[논문 리뷰] Text Embeddings Reveal (Almost) As Much As Text

John X. Morris, Volodymyr Kuleshov외 2명|arXiv (Cornell University)|2023. 10. 10.

Privacy-Preserving Technologies in Data인용 수 4

한 줄 요약

이 논문은 반복적인 임베딩 및 수정을 통해 가설을 정교화함으로써 희소하지 않은 텍스트 임베딩에서 전체 텍스트를 복원하는 다단계 반복적 방법인 Vec2Text를 제안한다. 32토큰 입력에 대해 92%의 정확한 복원을 달성하고 임상 기록에서 89%의 전체 이름을 추출하며, 임베딩이 원본 텍스트만큼 거의 동일한 민감한 정보를 泄露한다는 것을 입증한다.

ABSTRACT

How much private information do text embeddings reveal about the original text? We investigate the problem of embedding extit{inversion}, reconstructing the full text represented in dense text embeddings. We frame the problem as controlled generation: generating text that, when reembedded, is close to a fixed point in latent space. We find that although a naïve model conditioned on the embedding performs poorly, a multi-step method that iteratively corrects and re-embeds text is able to recover $92\%$ of $32 ext{-token}$ text inputs exactly. We train our model to decode text embeddings from two state-of-the-art embedding models, and also show that our model can recover important personal information (full names) from a dataset of clinical notes. Our code is available on Github: \href{https://github.com/jxmorris12/vec2text}{github.com/jxmorris12/vec2text}.

연구 동기 및 목표

• 밀도 높은 텍스트 임베딩이 원래 입력 텍스트를 재구성하는 데 충분한 정보를 泄露하는지 조사한다.
• 원본 텍스트 대신 임베딩만 저장하는 제3자 벡터 데이터베이스가 초래하는 개인정보 위협을 다룬다.
• 모델 가중치에 접근할 수 없이도 최신 텍스트 임베딩을 역으로 풀 수 있는 실용적인 방법을 개발한다.
• 실제 검색 모델에서 생성된 임베딩이 이름과 같은 민감한 정보를 복원할 수 있음을 입증한다.
• 임베딩이 원본 텍스트만큼 동일한 개인정보 유출 수준을 보이며, 동일한 개인정보 보호 조치가 필요하다는 점을 확립한다.

제안 방법

• 임베딩 역전을 제어된 생성 문제로 재정의: 목표 임베딩과 유사한 임베딩을 갖는 텍스트를 생성한다.
• 입력 텍스트를 그 임베딩에서 재구성하도록 훈련된 조건부 언어 모델을 사용하여 최대우도 기반으로 분포 p(x|e;θ)를 학습한다.
• 반복적 정교화 적용: 가설 텍스트를 생성하고, 이를 임베딩화하며, 가설 임베딩과 목표 임베딩 간의 코사인 유사도를 계산하고, 차이에 기반해 텍스트를 수정한다.
• 빔 서치와 수정 모듈을 활용해 다중 라운드에 걸쳐 가설을 반복적으로 개선한다.
• 모든 가설의 임베딩을 쿼리할 수 있는 블랙박스 액세스를 활용해 정교화를 이끌어낸다.
• 두 개의 최신 엔코더에서 생성된 임베딩으로 모델을 훈련하고, 미리 보지 않은 도메인과 임상 데이터에서 일반화 능력을 평가한다.

실험 결과

연구 질문

• RQ1 밀도 높은 임베딩에서 전체 길이의 순서 있는 텍스트 시퀀스를 얼마나 정확히 재구성할 수 있는가?
• RQ2 기울기나 모델 가중치에 접근할 수 없이도 블랙박스 임베딩 모델을 역전시켜 정확한 입력 텍스트를 복원할 수 있는가?
• RQ3 직접 생성 대비 반복적 수정이 임베딩에서 텍스트를 복원하는 데 얼마나 효과적인가?
• RQ4 벡터 데이터베이스에 원본 텍스트 대신 임베딩을 저장할 경우 개인정보 위험은 어느 정도인가?
• RQ5 임상 기록의 임베딩에서 이름과 같은 민감한 개인 정보를 추출할 수 있는가?

주요 결과

• Vec2Text는 반복적 정교화와 블랙박스 임베딩 쿼리 기반으로 32토큰 입력 텍스트의 92%를 정확히 복원한다.
• 32토큰 입력에 대해 BLEU 점수 97.3을 기록하여 거의 완벽한 복원 품질을 입증한다.
• BEIR 벤치마크의 미리 보지 않은 도메인으로 일반화되며, 다양한 텍스트 유형에서 입력을 완전히 복원한다.
• MIMIC의 임상 기록 임베딩에서 89%의 전체 이름이 성공적으로 복원되었으며, 의료 데이터의 위험을 드러낸다.
• 결과적으로 텍스트 임베딩이 원본 텍스트만큼 거의 동일한 개인정보를 드러내므로 동일한 개인정보 보호 조치가 필요하다는 점을 입증한다.
• 연구 결과에 따르면 임베딩은 원본 텍스트와 동일한 개인정보 유출 수준을 보이며, 민감한 개인정보로 간주되어야 한다.