Privacy-Preserving RAG by Concealing Sensitive Information from External LLMs
本文介绍了 SEAG，这是一个利用轻量化模型识别敏感实体并将其在用户查询和检索文档中替换为别名的隐私保护框架，从而实现在不泄露机密信息的情况下，在检索增强生成中安全地使用外部大语言模型。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下你正身处一座巨大的、充满魔力的图书馆，书里的内容都是由被称为“大语言模型”（LLM）的超级智能机器人编写的。这些机器人非常擅长回答问题，但它们自身并不了解世界的全部。因此，为了帮助它们，我们使用了一种叫做 RAG（检索增强生成）的系统。你可以把 RAG 想象成一个研究助理：当你提出问题时，助理会迅速从图书馆的书架上抓取最相关的页面并递给机器人。接着，机器人阅读这些页面，并为你写出一个完美的答案。
但棘手的地方在于：有时，这些图书馆的页面可能包含超级机密，比如你的医疗记录、银行账号，或者一家公司的秘密配方。通常情况下，我们担心的是你不小心看到了不该看的秘密。但如果问题出在机器人本身呢？如果你把这些秘密页面发送给一个生活在另一家公司云端（例如第三方 AI 服务）的机器人，那个机器人就会看到一切。它可能会意外泄露你的秘密，或者以你从未预想的方式使用它们。这篇论文要解决的核心问题是：我们如何利用这些强大的外部机器人来获得优秀的答案，同时又不让它们看到我们的任何隐私信息？
秘密特工框架：SEAG
这篇论文的作者们——来自沙特阿拉伯的一个团队——提出了一个聪明的解决方案，叫做 SEAG（敏感实体别名生成器）。想象一下你正在执行一项顶级的间谍任务。你需要向一个友好但遥远的总部（外部 AI）发送一份报告以寻求帮助，但你不能让对方看到间谍的名字、基地的位置或武器的代码名称。
在普通的 RAG 系统中，你会直接把原始报告发给总部，他们会读到每一个字。但在 SEAG 模式下，你在发送报告之前，会插入一个本地的、微小的、超快速的翻译器。这个翻译器是一个运行在你自己的电脑上的小型 AI 模型。
以下是神奇之处是如何发生的：
- 扫描（The Scan）： 你的本地翻译器会阅读你的问题和发现的秘密文档。它会识别出那些“敏感实体”——即需要受到保护的名字、日期、地点和数字。
- 替换（The Swap）： 它会创建一个秘密代码本（“实体替换表”）。它将“史密斯医生”替换为“琼斯医生”，将“纽约”替换为“芝加哥”，将“500 万美元”替换为“1000 万美元”。至关重要的一点是，它会确保这种替换是有逻辑意义的。如果它更改了一个国家的名字，它也会同时更改与之匹配的首都，从而确保故事在语法和逻辑上依然通顺。
- 发送（The Send）： 它将这个“经过清理”的版本发送给强大的外部机器人。外部机器人会根据这些虚假的名字和数字完成它的工作。它完全不知道自己是在处理一份伪装过的报告。
- 揭示（The Reveal）： 当外部机器人传回答案时，你的本地翻译器会再次抓取代码本。它会将“琼斯医生”换回“史密斯医生”，将“1000 万美元”换回“500 万美元”。
- 结果（The Result）： 你得到了完美且准确的答案，同时所有的真实秘密都完好无损地保留了下来，而外部机器人对此一无所知。
他们的发现
该团队通过构建两个特殊的练习题集和文档集来测试这一想法。其中一组用于教导他们的本地翻译器如何正确地替换名称，另一组则用于观察整个系统是否真的有效。他们使用了三种不同的微型翻译器模型进行测试：Qwen-3、LLaMA-3.2 和 Phi-4。随后，他们将伪装后的问题发送给了世界上最强大的两个外部机器人：GPT-5 和 Claude-4 sonnet。
结果非常令人振奋。该系统在大多数情况下都成功隐藏了敏感信息。当他们衡量系统的保密能力（“隐私”得分）时，LLaMA-3.2 模型表现最为出色，在与 Claude-4 生成器配合时，成功隐藏了约 89.67% 的秘密。
但隐藏秘密只是成功的一半；答案本身仍然需要是正确的。团队通过“用户”得分来衡量这一点。他们发现，由 LLaMA-3.2 担任翻译器并配合 Claude-4 sonnet 作为回答机器人的组合效果最好，得分为 83.67%。这意味着在超过 10 次尝试中有 8 次以上，用户能在秘密安全的前提下获得正确的答案，尽管外部机器人处理的是虚假数据。
有趣的是，当他们观察模型是否能隐藏文档中的每一个敏感词汇（而不只是那些对回答问题必要的词汇）时，Qwen-3 和 LLaMA-3.2 的表现非常接近，总准确率分别为 77.83% 和 76.73%。Phi-4 模型在这一特定的全面测试中表现稍逊，得分约为 74.91%。
局限性与未来
作者们谨慎地指出，这还不是一个已经完美解决的问题。他们的测试是在长度约为 300 字、且每篇包含约 15 个敏感项的文档上进行的。他们承认，如果文档变得更长或者包含数百个秘密，系统可能会在保持故事连贯性和隐藏秘密方面感到吃力。
然而，这篇论文展示了一个非常令人兴奋的前景。它表明，我们并不需要建造昂贵、庞大的计算机来保护我们的数据。相反，我们可以使用一个小型、廉价的本地模型作为“隐私过滤器”，让我们在享受巨型外部 AI 机器人的强大功能的同时，永远不必交出我们的“王国钥匙”。作者建议，未来的工作需要针对更长、更复杂的文档进行测试，以观察该系统在压力下的表现。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。