言語モデルは英語以外でもメールアドレスを漏らす

多言語に堪能なことは、言語モデルが記憶した連絡先に複数の言語からアクセスできることも意味する。研究者たちは英語の抽出プロンプトを4つの言語に翻訳し、7つのオープンモデルで試した。その結果、英語で漏洩したメールアドレスの最大69.2%を取り戻せた。カスタマーサポートの窓口では、担当者がアシスタントを承認する前に、対応するすべての言語でテストする必要があるかもしれない。

言語モデルの学習データにコピーされたメールアドレスは、別の言語で尋ねたからといって隠れたままとは限らない。プライバシーの検査では、英語の文章を呼び戻すには英語のプロンプトが必要だと想定されることが多かった。そのため、ウェブから連絡先を収集された人は、依頼が翻訳された途端に消えるかもしれない防護策に頼ることになる。

ある言語が同じデータへの別の経路になりうる理由

言語モデルは、大量の文章からパターンを取り込んで学習する。モデルがある珍しい並びを特によく学習している場合、それに一致する文脈によって、その並びを再現することがある。これは学習データ抽出と呼ばれる。

問題は、ウェブから集めたデータに、学習素材になることを意図されていなかったメールアドレス、電話番号、ソーシャルメディアのハンドルが含まれている可能性があることだ。そのためモデルは、それらが個人情報であると理解しないまま、個人情報の一部を保持していることがある。

多言語モデルは、言語ごとに別々の心の箱に情報をしまっているとは限らない。異なる言語の同等の文は、モデル内部で部分的に共有された方法で表現されることがある。そのため忠実な翻訳は、普通の依頼とは異なる。モデルが学習した文章の言い回しや構造に近いままだからだ。したがってこのテストが測るのは、起こりうる攻撃経路であって、普通の利用者が他人の連絡先を受け取る頻度ではない。

プライバシー防御では、学習前にデータを削除したり、学習中にプライバシーを守ることを目的とした手法を使ったり、学習済みモデルを後から編集したりできる。しかし、モデルが複数の言語を受け付ける場合、それぞれの防御策を検証するのは難しくなる。英語だけのテストで問題がなかったとしても、見た目ほど多くを語らない可能性がある。

翻訳したプロンプトでアドレスを呼び戻せる

研究者たちは、メールアドレス、電話番号、またはTwitterのハンドルを含むPile-CCコーパスの英語の文脈を使った。次に、構造を保ったままフランス語、イタリア語、スペイン語、ドイツ語に翻訳した。テストの対象は、主に英語を中心に学習したモデルと、より多言語の学習を受けたモデルを含む、7つのオープンな言語モデルだった。

翻訳したプロンプトによって、同じ攻撃を英語で行ったときに漏洩した情報を取り戻せた。多言語モデルでは、翻訳版によって、漏洩したTwitterのハンドルの最大91.4%、メールアドレスの最大69.2%を取り戻せた。電話番号が移ることは少なかった。英語中心のモデルでは移行が弱かったが、翻訳したプロンプトによって情報の一部はやはり取り戻せた。

この違いが重要なのは、依頼の言語を変えることがプライバシーの障壁に見えて、実際には経路を変えただけである可能性があるからだ。研究者たちはまた、英語のプロンプトとその翻訳の間で最も強い一致が見られたのは、モデルの中間のトランスフォーマー層だと発見した。そこは文章を意味に変えるのを助ける内部の部分である。この結果は相関関係を示すものだ。共有された表現だけが原因だと証明するのではなく、関係を指し示している。

攻撃は意図的に厳格なものだった。忠実な翻訳、貪欲デコーディング、クエリごとに1ステップの生成を使った。プロンプトを書き換えて言い換えると、テストしたすべての言語とモデルで抽出が減った。チームはまた、個人情報の種類ごとに翻訳サンプル200件を、過去のウェブの保存記録と照合した。完全一致は見つからず、翻訳した例が別のオンライン情報源から単純にコピーされたものではないことが示唆された。

プライバシー検査には英語以上のものが必要になる

マドリードのカスタマーサポート窓口では、プライバシー担当者がスペイン語、英語、そしてAIアシスタントが対応するその他の言語で、同じ抽出テストを実行することになるかもしれない。英語で尋ねたときに記憶したアドレスの生成を拒否したからといって、アシスタントは合格にはならない。担当者は、別の言語で同等の依頼をしたときに同じ詳細が戻ってくるかを確認することになる。

そうなれば、学習データに情報が入った人々を削除や安全性の主張が守るかどうかを判断する際に、多言語テストが一部になる。それは、データを清掃したり学習済みの情報を削除したりするツールの開発者にとっても、単一言語のテストでは見逃す目標を与えることになる。

この結果は、すべての言語や、導入済みのすべてのシステムを検査したものではまだない。実験の対象は英語に近い、資源の多い言語であり、オープンモデルを使っていた。この検査が日常的なものになる前に、モデル提供者は多言語監査を支援し、元の言い回しだけでなく、同等のプロンプトでも削除が有効であることを検証する必要がある。研究者たちは個人情報を含むデータを公開していない。アクセスにはデータ利用契約と所属機関による確認が必要である。

出典

arXiv, “Cross-Lingual Transferability of Training Data Extraction Attacks to Recover Memorized PII”