Beyond Theoretical Bounds: Empirical Privacy Loss Calibration for Text Rewriting Under Local Differential Privacy

Título: Além dos Limites Teóricos: Calibração Empírica de Perda de Privacidade para Reescrita de Texto sob Privacidade Diferencial Local

1. O Problema

O uso crescente de Grandes Modelos de Linguagem (LLMs) aumentou a necessidade de compartilhar dados textuais de forma privada. A Privacidade Diferencial Local (LDP) é uma abordagem onde os dados são ofuscados no dispositivo do usuário antes da divulgação, garantindo proteção sem a necessidade de um curador confiável.

No entanto, a métrica padrão de privacidade, o parâmetro $\epsilon$ (orçamento de privacidade), apresenta limitações críticas na prática:

• Interpretação Difícil: Um valor nominal de $\epsilon$ (ex: $\epsilon=10$) não comunica diretamente quanto informação real sobre o texto original está vazando.
• Incomensurabilidade: Diferentes mecanismos de reescrita de texto definem a privacidade em granularidades distintas (nível de token vs. nível de frase). Um $\epsilon$ nominal idêntico em dois sistemas diferentes pode resultar em níveis de proteção de privacidade radicalmente diferentes.
• Falta de Calibração: A garantia teórica (o limite superior) muitas vezes é conservadora demais e não reflete a perda de privacidade empírica real.

O artigo identifica a necessidade de uma ferramenta para calibrar empiricamente esses mecanismos, permitindo comparações justas entre diferentes sistemas de reescrita de texto sob LDP.

2. Metodologia: TeDA (Text Distinguishability Audit)

Os autores propõem o TeDA, um framework de calibração empírica baseado em auditoria de distinguibilidade. A ideia central é tratar a privacidade como a dificuldade de um adversário em distinguir qual foi o texto original entre um conjunto de candidatos, dado o texto privatizado.

Componentes Principais do TeDA:

1. Ataques de Distinguibilidade (Hypothesis Testing):
   O framework implementa dois tipos de ataques para avaliar a privacidade:

   • Atribuição Baseada em Texto (Surface-level): Utiliza um LLM (Qwen3-8B) para analisar pistas superficiais (sintaxe, escolha de palavras) e identificar qual candidato gerou o texto reescrito.
   • Atribuição Baseada em Embeddings (Semantic-level): Utiliza modelos de incorporação (ex: all-mpnet-base-v2) para mapear textos em vetores contínuos e calcular a distância (ex: cosseno) entre o texto privatizado e os candidatos. Isso captura vazamentos semânticos que podem persistir mesmo quando a forma superficial é alterada.

2. Estratégia de Seleção de Candidatos:
   Diferente de dados tabulares, onde qualquer distrator serve, em texto a escolha dos candidatos é crucial. O TeDA utiliza uma estratégia de Amostragem Probabilística de Transição:

   • Um parâmetro de temperatura ($\lambda$) controla a similaridade entre o texto original e os distratores.
   • O trabalho adota amostragem mais diversa ($\lambda < 0$), selecionando candidatos semanticamente distantes para maximizar a pressão sobre o adversário e fornecer uma estimativa conservadora e informativa da perda de privacidade.

3. Estimador Eficiente:
   Auditorias tradicionais exigem milhões de simulações de Monte Carlo para calcular Taxas de Verdadeiros Positivos (TP) e Falsos Positivos (FP) separadamente. O TeDA deriva um estimador de forma reduzida que utiliza apenas eventos de sucesso agregados, reduzindo a necessidade de consultas ao modelo em 50% (metade das consultas), tornando a avaliação de mecanismos pesados (como LLMs) viável.

3. Contribuições Chave

• Framework de Calibração Empírica: Estende a auditoria baseada em distinguibilidade (anteriormente usada apenas em dados tabulares) para o domínio complexo e de alta dimensão da reescrita de texto.
• Ataques Complementares: Propõe e valida ataques tanto no espaço de superfície (LLM) quanto no espaço de embeddings, oferecendo uma visão holística do vazamento de privacidade.
• Descoberta de Incomensurabilidade: Demonstra empiricamente que valores nominais de $\epsilon$ idênticos em diferentes mecanismos (ex: ADePT vs. DP-MLM) implicam em níveis de privacidade prática drasticamente diferentes.
• Ferramenta Prática: Oferece um método escalável para comparar mecanismos, analisar trade-offs entre privacidade e utilidade e auditar mecanismos específicos em cenários do mundo real.

4. Resultados Experimentais

O estudo avaliou seis mecanismos representativos de reescrita de texto LDP em quatro conjuntos de dados (ATIS, SST-2, SNIPS, Trustpilot).

• Discrepância entre $\epsilon$ Nominal e $\epsilon$ Empírico ($\epsilon_{emp}$):

  • Mecanismos de Nível de Frase (ADePT, DP-BART): Mesmo com valores nominais de $\epsilon$ altos (ex: 1000 ou 2500), eles apresentaram um $\epsilon_{emp}$ próximo de zero. Isso indica que, na prática, são altamente indistinguíveis e oferecem forte proteção de privacidade.
  • Mecanismos de Nível de Token (DP-Paraphrase, DP-Prompt, DP-MLM): Apresentaram um $\epsilon_{emp}$ significativamente maior e crescente com o $\epsilon$ nominal. Isso ocorre porque o orçamento de privacidade é consumido por token, e a composição de muitos tokens resulta em um limite de privacidade da frase muito mais fraco do que o nominal sugere.
  • Mecanismo Híbrido (DP-ST): Operando em nível de triplas semânticas, posicionou-se entre os dois grupos.

• Trade-off Privacidade-Utilidade:
  A calibração empírica forneceu um sinal mais preciso do trade-off real. Mecanismos com baixo $\epsilon_{emp}$ (como ADePT) preservaram melhor a utilidade para tarefas downstream (classificação de intenção/sentimento) do que sugerido apenas pelo $\epsilon$ nominal, enquanto mecanismos com alto $\epsilon_{emp}$ vazaram mais atributos privados (como gênero) apesar de parecerem ter um orçamento menor.

• Anomalias Detectadas:
  O framework identificou comportamentos não monotônicos em mecanismos específicos (ex: DP-BART tornando-se menos distinguível em $\epsilon$ muito altos devido a outputs genéricos/memorizados), demonstrando sua utilidade para auditoria de falhas de implementação.

5. Significado e Impacto

Este trabalho é fundamental para o campo de Privacidade Diferencial em NLP porque:

1. Desmistifica o $\epsilon$: Mostra que confiar apenas no número nominal de $\epsilon$ é perigoso para a seleção de mecanismos.
2. Padrão de Comparação: Estabelece uma base comum (o $\epsilon_{emp}$) para comparar algoritmos que operam em granularidades diferentes, algo que a teoria pura não consegue fazer de forma justa.
3. Aplicabilidade Prática: O TeDA é uma ferramenta viável para pesquisadores e engenheiros que precisam escolher ou auditar sistemas de reescrita de texto privados, garantindo que as garantias de privacidade prometidas sejam realmente entregues na prática.

Em resumo, o artigo argumenta que a calibração empírica é essencial para entender a verdadeira eficácia da privacidade em LLMs, superando as limitações das garantias teóricas conservadoras e heterogêneas.