Melindungi Prompt dari Kebocoran Data LLM

Opini Sebuah penelitian menarik dari IBM NeurIPS 2024 submission dari akhir 2024 muncul kembali di Arxiv minggu lalu. Ini mengusulkan sebuah sistem yang dapat secara otomatis mengintervensi untuk melindungi pengguna dari mengirimkan informasi pribadi atau sensitif ke dalam pesan ketika mereka sedang berbicara dengan Large Language Model (LLM) seperti ChatGPT.

Contoh mock-up yang digunakan dalam studi pengguna untuk menentukan cara orang berinteraksi dengan layanan intervensi prompt. Sumber: https://arxiv.org/pdf/2502.18509

Mock-up yang ditampilkan di atas digunakan oleh peneliti IBM dalam sebuah studi untuk menguji potensi gesekan pengguna terhadap jenis “interferensi” ini.

Meskipun detailnya tidak banyak, kita dapat berasumsi bahwa fungsionalitas seperti ini dapat dimasukkan ke dalam plugin browser yang berkomunikasi dengan kerangka kerja LLM “firewall” lokal; atau bahwa sebuah aplikasi dapat dibuat yang dapat menghubungkan langsung ke (misalnya) API OpenAI, secara efektif merekayasa ulang program mandiri OpenAI untuk ChatGPT, tetapi dengan perlindungan tambahan.

Yang dikatakan, ChatGPT itu sendiri secara otomatis menyensor respons terhadap prompt yang dianggap mengandung informasi kritis, seperti detail perbankan:

ChatGPT menolak berinteraksi dengan prompt yang mengandung informasi keamanan yang dianggap kritis, seperti detail perbankan (detail dalam prompt di atas adalah fiksi dan tidak berfungsi). Sumber: https://chatgpt.com/

Namun, ChatGPT jauh lebih toleran terhadap jenis informasi pribadi yang berbeda – bahkan jika menyebarkan informasi tersebut dengan cara apa pun mungkin tidak dalam kepentingan terbaik pengguna (dalam hal ini mungkin karena alasan yang terkait dengan pekerjaan dan pengungkapan):

Contoh di atas adalah fiksi, tetapi ChatGPT tidak ragu untuk berinteraksi dengan pengguna tentang subjek sensitif yang merupakan potensi risiko reputasi atau pendapatan (contoh di atas benar-benar fiksi).

Dalam kasus di atas, mungkin lebih baik untuk menulis: ‘Apa signifikansi diagnosis leukemia terhadap kemampuan menulis dan mobilitas seseorang?’

Proyek IBM mengidentifikasi dan menafsirkan kembali permintaan tersebut dari ‘pribadi’ ke ‘generik’.

Skema untuk sistem IBM, yang menggunakan LLM lokal atau heuristik berbasis NLP untuk mengidentifikasi materi sensitif dalam prompt potensial.

Ini mengasumsikan bahwa materi yang dikumpulkan oleh LLM online, dalam tahap awal adopsi AI chat yang antusias oleh masyarakat, tidak akan pernah mengalir ke model berikutnya atau ke kerangka iklan berikutnya yang mungkin mengeksploitasi kueri pencarian pengguna untuk menyediakan iklan yang ditargetkan.

Meskipun tidak ada sistem atau pengaturan yang diketahui ada sekarang, tidak ada fungsionalitas seperti itu yang tersedia pada awal adopsi internet di awal 1990-an; sejak itu, berbagi informasi antar domain untuk memasok iklan yang dipersonalisasi telah menyebabkan skandal yang beragam, serta paranoia.

Oleh karena itu, sejarah menunjukkan bahwa akan lebih baik untuk membersihkan input prompt LLM sekarang, sebelum data tersebut terkumpul dalam volume, dan sebelum pengajuan LLM kita berakhir di database siklik permanen dan/atau model, atau struktur dan skema informasi lainnya.

Ingat Saya?

Satu faktor yang berat melawan penggunaan ‘generik’ atau prompt LLM yang disanitasi adalah bahwa, secara jujur, fasilitas untuk menyesuaikan API LLM yang mahal seperti ChatGPT cukup menggoda, setidaknya pada tahap saat ini – tetapi ini dapat melibatkan paparan informasi pribadi jangka panjang.

