FedSpy-LLM: Towards Scalable and Generalizable Data Reconstruction Attacks from Gradients on LLMs

Resumo Técnico: FEDSPY-LLM

1. O Problema

O Aprendizado Federado (FL) combinado com o Ajuste Fino Eficiente de Parâmetros (PEFT) tem sido amplamente adotado para treinar Grandes Modelos de Linguagem (LLMs) preservando a privacidade dos dados locais. A premissa é que, ao compartilhar apenas os gradientes em vez dos dados brutos, a privacidade é mantida.

No entanto, o artigo identifica uma vulnerabilidade crítica: ataques de reconstrução de dados a partir de gradientes. Embora estudos anteriores tenham demonstrado a recuperação de dados em imagens e textos curtos, eles enfrentam limitações severas no contexto de LLMs modernos:

• Escalabilidade: A maioria dos ataques existentes (como DLG, TAG, LAMP) falha com tamanhos de lote (batch size) grandes e sequências longas.
• Generalização Arquitetural: Muitos métodos são específicos para arquiteturas baseadas em codificadores (encoder) ou decodificadores (decoder), falhando em modelos híbridos (encoder-decoder).
• Efeito do PEFT: Técnicas como LoRA e Adapters geram gradientes esparsos e de baixa dimensão (rank-deficient), o que degrada drasticamente a eficácia dos ataques baseados em otimização ou busca tradicional.
• Ordem da Sequência: Recuperar os tokens corretos é insuficiente; recuperar a ordem sequencial correta é um desafio devido à perda de informações posicionais diretas nos gradientes de camadas congeladas.

2. Metodologia: FEDSPY-LLM

O FEDSPY-LLM é um ataque de reconstrução de dados escalável e generalizável projetado para superar as limitações acima. A abordagem baseia-se em três pilares principais:

A. Estratégia de Decomposição de Gradientes e Subespaço

• Fundamento Teórico: O artigo prova que os gradientes de redes neurais (incluindo LLMs e PEFT) são inerentemente de baixo rank (rank-deficient). Os vetores de entrada (embeddings) residem dentro do subespaço de coluna formado pelos vetores de gradiente.
• Aplicação: Em vez de buscar em todo o espaço de vocabulário, o ataque projeta os "embeddings" dummy (falsos) no subespaço de coluna do gradiente da primeira camada de atenção. Isso reduz drasticamente o espaço de busca, permitindo a recuperação eficiente de tokens mesmo em lotes grandes.
• Independência Arquitetural: Como a estrutura linear dos gradientes é consistente entre arquiteturas de codificador, decodificador e híbridos, o método é agnóstico à arquitetura do modelo.

B. Regularização do Espaço Nulo (Para PEFT)

• Desafio: Métodos PEFT (como LoRA) atualizam apenas um pequeno subconjunto de parâmetros, criando um espaço nulo grande onde as direções não afetam a perda (loss). Isso introduz ambiguidade, pois muitos embeddings diferentes podem produzir gradientes similares.
• Solução: O FEDSPY-LLM introduz um termo de penalidade baseado na projeção no espaço nulo. Ao identificar e restringir as direções que não contribuem para a perda, o ataque força os embeddings reconstruídos a permanecerem próximos aos verdadeiros, mitigando a ambiguidade causada pela esparsidade dos gradientes do PEFT.

C. Calibração da Ordem da Sequência

• Desafio: A recuperação de tokens via otimização não garante a ordem correta da sequência original.
• Solução: O método utiliza uma fase de Calibração de Ordem da Sequência. Ele explora a alinhação entre os gradientes de subsequências parciais e o gradiente da sequência completa.
  • O algoritmo itera sobre as posições da sequência.
  • Para cada posição, testa candidatos de tokens e calcula a similaridade cosseno entre o gradiente isolado do token naquela posição e o gradiente total observado.
  • O token com a maior alinhamento é fixado na posição, garantindo a recuperação da ordem temporal e contextual correta.

3. Principais Contribuições

1. Escalabilidade: Capacidade de reconstruir dados com tamanhos de lote de até 128 e sequências longas, superando o limite de 1-8 lotes da maioria dos trabalhos anteriores.
2. Generalização Arquitetural: Funciona eficazmente em três tipos de arquiteturas: Baseadas em Codificador (ex: BERT), Baseadas em Decodificador (ex: GPT, Llama) e Híbridas (ex: T5).
3. Resiliência ao PEFT: É o primeiro ataque a demonstrar alta eficácia na reconstrução de dados a partir de gradientes gerados por métodos PEFT (LoRA, Adapters), lidando com a esparsidade e o espaço nulo.
4. Recuperação de Ordem: Resolve o problema da desordem de tokens através da calibração baseada em alinhamento de gradiente, garantindo que a semântica da frase seja preservada.

4. Resultados Experimentais

Os autores avaliaram o FEDSPY-LLM em diversos modelos (BERT, GPT-2, Llama-2/3, T5) e conjuntos de dados (CoLA, Rotten Tomatoes, MIMIC-III), comparando com o estado da arte (DLG, TAG, LAMP, FILM, DAGER).

• Desempenho em Lotes Grandes: Enquanto o DAGER (o principal concorrente) falha drasticamente em lotes maiores que 8 devido à explosão do espaço de busca, o FEDSPY-LLM mantém alta precisão. Em lotes de 128, o FEDSPY-LLM recuperou tokens com sucesso onde outros métodos falharam completamente.
• Desempenho com PEFT: Sob condições de PEFT (SLoRA e FedAdapter), o FEDSPY-LLM superou todos os baselines. Por exemplo, no modelo BERTBase, recuperou subsequências 28% mais longas do que os métodos existentes.
• Qualidade da Reconstrução:
  • Métricas ROUGE (R-1, R-2, R-L) e F1 de Entidades mostraram superioridade consistente.
  • Em tarefas de previsão da próxima palavra (MIMIC-III), o método recuperou termos médicos complexos com precisão, enquanto baselines falharam.
• Robustez a Defesas: Mesmo sob defesas de privacidade como Ruído Aditivo (DP-SGD) e Clipping de Gradiente, o FEDSPY-LLM manteve uma taxa de recuperação significativamente superior aos baselines, embora a precisão geral tenha diminuído (como esperado).
• Impacto da Calibração de Ordem: A ablação mostrou que, embora a precisão de palavras (ROUGE-1) permaneça estável, a calibração de ordem aumenta drasticamente a precisão de bigramas e subsequências (ROUGE-2 e ROUGE-L), essencial para a coerência do texto.

5. Significância e Implicações

O FEDSPY-LLM expõe uma superfície de ataque mais ampla e severa nos LLMs federados.

• Risco de Privacidade: Demonstra que o uso de FL e PEFT, embora eficiente, não garante privacidade por si só. Dados sensíveis (como registros médicos ou informações pessoais) podem ser recuperados com alta fidelidade.
• Necessidade de Novas Defesas: Os resultados indicam que mecanismos de privacidade existentes (como agregação segura ou DP básico) podem ser insuficientes contra ataques que exploram a estrutura de subespaço dos gradientes.
• Futuro: O trabalho enfatiza a necessidade urgente de desenvolver técnicas de preservação de privacidade mais robustas especificamente para o cenário de LLMs federados com PEFT, antes que a adoção em larga escala se torne um risco de segurança intransponível.

Em suma, o FEDSPY-LLM redefine o estado da arte em ataques de reconstrução de dados, provando que a privacidade em LLMs federados é muito mais frágil do que se acreditava anteriormente, especialmente em cenários de grande escala e eficiência de parâmetros.