arXiv
语言模型会泄露英语以外的电子邮件地址
多语种流利度也可能让语言模型记忆中的联系信息通过不止一种语言被获取。研究人员将英语提取提示翻译成四种语言，并在七个开放模型上进行测试，找回了英语提示下已泄露的电子邮件地址中的最高 69.2%。在客服台，隐私审核人员可能需要先测试所有受支持的语言，才能批准一款助手。
被复制进语言模型训练数据的一串电子邮件地址，不会因为有人用另一种语言索要它，就自动保持隐藏。隐私检查往往假定，英语段落需要英语提示才能被调取出来。这让那些联系信息从网上被抓取的人，只能依赖一种保护措施，而这项措施可能在请求被翻译后消失。
为什么一种语言可以成为获取同一数据的另一条途径
语言模型通过吸收大量文本中的模式来学习。如果模型对某个不寻常的序列学得特别好，那么匹配的上下文有时会让它复现这个序列。这被称为训练数据提取。
问题在于，网络数据集可能包含电子邮件地址、电话号码和社交媒体用户名，而这些信息从未 intended 成为训练材料。因此，模型可能保存着一些个人信息，却并不明白这些信息是私密的。
多语种模型不一定会把每种语言分别存放在不同的心理盒子里。不同语言中的等价句子，在模型内部可能以部分共享的方式表示。这让忠实翻译不同于普通请求：它仍然接近模型学过的那段文字的措辞和结构。因此，这项测试衡量的是一种可能的攻击途径，而不是普通用户获取他人联系信息的频率。
隐私防护可以在训练前删除数据，在训练过程中使用旨在保护隐私的方法，或者在模型训练完成后对其进行编辑。但当模型接受多种语言时，每一种防护都更难检查。只进行英语测试得出的干净结果，可能没有表面上看起来那么有说服力。
翻译后的提示可以找回电子邮件地址
研究人员从 Pile-CC 语料库中选取了包含电子邮件地址、电话号码或 Twitter 用户名的英语上下文。随后，他们将这些上下文翻译成法语、意大利语、西班牙语和德语，同时保留其结构。测试覆盖了七个开放语言模型，其中包括主要围绕英语训练的模型，以及接受了更多多语种训练的模型。
翻译后的提示可以找回那些在使用英语发起同一攻击时已经泄露的信息。在多语种模型中，翻译版本找回了最高 91.4% 的已泄露 Twitter 用户名和 69.2% 的已泄露电子邮件地址。电话号码的跨语言迁移频率较低。以英语为中心的模型表现出较弱的迁移能力，但翻译后的提示仍然找回了一部分信息。
这一差异很重要，因为改变请求所使用的语言，看起来可能像是一道隐私屏障，实际上却只是换了一条路径。研究人员还发现，英语提示与其翻译之间最强的匹配出现在模型的中间 Transformer 层，也就是帮助将文本转换为含义的内部部分。这一结果具有相关性：它指向一种关系，但并不能证明共享表示是唯一原因。
这次攻击有意设置得很严格。它使用忠实翻译、贪婪解码，并为每次查询生成一个步骤。在每种测试语言和每个模型中，将提示改写成释义都会减少提取结果。研究团队还将每种个人信息各 200 个翻译样本与历史网络快照进行比对，没有发现完全匹配的结果。这表明，翻译后的示例并不是简单地从其他在线来源复制而来。
隐私检查需要的不只是英语
在马德里的客服台，隐私审核人员可以用西班牙语、英语以及 AI 助手支持的其他语言运行同一项提取测试。一个助手不能仅仅因为用英语询问时拒绝生成记忆中的地址，就被视为通过测试。审核人员还会检查，用另一种语言提出等价请求，是否会找回同一条信息。
这会使多语种测试成为判断删除措施或安全声明能否保护那些信息进入训练数据的人们的一部分。它还会为数据清理工具和已学信息移除工具的开发者提供一个单语言测试无法发现的目标。
这项结果还不是对每种语言或每个已部署系统的测试。实验覆盖的是与英语较为接近、资源较丰富的语言，并使用了开放模型。在这成为常规做法之前，模型提供商需要支持多语种审计，并验证删除操作能否经受住等价提示的测试，而不只是原始措辞。研究人员没有公开包含个人信息的数据；获取这些数据需要签署数据使用协议并通过机构验证。