Saya sering meminta ChatGPT untuk membantu saya membuat skrip Windows PowerShell dan file BAT untuk mengotomatisasi proses, serta pada masalah teknis lainnya. Untuk ini, saya menemukan bahwa sistemnya secara permanen mengingat detail tentang perangkat keras yang saya miliki; kompetensi keterampilan teknis saya (atau kekurangannya); dan berbagai faktor lingkungan dan aturan khusus:

ChatGPT memungkinkan pengguna untuk mengembangkan ‘cache’ memori yang akan diterapkan ketika sistem mempertimbangkan respons terhadap prompt di masa depan.

Tak terelakkan, ini menyimpan informasi tentang saya di server eksternal, tunduk pada syarat dan ketentuan yang mungkin berkembang seiring waktu, tanpa jaminan bahwa OpenAI (meskipun bisa menjadi penyedia LLM lain) akan menghormati syarat yang mereka tetapkan.

Secara umum, bagaimanapun, kemampuan untuk membangun cache memori di ChatGPT paling berguna karena jendela perhatian terbatas LLM pada umumnya; tanpa embedding yang diperluas (disesuaikan), pengguna merasa, secara frustrasi, bahwa mereka berbicara dengan entitas yang menderita amnesia anterograd.

Sulit untuk mengatakan apakah model yang lebih baru akan menjadi cukup performant untuk memberikan respons yang berguna tanpa kebutuhan untuk menyimpan memori, atau untuk membuat GPT kustom yang disimpan secara online.

Amnesia Sementara

Meskipun kita dapat membuat percakapan ChatGPT ‘sementara’, berguna untuk memiliki riwayat percakapan sebagai referensi yang dapat disuling, ketika waktu memungkinkan, menjadi catatan lokal yang lebih koheren, mungkin di platform catatan; tetapi kita tidak bisa tahu pasti apa yang terjadi pada percakapan ‘dibuang’ ini (meskipun OpenAI menyatakan mereka tidak akan digunakan untuk pelatihan, tidak menyatakan bahwa mereka dihancurkan), berdasarkan infrastruktur ChatGPT. Yang kita ketahui hanyalah bahwa percakapan tidak lagi muncul dalam riwayat kita ketika ‘Percakapan Sementara’ diaktifkan di ChatGPT.

Berbagai kontroversi baru-baru ini menunjukkan bahwa penyedia API seperti OpenAI seharusnya tidak dibiarkan mengendalikan privasi pengguna, termasuk penemuan memori yang muncul, yang menunjukkan bahwa LLM yang lebih besar lebih mungkin untuk mengingat contoh pelatihan secara penuh, dan meningkatkan risiko pengungkapan data pengguna – di antara insiden publik lainnya yang telah meyakinkan sejumlah besar perusahaan besar, seperti Samsung, untuk melarang LLM untuk penggunaan internal perusahaan.

Pikir Berbeda

Ketegangan antara utilitas ekstrem dan risiko potensial LLM akan memerlukan solusi yang cerdas – dan proposal IBM tampaknya menjadi templat dasar yang menarik dalam hal ini.

Tiga reformulasi berbasis IBM yang menyeimbangkan utilitas dengan privasi data. Di pita terbawah (merah muda), kita melihat prompt yang berada di luar kemampuan sistem untuk disanitasi dengan cara yang bermakna.

Pendekatan IBM mengintersep paket keluar ke LLM pada tingkat jaringan, dan menulis ulang jika perlu sebelum prompt asli dapat dikirim. Integrasi GUI yang lebih rumit yang terlihat di awal artikel hanyalah ilustratif dari mana pendekatan seperti ini bisa pergi, jika dikembangkan.

Tentu saja, tanpa kekuatan yang cukup, pengguna mungkin tidak memahami bahwa mereka menerima respons terhadap reformulasi alternatif dari prompt asli mereka. Kurangnya transparansi ini setara dengan firewall sistem operasi yang memblokir akses ke situs web atau layanan tanpa menginformasikan pengguna, yang mungkin kemudian mencari penyebab lain untuk masalah tersebut.

