[论文解读] Split-and-Denoise: Protect large language model inference with local differential privacy

Peihua Mai, Ran Yan+3 more|arXiv (Cornell University)|Oct 13, 2023

Privacy-Preserving Technologies in Data被引用 4

一句话总结

本文提出Split-N-Denoise（SnD）框架，通过将模型拆分，在大型语言模型（LLM）推理中增强本地差分隐私（LDP）。客户端仅本地计算并扰动标记嵌入，服务器执行其余推理过程。客户端预训练的去噪模型利用噪声水平和原始输入，提升输出质量，从而在相同隐私预算下，相比基线方法实现超过10%的平均性能提升。

ABSTRACT

Large Language Models (LLMs) excel in natural language understanding by capturing hidden semantics in vector space. This process enriches the value of text embeddings for various downstream tasks, thereby fostering the Embedding-as-a-Service (EaaS) business model. However, the risk of privacy leakage due to direct text transmission to servers remains a critical concern. To address this, we introduce Split-N-Denoise (SnD), an private inference framework that splits the model to execute the token embedding layer on the client side at minimal computational cost. This allows the client to introduce noise prior to transmitting the embeddings to the server, and subsequently receive and denoise the perturbed output embeddings for downstream tasks. Our approach is designed for the inference stage of LLMs and requires no modifications to the model parameters. Extensive experiments demonstrate SnD's effectiveness in optimizing the privacy-utility tradeoff across various LLM architectures and diverse downstream tasks. The results reveal an improvement in performance under the same privacy budget compared to the baselines by over 10\% on average, offering clients a privacy-preserving solution for local privacy protection.

研究动机与目标

• 解决在嵌入即服务（EaaS）中，敏感用户输入被发送至服务器所导致的隐私泄露风险。
• 在LLM推理过程中实现强本地差分隐私（LDP），且无需修改模型参数。
• 通过利用噪声水平知识的客户端去噪，提升严格隐私预算下的模型效用。
• 在保持下游任务高性能的同时，最小化客户端计算成本。

提出的方法

• 将LLM推理分为两部分：客户端仅执行标记嵌入层计算。
• 通过在传输前向客户端嵌入中注入校准噪声，应用本地差分隐私。
• 使用公开数据和合成噪声在服务器上预训练去噪模型，以学习逆转扰动。
• 将预训练的去噪器部署在客户端，利用噪声嵌入和原始输入重建更高质量的表示。
• 对已扰动的嵌入应用范数裁剪，进一步优化隐私-效用权衡。
• 利用差分隐私的后处理特性，确保去噪过程不破坏隐私保证。

实验结果

研究问题

• RQ1 在已知噪声水平和原始输入的前提下，客户端去噪是否能显著提升LLM推理中已扰动嵌入的效用？
• RQ2 在不同隐私预算下，SnD与服务端去噪及基线LDP方法的性能相比如何？
• RQ3 与完整模型推理相比，SnD在多大程度上降低了客户端计算成本？
• RQ4 在极低隐私预算下（例如η ≤ 0.01），SnD的性能维持情况如何？

主要发现

• 在相同隐私预算下，SnD相比现有基于DP的基线方法，在下游任务上平均性能提升超过10%。
• 在所有评估的BERT模型和任务中，客户端去噪机制相比服务端去噪性能提升超过10%。
• 通过范数裁剪，SnD在RTE、MRPC和QQP任务上的准确率分别提升7.5%、15.5%和13.4%，显著提升效用。
• 即使在极低隐私预算下（η = 0.001），SnD仍保持强劲性能，AUC分数分别为0.617（MRPC）、0.576（RTE）和0.639（QQP），显著优于Text2Text（AUC≈0.52）。
• 与GPT2-Xlarge上的完整模型推理相比，SnD将客户端计算成本降低95.3%，内存成本降低93.5%。