Resumo Técnico: Memorização Não Intencional de Informações Sensíveis em Modelos de Linguagem Ajustados (Fine-Tuned)

Definição do Problema

Este trabalho aborda uma vulnerabilidade crítica e subexplorada em Grandes Modelos de Linguagem (LLMs): a memorização não intencional de Informações Pessoais Identificáveis (PII) que aparecem exclusivamente nos inputs do modelo, mas não nos alvos de treinamento.

Enquanto pesquisas anteriores focaram na memorização durante o pré-treinamento ou em tarefas de ajuste fino onde a PII faz parte do output desejado (ex: reconhecimento de entidades nomeadas), este estudo isola cenários onde dados sensíveis (como nomes de pacientes em registros médicos) estão presentes apenas no contexto de entrada. Nestes cenários de "apenas-entrada", a tarefa subsequente (ex: classificação de diagnóstico ou planejamento de acompanhamento) não requer que o modelo produza a PII. No entanto, os autores demonstram que o ajuste fino (FT) em tais conjuntos de dados sensíveis faz com que os modelos internalizem e, posteriormente, vazem essa PII irrelevante quando sondados via prompts adversários.

O modelo de ameaça assume um cenário de caixa-preta (black-box), onde adversários têm acesso ao modelo via consultas de API e possuem conhecimento parcial do conjunto de dados de ajuste fino (ex: Registros Eletrônicos de Saúde anonimizados), permitindo-lhes criar "Ataques de Prefixo Verdadeiro" (True-Prefix Attacks - TPA) para extrair tokens memorizados.

Metodologia

Configuração Experimental

Os autores utilizam três conjuntos de dados distintos para avaliar a memorização através de diferentes complexidades e domínios:

1. GretelAI-Financial: Um conjunto de dados sintético, multilíngue (~30k amostras, 7 idiomas), focado em classificação de texto financeiro.
2. Relatórios de Patologia: 2.553 documentos em alemão resumindo análises de tumores, anotados manualmente para PII.
3. Resumos de Alta (Discharge Summaries - DS): 26.036 relatórios clínicos em alemão usados para uma tarefa de geração de plano de acompanhamento, com PII identificada via um pipeline de múltiplos estágios (regex, detecção por LLM, verificação manual).

O principal vetor de ataque é o Ataque de Prefixo Verdadeiro (TPA), onde um adversário fornece um prefixo dos dados de treinamento imediatamente anterior a um intervalo de PII. O modelo é considerado como tendo memorizado a PII se ele prever os tokens subsequentes com alta probabilidade. Uma variante de TPA Aprimorado adiciona o primeiro caractere da PII ao prefixo para aumentar o sucesso da extração.

Estratégias de Mitigação

Quatro abordagens de preservação de privacidade são testadas para avaliar sua capacidade de reduzir o vazamento de PII mantendo o desempenho da tarefa:

1. Privacidade Diferencial (DP): Integra $(\epsilon, \delta)$-DP no ajuste fino de QLoRA usando Opacus, introduzindo ruído nas atualizações de gradiente para limitar a influência de amostras individuais.
2. Desaprendizado de Máquina (UnDial): Um método de desaprendizado direcionado baseado em autodestilação. Ele suprime os logits para tokens de PII específicos em um subconjunto disjunto dos dados de treinamento para "esquecê-los" sem desestabilizar o modelo.
3. Regularização: Uma variante do UnDial integrada diretamente no loop de ajuste fino, aplicando uma função de perda focada apenas em tokens de PII para desencorajar a memorização.
4. Otimização de Preferência Direta (DPO): Alinha as saídas do modelo com preferências de privacidade, tratando o texto original contendo PII como respostas "rejeitadas" e as versões mascaradas como respostas "preferidas".

Métricas de Avaliação

• Desempenho da Tarefa: Acurácia (GretelAI), F1-score (Patologia) e BERTScore-F1 (DS).
• Memorização: Medida via contagens de extração de PII sob decodificação Greedy, Amostragem (32 execuções, temperatura 1.0) e Cross-memorização (comparando gerações contra todas as PII do mesmo tipo no conjunto de dados).