Prompt sebagai Kekurangan Keamanan

Prospek ‘intervensi prompt’ analog dengan keamanan OS Windows, yang telah berkembang dari patchwork produk komersial (opsional) di tahun 1990-an menjadi suite alat pertahanan jaringan yang tidak opsional dan diterapkan secara ketat yang datang sebagai standar dengan instalasi Windows, dan yang memerlukan upaya untuk dimatikan atau diintensifkan; dan jika sanitasi prompt berkembang seperti firewall jaringan, proposal kertas IBM bisa menjadi blueprint untuk masa depan: menerapkan LLM lokal penuh di mesin pengguna untuk menyaring prompt keluar yang ditujukan ke LLM API yang dikenal. Sistem ini secara alami perlu mengintegrasikan kerangka kerja GUI dan notifikasi, memberikan pengguna kontrol – kecuali kebijakan administratif mengesampingkannya, seperti yang sering terjadi di lingkungan bisnis.

Peneliti melakukan analisis terhadap versi sumber terbuka dari dataset ShareGPT untuk memahami seberapa sering privasi kontekstual dilanggar dalam skenario dunia nyata.

Llama-3.1-405B-Instruct digunakan sebagai model ‘hakim’ untuk mendeteksi pelanggaran integritas kontekstual. Dari set besar percakapan, subset percakapan tunggal dianalisis berdasarkan panjang. Model hakim kemudian menilai konteks, informasi sensitif, dan kebutuhan untuk menyelesaikan tugas, yang mengarah pada identifikasi percakapan yang mengandung potensi pelanggaran integritas kontekstual.

Subset percakapan yang lebih kecil, yang menunjukkan pelanggaran privasi kontekstual yang jelas, dianalisis lebih lanjut.

Kerangka kerja itu sendiri diimplementasikan menggunakan model yang lebih kecil dari agen chat biasa seperti ChatGPT, untuk memungkinkan penerapan lokal melalui Ollama.

Skema untuk sistem intervensi prompt.

Tiga LLM yang dievaluasi adalah Mixtral-8x7B-Instruct-v0.1; Llama-3.1-8B-Instruct; dan DeepSeek-R1-Distill-Llama-8B.

Prompt pengguna diproses oleh kerangka kerja dalam tiga tahap: identifikasi konteks; klasifikasi informasi sensitif; dan reformulasi.

Dua pendekatan diimplementasikan untuk klasifikasi informasi sensitif: dinamis dan terstruktur klasifikasi: klasifikasi dinamis menentukan detail penting berdasarkan penggunaannya dalam percakapan tertentu; klasifikasi terstruktur memungkinkan spesifikasi daftar atribut sensitif yang telah ditentukan sebelumnya yang selalu dianggap tidak penting. Model mereformulasi prompt jika mendeteksi detail sensitif yang tidak penting dengan menghapus atau mengubahnya untuk meminimalkan risiko privasi sambil mempertahankan kegunaan.

Aturan Rumah

Meskipun klasifikasi terstruktur sebagai konsep tidak terlalu jelas dalam kertas IBM, ini paling mirip dengan metode ‘Definisi Data Pribadi’ dalam inisiatif Private Prompts, yang menyediakan program mandiri yang dapat mengubah prompt – meskipun tanpa kemampuan untuk secara langsung mengintervensi pada tingkat jaringan, seperti yang dilakukan oleh pendekatan IBM (sebaliknya, pengguna harus menyalin dan menempelkan prompt yang dimodifikasi).

Eksekusi Private Prompts memungkinkan daftar penggantian alternatif untuk teks input pengguna.

Di gambar di atas, kita dapat melihat bahwa pengguna Private Prompts dapat memprogram penggantian otomatis untuk contoh informasi sensitif. Dalam kedua kasus, untuk Private Prompts dan metode IBM, tampaknya tidak mungkin bahwa pengguna dengan kehadiran dan wawasan pribadi yang cukup untuk mengkurasi daftar seperti itu sebenarnya membutuhkan produk ini – meskipun bisa dibangun seiring waktu ketika insiden terjadi.

Dalam peran administrator, klasifikasi terstruktur bisa berfungsi sebagai firewall atau jaringan sensor untuk karyawan; dan di jaringan rumah, bisa, dengan penyesuaian yang sulit, menjadi filter jaringan untuk semua pengguna jaringan; tetapi pada akhirnya, metode ini secara argumen redundan, karena pengguna yang bisa mengatur ini dengan benar juga bisa menyensor diri sendiri secara efektif dari awal.

