufixo de uma amostra de treinamento quando solicitado com um prefixo de uma amostra diferente. No contexto do FL, esse risco estende-se à memorização cruzada entre clientes, onde o prefixo de um cliente poderia desencadear a geração do sufixo privado de outro cliente. Os métodos atuais para medir a memorização cruzada entre amostras no Aprendizado Centralizado (CL) assumem acesso centralizado aos dados e não podem ser aplicados diretamente ao cenário descentralizado do FL.

Metodologia

Os autores propõem um framework para quantificar tanto a memorização intra-cliente (dentro do mesmo cliente) quanto a inter-cliente (entre diferentes clientes) no FL, adaptando técnicas de medição cruzada entre amostras de alta granularidade do CL.

Design do Framework

1. Definição de Memorização: O artigo generaliza a definição de memorização dentro da distribuição para o FL. Um prefixo $p_j$ do cliente $C_j$ induz a memorização dos dados do cliente $C_k$ se o modelo $M(p_j)$ gerar um texto suficientemente semelhante a um sufixo $s_k$ de $C_k$, determinado por uma função discriminativa $F$.
2. Medição Pares a Pares: O framework calcula uma razão de memorização pares a pares ($MR_{j \to k}$), representando a fração de prefixos de $C_j$ que desencadeiam a memorização de sufixos de $C_k$.
   • Intra-cliente ($MR_{Intra}$): Razão média onde $j=k$.
   • Inter-cliente ($MR_{Inter}$): Razão média onde $j \neq k$.
3. Processo de Estimação:
   • Amostragem: Subconjuntos pequenos de prefixos ($\tilde{P}_j$) e sufixos ($\tilde{S}_k$) são amostrados dos clientes.
   • Geração: O modelo gera texto $M(\tilde{p})$ para cada prefixo amostrado.
   • Recuperação: Os textos gerados são consultados contra o conjunto de sufixos $\tilde{S}_k$ usando Elasticsearch para recuperar os $n'$ sufixos mais semelhantes.
   • Detecção de Similaridade: O detector de plágio PAN2014 é usado como a função discriminativa $F$. Ele avalia a similaridade em três granularidades: literal, paráfrase e nível de ideia.
   • Cálculo: Se qualquer um dos $n'$ sufixos principais corresponder ao texto gerado sob qualquer granularidade, o prefixo é contado como induzindo memorização.

Configuração Experimental

• Conjuntos de Dados: Quatro tarefas foram avaliadas: Resumo (ArxivAbstract), Diálogo (MedDialog), Resposta a Perguntas (PubMedQA) e Classificação (PubMed 200k RCT). Os dados foram particionados de forma não-IID entre três clientes por tarefa.
• Modelos: Os experimentos principais utilizaram o Qwen2.5-3B, com resultados suplementares para Llama3.2-3B e GPT-2.
• Variáveis: O estudo analisou o impacto de estratégias de decodificação (temperatura, top-k, top-p), comprimentos de prefixo (10, 30, 50, 100 tokens), algoritmos federados (FedAvg, FedProx), tamanhos de modelo e rodadas de comunicação.

Principais Contribuições

1. Formulação do Problema: Os autores enquadram o desafio de detectar a memorização sutil e cruzada entre amostras no FL, adaptando métodos de avaliação do CL.
2. Novo Framework: Eles projetaram um framework capaz de medir tanto a memorização intra-cliente quanto inter-cliente no FL, permitindo a quantificação do vazamento de privacidade entre clientes.
3. Insights Empíricos: Através de extensos estudos de ablação, o artigo identifica fatores específicos que influenciam as taxas de memorização em configurações de FL.

Resultados e Descobertas

• Existência de Memorização: Os modelos de FL memorizam dados de treinamento. Crucialmente, a memorização intra-cliente ($MR_{Intra}$) é consistentemente maior que a memorização inter-cliente ($MR_{Inter}$) em todas as tarefas avaliadas (Resumo, Diálogo, Resposta a Perguntas).
• Comportamento Específico da Tarefa: A tarefa de Classificação mostrou 0,000% de memorização tanto para cenários intra-cliente quanto inter-cliente. A análise revelou que isso se deve ao curto comprimento das saídas geradas em tarefas de classificação, que frequentemente ficam abaixo do limite mínimo de correspondência (50 caracteres) exigido pelo detector PAN2014.
• FL vs. CL: Contrariando trabalhos anteriores que sugerem que o FL reduz a memorização, este estudo não encontrou nenhuma tendência clara indicando que o FL leva a uma menor memorização em comparação ao CL ao medir dados dentro da distribuição. As razões totais de memorização ($MRTotal$) foram comparáveis entre as configurações de CL e FL.
• Fatores Influenciadores:
  • Estratégia de Decodificação: Estratégias sofisticadas como decodificação top-k e top-p tenderam a aumentar a memorização em comparação com a decodificação por temperatura.
  • Comprimento do Prefixo: Prefixos mais curtos geralmente induziram taxas de memorização mais altas.
  • Algoritmo Federado: O FedProx resultou em taxas de memorização mais altas que o FedAvg e foi o único algoritmo a induzir memorização na tarefa de Classificação.
  • Características do Sufixo: Certos grupos de conjuntos de dados (por exemplo, Grupo 3 na tarefa de Diálogo) foram mais suscetíveis à memorização do que outros, sugerindo que propriedades do conjunto de dados desempenham um papel.
  • Tamanho do Modelo e Rodadas: Nenhuma correlação clara foi observada entre o tamanho do modelo ou o número de rodadas de comunicação e as taxas de memorização.

Significado e Alegações

O artigo afirma preencher a lacuna entre a avaliação de memorização centralizada e o aprendizado federado, fornecendo um método para medir o vazamento cruzado entre clientes. O significado principal reside em demonstrar que o FL não elimina inerentemente os riscos de memorização; os modelos ainda codificam dados privados, particularmente dentro da distribuição do mesmo cliente.

Os autores enfatizam que, embora o vazamento inter-cliente seja uma violação direta de privacidade, o vazamento intra-cliente (exposto a danos) também representa riscos se os prefixos forem públicos. As descobertas sugerem que os mecanismos de preservação de privacidade no FL devem levar em conta a memorização cruzada entre amostras dentro da distribuição, e não apenas a extração literal. O estudo conclui que fatores como estratégias de decodificação, comprimento do prefixo e a escolha do algoritmo federado influenciam significativamente a memorização, necessitando de configuração cuidadosa para mitigar riscos de privacidade no treinamento descentralizado de LLMs.

Os autores observam modestamente limitações, incluindo a dependência do detector PAN2014 (que pode classificar erroneamente saídas incoerentes) e a restrição a texto em inglês. Eles também identificam a explicação teórica para o motivo pelo qual a memorização intra-cliente excede a memorização inter-cliente como uma direção para pesquisas futuras.