Concept-Aware Privacy Mechanisms for Defending Embedding Inversion Attacks

Resumo Técnico: Mecanismos de Privacidade Conscientes de Conceitos para Defesa contra Ataques de Inversão de Embeddings (SPARSE)

1. O Problema: Vulnerabilidade e Ineficiência das Defesas Atuais

O uso de embeddings de texto (representações vetoriais) é fundamental para aplicações de Processamento de Linguagem Natural (NLP), como sistemas de RAG (Retrieval-Augmented Generation). No entanto, esses vetores são vulneráveis a ataques de inversão de embedding, onde um adversário consegue reconstruir o texto original ou inferir atributos sensíveis (como idade, gênero ou condições médicas) a partir dos vetores.

As defesas atuais baseadas em Privacidade Diferencial (DP) enfrentam dois problemas principais:

• Suposição de Sensibilidade Uniforme: Elas tratam todas as dimensões do vetor como igualmente sensíveis, injetando ruído de forma isotrópica (esférica). Isso causa uma degradação excessiva da utilidade (perda de semântica) para proteger informações que não são sensíveis.
• Falta de Contexto: A privacidade é subjetiva. Um usuário pode querer proteger "condições de saúde", enquanto outro quer proteger "opiniões políticas". As defesas atuais não permitem essa proteção específica por conceito.

2. Metodologia: O Framework SPARSE

Os autores propõem o SPARSE (Sensitivity-guided Privacy-Aware Representations for better SEmantic-preserving), um framework centrado no usuário que protege conceitos específicos através de duas etapas principais:

A. Aprendizado de Máscara de Neurônios (Identificação de Sensibilidade):
Para identificar quais dimensões do embedding carregam o conceito privado (ex: "doença"), o SPARSE utiliza um framework de aprendizado de máscara diferenciável.

• Utiliza uma distribuição Hard Concrete para aproximar uma máscara binária de forma que seja possível aplicar o gradiente durante o treinamento.
• O objetivo é treinar uma máscara $m$ que, ao ser aplicada ao embedding ($\Phi(s) \odot m$), consiga distinguir entre frases que contêm o conceito sensível e frases que o removeram, ao mesmo tempo em que mantém a máscara esparsa (usando regularização $L_0$).

B. Mecanismo de Mahalanobis (Perturbação de Ruído Elíptico):
Em vez de adicionar ruído esférico (que afeta todas as direções igualmente), o SPARSE introduz o Mecanismo de Mahalanobis.

• Ele injeta ruído anisotrópico (elíptico). As dimensões identificadas como altamente sensíveis pela máscara recebem perturbações maiores, enquanto as dimensões não sensíveis recebem pouco ou nenhum ruído.
• Isso garante que a semântica geral do texto seja preservada, enquanto o "rastro" do conceito privado é obscurecido. O mecanismo mantém garantias teóricas de Privacidade Diferencial Local (LDP).

3. Principais Contribuições

• Novo Paradigma de Defesa: Introdução de uma defesa guiada pela sensibilidade que permite ao usuário definir o que deve ser protegido.
• Mecanismo de Mahalanobis: Uma extensão da DP que utiliza a métrica de Mahalanobis para calibrar o ruído de acordo com a importância de cada dimensão.
• Equilíbrio Privacidade-Utilidade: Capacidade de reduzir drasticamente a vazamento de dados sem destruir a performance em tarefas de NLP (como similaridade semântica ou recuperação de informação).

4. Resultados Experimentais

Os autores avaliaram o método em seis conjuntos de dados, três modelos de embedding (GTR-base, Sentence-T5, SBERT) e três modelos de ataque (Vec2Text, GEIA, MLC).

• Superioridade na Privacidade: O SPARSE reduziu consistentemente a vazamento de informações (Leakage) em comparação com métodos de estado da arte (LapMech e PurMech). Em ataques complexos como o Vec2Text, o SPARSE reduziu o vazamento em até 92% com um orçamento de privacidade baixo ($\epsilon = 5$).
• Preservação da Utilidade: Enquanto as defesas tradicionais degradam severamente a utilidade para garantir privacidade, o SPARSE mantém uma performance de downstream tasks (como STS e FIQA) muito próxima do embedding original.
• Robustez e Generalização: O método funcionou bem em diferentes arquiteturas de modelos e foi eficaz em casos de uso do mundo real, como notas médicas (MIMIC-III) e dados de PII (Informações de Identificação Pessoal).
• Aproximação do "White-Box": Mesmo sem conhecer o modelo de ataque (ataque de caixa-preta), o SPARSE aproximou-se muito do desempenho de uma defesa ideal que possui conhecimento total do atacante (white-box).

5. Significância

Este trabalho é significativo porque move a discussão de privacidade de uma abordagem "um tamanho serve para todos" para uma abordagem consciente de conceitos e centrada no usuário. Ele resolve o dilema fundamental da privacidade em embeddings: como proteger informações específicas sem tornar o vetor inútil para as aplicações de IA que dependem dele. Isso abre caminho para sistemas de IA mais seguros e auditáveis em setores sensíveis, como saúde e finanças.