Principais Resultados

Características da Memorização de Apenas-Entrada

• Aumento de Confiança: Modelos ajustados exibem significativamente maior confiança (menor log-verossimilhança negativa) ao prever tokens de PII em comparação com modelos base, mesmo quando a PII é irrelevante para a tarefa.
• Frequência é um Preditor Ruim: Contrariamente à suposição de que tokens de alta frequência têm maior probabilidade de serem memorizados, o estudo encontra uma correlação fraca ($R^2 = 0,237$) entre a contagem real de uma instância de PII no conjunto de treinamento e sua extração bem-sucedida. A memorização parece ser mais dependente do contexto textual e da utilidade da tarefa do que da frequência bruta.
• Dependência de Idioma: As taxas de memorização variam significativamente entre idiomas. Em treinamentos multilíngues, o inglês e o espanhol exibiram taxas de extração significativamente maiores do que o alemão, italiano e sueco.
• Efeitos de Escala: Modelos maiores (ex: 8B–12B parâmetros) mostram uma maior capacidade basal de revelar PII. No entanto, o efeito do ajuste fino na memorização não é uniforme; enquanto modelos menores (1B–3B) mostram um aumento agudo de vazamento após o FT, modelos maiores às vezes mostram um aumento relativo menor nas contagens brutas de extração, embora o volume absoluto de PII vazada permança alto.

Eficácia das Estratégias de Mitigação

• Métodos de Pós-Treinamento (DPO, UnDial): Estes métodos geralmente oferecem os trade-offs de privacidade–utilidade mais consistentes. Eles são robustos a variações de hiperparâmetros e menos intensivos em recursos. O DPO, em particular, alcança alta acurácia na tarefa enquanto reduz significativamente o vazamento, especialmente em ataques baseados em amostragem.
• Privacidade Diferencial (DP): A DP demonstra forte potencial para reduzir o vazamento em configurações específicas (ex: reduzindo a cross-memorização em mais de 60% na tarefa DS). No entanto, sofre de instabilidade de treinamento, requer ajuste cuidadoso de hiperparâmetros e frequentemente degrada o desempenho da tarefa.
• Abordagens Híbridas: Combinar DP com DPO (DP-ϵ6 + DPO) não gerou o melhor dos dois mundos. Embora tenha preservado a força da DP no decodificação greedy, falhou em herdar a robustez do DPO contra ataques de amostragem e resultou em um desempenho de tarefa ligeiramente inferior ao DPO isolado.
• Escala e Privacidade: À medida que o tamanho do modelo aumenta, a eficácia da DP em prevenir a memorização diminui em relação aos métodos de alinhamento pós-treinamento. O DPO mostra-se marcadamente mais eficaz para modelos maiores (ex: 8B), reduzindo substancialmente o vazamento enquanto mantém o desempenho próximo ao ideal.

Significância e Alegações

O artigo afirma ser o primeiro estudo abrangente focado especificamente na memorização não intencional de PII onde os dados sensíveis aparecem apenas nos inputs. Sua significância reside em:

1. Revelar um Risco Oculto: Demonstrar que o ajuste fino em dados sensíveis (como registros médicos) cria um vetor de vazamento para PII mesmo quando a saída da tarefa não a requer, desafiando a suposição de que dados irrelevantes para a tarefa são seguros.
2. Benchmarking Empírico: Fornecer uma comparação sistemática de quatro grandes estratégias de mitigação, destacando que, embora nenhum método elimine o vazamento inteiramente, o alinhamento pós-treinamento (DPO) e o desaprendizado (UnDial) oferecem atualmente trade-offs mais estáveis e eficazes do que a Privacidade Diferencial em muitos cenários.
3. Orientação Prática: As descobertas sugerem que, para implantar LLMs ajustados em domínios sensíveis (ex: saúde), confiar apenas no ajuste fino padrão é insuficiente. Técnicas de preservação de privacidade devem ser explicitamente integradas, com preferência por métodos robustos de pós-treinamento ou DP cuidadosamente ajustado, reconhecendo o persistente trade-off entre utilidade e privacidade.

Os autores concluem que, embora os métodos atuais ofereçam melhorias, resta um espaço substancial para evolução, e o risco persistente de memorização exige técnicas de preservação de privacidade robustas e escaláveis antes da implantação de modelos em contextos sensíveis.