Resumo Técnico: O Que o Servidor Vê? Compreendendo a Vazamento de Privacidade em Modelos de Linguagem de Grande Escala com Inferência Dividida

1. Declaração do Problema

A implantação de Modelos de Linguagem de Grande Escala (LLMs) em dispositivos com recursos limitados é dificultada pelas demandas computacionais e de memória. A inferência dividida emergiu como solução, particionando o modelo entre um cliente (que detém as camadas iniciais) e um servidor (que detém o restante). O cliente transmite apenas ativações intermediárias, e não entradas brutas, preservando teoricamente a privacidade. No entanto, os autores argumentam que a suposição de que as ativações intermediárias preservam inerentemente a privacidade não é comprovada. Este artigo investiga se um servidor "honesto, mas curioso", com acesso completo de caixa-branca à arquitetura do modelo, pode reconstruir os prompts de entrada sensíveis do cliente a partir dessas ativações intermediárias.

2. Metodologia

2.1 Design do Ataque: ActInv

Para quantificar o vazamento de privacidade, os autores propõem o ActInv, um ataque de inversão que reconstrói a sequência de entrada bruta do cliente a partir das ativações intermediárias interceptadas ($h_{Q1}$).

• Mecanismo: Diferentemente de métodos sequenciais de recuperação de tokens, o ActInv formula a reconstrução como um problema de otimização contínua sobre o espaço de incorporação de entrada. Ele inicializa um vetor de incorporação contínua aleatória $\hat{h}_0$ e utiliza otimização baseada em gradiente (por exemplo, Adam) para minimizar a distância entre a passagem direta do submodelo do lado do cliente ($F_C(\hat{h}_0)$) e as ativações observadas ($h_{Q1}$).
• Discretização: Uma vez que as incorporações contínuas são otimizadas, elas são projetadas de volta para tokens discretos por meio de busca de vizinho mais próximo dentro da matriz de incorporação do vocabulário do modelo.
• Eficiência: Ao otimizar a sequência completa simultaneamente, em vez de token por token, o ActInv alcança uma complexidade temporal de $O(Tn^2)$, oferecendo uma vantagem computacional significativa sobre métodos autoregressivos como o SipIt ($O(Tn^3)$).

2.2 Análise de Vulnerabilidade: Fator de Amplificação de Perturbação (PAF)

Para entender por que certas camadas são vulneráveis, os autores introduzem o PAF, uma métrica que quantifica a resistência inerente de uma camada à reconstrução.

• Definição: O PAF mede o quanto uma pequena perturbação na saída de uma camada ($\delta$) se traduz em incerteza na entrada inferida ($\Delta$). É derivado da matriz Jacobiana da camada.
• Insight: Um PAF alto indica que pequenas perturbações na saída causam grandes desvios na entrada (tornando a reconstrução difícil), enquanto um PAF baixo indica que a camada é "estável" e facilmente invertida.
• Descobertas: A análise revela vulnerabilidade não uniforme entre as camadas. Especificamente, camadas de ativação não lineares (por exemplo, Sigmoid/SwiGLU) e certas camadas de projeção frequentemente exibem PAF baixo, tornando-se "elos fracos" onde defesas ingênuas de ruído falham em induzir erros significativos de reconstrução.

2.3 Design de Defesa: PriPert

Com base na análise do PAF, os autores propõem o PriPert, um mecanismo de defesa que injeta perturbações calibradas adversarialmente nas ativações intermediárias.

• Estratégia: Em vez de adicionar ruído isotrópico (aleatório), o PriPert resolve um problema de otimização restrita para injetar perturbações ao longo das direções que maximizam o erro de reconstrução (alinhadas com as direções mais sensíveis da camada), minimizando simultaneamente a degradação da saída do lado do servidor (utilidade).
• Implementação: A defesa utiliza uma aproximação de integral de caminho para estimar o desvio de entrada causado pela perturbação. Os autores descobrem que uma solução restrita a $L_0$ (perturbações esparsas) frequentemente supera soluções restritas a $L_2$, pois evita preservar informações de sinal que adversários poderiam explorar.

