Vectors Are Not Neutral: Sensitive-Information Inference from Exported LLM Representations in Summarization

Resumo Técnico: Vetores Não São Neutros

Enunciação do Problema
Sistemas de sumarização com Modelos de Linguagem de Grande Escala (LLM) frequentemente exportam representações vetoriais compactas de entradas privadas para fluxos de trabalho subsequentes para recuperação, monitoramento, auditoria ou análise. Embora os documentos de origem possam permanecer com acesso restrito, esses vetores derivados são frequentemente tratados sob controles de acesso diferentes. O artigo postula que, mesmo quando os textos brutos estão protegidos, esses vetores exportados podem ainda suportar a inferência de informações sensíveis sobre os indivíduos descritos, criando um risco residual de divulgação de informações. Essa questão é enquadrada não meramente como um vetor de ataque malicioso, mas como uma preocupação de governança e política: componentes subsequentes (por exemplo, analistas, auditores, provedores de serviços) podem ter acesso a vetores sem autorização para inspecionar o texto original ou atributos sensíveis estruturados. Se esses vetores forem tratados como artefatos derivados que não devem revelar informações ao nível do sujeito, a recuperação bem-sucedida de atributos sensíveis constitui uma falha de privacidade.

Metodologia
Os autores instanciam esse problema usando a geração de resumos de altação clínica (especificamente, a geração do Curso Hospitalar Breve ou BHC) como um estudo de caso de alto risco. Eles utilizam a raça registrada no Registro Eletrônico de Saúde (EHR) como um rótulo sensível controlado para auditoria.

1. Artefatos Auditados: O estudo foca em dois artefatos específicos derivados de prompts, computados antes da geração:
   • lasttok: O estado oculto do último token do prompt imediatamente antes da decodificação.
   • meanpool: A média de todos os estados ocultos de tokens do prompt sem preenchimento, assemelhando-se a embeddings usados para recuperação ou indexação semântica.
2. Protocolo de Avaliação: Os autores empregam sondagem post-hoc em vetores exportados congelados. Eles treinam sondas lineares (regressão logística multinomial) e não lineares (MLP de duas camadas) para prever o rótulo de raça de cinco vias registrado no EHR a partir dos vetores exportados. O desempenho é medido pela precisão da sonda e pelo LeakageGap (o desvio absoluto da linha de base de chance de 0,20 em um cenário balanceado de cinco vias).
3. Estratégia de Mitigação (SURFACELORA): O artigo introduz o SURFACELORA, um método de ajuste fino eficiente em parâmetros (PEFT) direcionado a vetores exportados específicos.
   • Mecanismo: Combina um objetivo de utilidade padrão (sumarização via LoRA) com um objetivo adversarial. Um discriminador leve é acoplado a um vetor exportado designado (por exemplo, lasttok) durante o treinamento.
   • Reversão de Gradiente: Uma Camada de Reversão de Gradiente (GRL) é usada para reverter os gradientes que fluem do discriminador de volta aos adaptadores LoRA. Isso incentiva o modelo a preservar a utilidade da sumarização enquanto torna o vetor específico-alvo menos preditivo do atributo sensível.
   • Especificidade do Artefato: O método é projetado para mitigar a vazamento no exato vetor destinado à exportação. O discriminador no tempo de treinamento visa uma representação específica (por exemplo, lasttok), e os autores argumentam que a mitigação deve estar alinhada com o artefato específico retido na implantação.
4. Seleção de Checkpoint: Os autores observam uma troca não monotônica entre utilidade e vazamento durante o treinamento. Portanto, propõem um procedimento de implantação onde checkpoints são selecionados com base em um conjunto de validação retido (bal_val) usando um orçamento de vazamento pré-especificado (por exemplo, LeakageGap $\le$ 0,025) e maximizando o ROUGE-L, em vez de simplesmente usar o último passo de treinamento.

Principais Resultados

• Vazamento Específico do Artefato: Reduzir a recuperabilidade de informações sensíveis de um artefato exportado (por exemplo, lasttok) não garante a redução da recuperabilidade de outro (por exemplo, meanpool). Em seus experimentos, o SURFACELORA reduziu com sucesso a recuperabilidade de raça do artefato lasttok visado para níveis próximos ao acaso (precisão de aprox. 0,203) enquanto preservava a utilidade da sumarização. No entanto, o artefato meanpool não visado permaneceu substancialmente preditivo (precisão de aprox. 0,316–0,323), demonstrando que a mitigação não é transferível entre diferentes representações vetoriais.
• Insuficiência de Prompting e Remoção Post-hoc: Engenharia de prompts (adição de diretrizes de neutralidade) e transformações lineares post-hoc (por exemplo, remoção via PCA, INLP) foram consideradas insuficientes. O prompting falhou em remover sinais recuperáveis e introduziu contaminação por termos meta. Transformações post-hoc reduziram a recuperabilidade linear, mas falharam em eliminar o vazamento não linear.
• Fragilidade da Troca: A relação entre a força adversarial ($\lambda$) e o vazamento é não monotônica. Continuar o treinamento além do checkpoint ótimo pode causar "rebote", onde o vazamento aumenta apesar da pressão adversarial contínua. Isso exige seleção de checkpoint baseada em validação.
• Saída vs. Representação: Embora o SURFACELORA tenha reduzido o vazamento ao nível da representação, não tornou o texto gerado invariante a atributos sensíveis. Atacantes baseados em saída ainda podiam inferir raça a partir dos resumos gerados em taxas acima do acaso, embora ligeiramente menores que as linhas de base.

Significado e Alegações
O artigo alega três contribuições primárias:

1. Enquadramento: Enquadra vetores de sumarização exportados como alvos de auditoria concretos e específicos de artefato para inferência de informações sensíveis, distintos do texto bruto ou do modelo como um todo.
2. Divergência de Artefatos: Demonstra que a recuperação próxima ao acaso de um vetor exportado pode coexistir com recuperação substancial de outro, desafiando a suposição de que a sanitização de uma representação de token canônica implica segurança mais ampla.
3. Mitigação Direcionada: Introduz o SURFACELORA, um método PEFT direcionado a artefatos que reduz efetivamente a recuperabilidade em um vetor específico (por exemplo, lasttok) enquanto preserva a utilidade.

Os autores concluem que a auditoria de privacidade e a mitigação para sistemas de sumarização devem ser específicas ao artefato. Uma alegação de mitigação só é significativa se identificar tanto a informação sensível sendo auditada quanto o exato artefato vetorial retido, registrado ou exposto. Se um sistema exporta embeddings agrupados (por exemplo, para recuperação), a auditoria e a mitigação devem visar essa representação específica, pois a sanitização apenas do estado do último token é insuficiente. O artigo enfatiza que isso é uma receita orientada à implantação: audite o vetor específico usado no pipeline e aplique a mitigação alinhada com esse vetor.

Limitações
Os autores reconhecem que seu estudo é limitado a um cenário empírico específico (sumarização de BHC com raça registrada no EHR) e não estabelece generalidade em todos os atributos sensíveis, domínios ou arquiteturas de modelos. Eles observam que a mitigação multi-atributo (protegendo simultaneamente raça, idade, gênero, etc.) permanece um problema em aberto. Além disso, esclarecem que a raça registrada no EHR é tratada como uma categoria administrativa, não um atributo biológico, e as descobertas concernem à recuperabilidade de categorias registradas e seus proxies textuais.