3. Resultados Principais

3.1 Eficácia do Ataque (ActInv)

• Reconstrução de Alta Fidelidade: O ActInv alcança Precisão e Recall superiores a 98% em diversos modelos (Qwen3, Falcon3) e conjuntos de dados (AlpacaEval, iCliniq) sem qualquer defesa.
• Resiliência a Defesas Ingênuas: Defesas comuns, como injeção de ruído Gaussiano e esparsificação de ativações, são amplamente ineficazes. Mesmo com altas taxas de esparsidade (por exemplo, 0,7) ou ruído moderado, o ActInv mantém alta precisão de reconstrução. Apenas níveis extremos de ruído (que destroem a utilidade do modelo) dificultam significativamente o ataque.
• Eficiência: O ActInv é computacionalmente eficiente, reconstruindo uma consulta de 100 tokens em aproximadamente 20 segundos em uma única GPU, significativamente mais rápido que ataques sequenciais do estado da arte.

3.2 Insights de Vulnerabilidade (PAF)

• Variância entre Camadas: Os valores de PAF variam significativamente entre camadas e modelos. Por exemplo, camadas de ativação consistentemente mostram PAF baixo, confirmando que são fontes primárias de vazamento.
• Sensibilidade Direcional: O "Max-PAF" (sensibilidade a perturbações alinhadas) é frequentemente significativamente maior que o "PAF Esperado" (sensibilidade a ruído aleatório), validando que o ruído aleatório é uma estratégia de defesa subótima.

3.3 Desempenho da Defesa (PriPert)

• Melhoria de Privacidade: O PriPert reduz significativamente a qualidade da reconstrução. Em uma taxa de esparsidade de 0,7, a Precisão do ActInv cai abaixo de 30% (comparado a >60% para esparsificação padrão), e as pontuações ROUGE-L despencam, indicando que o conteúdo semântico é efetivamente obscurecido.
• Preservação de Utilidade: Diferentemente de defesas ingênuas que colapsam a utilidade do modelo em altos níveis de perturbação, o PriPert mantém utilidade aceitável em níveis moderados de esparsidade (por exemplo, 0,5). Os autores observam que "Precisão & Correção" são mais sensíveis a perturbações do que "Clareza & Estilo", mas as pontuações gerais permanecem utilizáveis.
• Robustez: O PriPert permanece eficaz contra outros ataques de inversão do estado da arte (A1, TBS, PIA), reduzindo suas pontuações de reconstrução em grandes margens.

4. Significado e Contribuições

O artigo reivindica as seguintes contribuições:

1. Expor a Vulnerabilidade: Fornece a primeira investigação abrangente demonstrando que a inferência dividida para LLMs não garante inerentemente privacidade. Os autores mostram que um servidor honesto, mas curioso, pode reconstruir entradas de usuários com alta fidelidade usando um ataque baseado em otimização relativamente simples e eficiente (ActInv).
2. Métrica Teórica (PAF): Introduz o PAF para quantificar e explicar sistematicamente a suscetibilidade variável de diferentes camadas do modelo à inversão, revelando que camadas de ativação não lineares são surpreendentemente vulneráveis.
3. Defesa Eficaz (PriPert): Propõe e valida o PriPert, uma defesa que aproveita a sensibilidade direcional das camadas para maximizar a prevenção de vazamento de privacidade enquanto minimiza a perda de utilidade. Os resultados sugerem que perturbações calibradas adversarialmente são superiores a ruído aleatório ingênuo ou esparsificação.
4. Implicações Práticas: O trabalho destaca uma tensão crítica na inferência dividida: defesas padrão são insuficientes, e a proteção eficaz da privacidade requer calibração cuidadosa de perturbações para evitar destruir a utilidade do LLM.

Os autores concluem que, embora a inferência dividida ofereça benefícios computacionais, ela requer mecanismos de privacidade robustos e não ingênuos para ser viável em domínios sensíveis como a saúde. Sugere-se trabalho futuro no design de compressão consciente de privacidade e funções de ativação sensíveis à privacidade.