Opini ChatGPT

Karena ChatGPT baru-baru ini meluncurkan alat penelitian mendalam untuk pengguna berbayar, saya menggunakan fasilitas ini untuk meminta ChatGPT meninjau literatur terkait dan memberikan ‘tinjauan sinis’ tentang kertas IBM. Saya menerima respons yang paling defensif dan meremehkan yang pernah diberikan sistem ketika diminta untuk mengevaluasi atau menganalisis publikasi baru:

ChatGPT-4o memiliki pendapat rendah tentang proyek IBM.

‘Jika pengguna tidak mempercayai OpenAI, Google, atau Anthropic untuk menangani data mereka secara bertanggung jawab,’ ChatGPT menyatakan. ‘mengapa mereka akan mempercayai lapisan perangkat lunak pihak ketiga yang duduk di antara mereka dan AI? Perantara itu sendiri menjadi titik kegagalan baru—potensialmente mencatat, menangani dengan tidak benar, atau bahkan bocor data sebelum itu mencapai LLM. Ini tidak menyelesaikan apa-apa jika hanya menciptakan entitas baru untuk mengeksploitasi data pengguna.’

Objeksi ini tampaknya bersifat menguntungkan diri sendiri dan tidak berlaku, mengingat sejarah proyek sumber terbuka yang secara nyata memberikan manfaat kepada pengguna akhir melalui upaya jangka panjang dari pengembang dan kontributor komunitas; dan mengingat potensi perangkat mobile untuk menjalankan – dan bahkan melatih – LLM ringan. Tentu saja, dalam kasus ini, kasus penggunaan tidak terlalu menuntut.

Selanjutnya, ChatGPT dengan percaya diri melewatkan titik dari memiliki LLM ringan yang menyediakan pengawasan terhadap input ke LLM komersial yang tidak mungkin dijalankan di mesin lokal (karena LLM terlalu besar, dan memungkinkan akses lokal terlalu berisiko bagi perusahaan yang membuatnya):

‘Pengfilteran privasi yang efektif memerlukan pemahaman tentang input sebelum memutuskan apa yang harus dihilangkan. Jika perantara cukup pintar untuk mengenali data sensitif (nama, alamat, detail keuangan), maka itu sudah memproses dan menganalisis data tersebut—yang berarti harus menyimpan atau mengekaminasi hal yang seharusnya dihapus.

‘Ini memperkenalkan paradoks: a) Filter yang bodoh (penggantian regex dasar) akan tidak efektif dan melewatkan risiko privasi yang halus. b) Filter yang pintar (pengubah LLM-powered) harus memproses input penuh, membuatnya sama berbahayanya dengan LLM asli.

‘Jika Anda mempercayai perantara untuk membaca dan menulis ulang input Anda, mengapa tidak mempercayai LLM itu sendiri?’

Jawaban untuk pertanyaan terakhir ini adalah bahwa LLM lokal dimaksudkan untuk sepenuhnya berada di pihak pengguna, dan pada akhirnya bersumber terbuka, dengan kebutuhan minimal atau nol untuk akses jaringan. Versi komersial yang setara, bagaimanapun juga niat baik di awal, akan rentan terhadap pergeseran perusahaan dan perubahan pada syarat dan ketentuan, sedangkan lisensi sumber terbuka yang sesuai akan mencegah jenis korupsi ini.

ChatGPT lebih lanjut berargumen bahwa proposal IBM ‘menghancurkan niat pengguna’, karena bisa menafsirkan kembali prompt menjadi alternatif yang memengaruhi kegunaannya. Namun, ini adalah masalah yang jauh lebih luas dalam sanitasi prompt, dan tidak spesifik untuk kasus penggunaan ini.

Dalam penutup (mengabaikan saran untuk menggunakan LLM lokal ‘sebagai gantinya’, yang sebenarnya adalah apa yang diusulkan dalam kertas IBM), ChatGPT berpendapat bahwa metode IBM mewakili hambatan untuk adopsi karena ‘gesekan pengguna’ dari implementasi metode peringatan dan penyuntingan ke dalam obrolan.

Di sini, ChatGPT mungkin benar; tetapi jika tekanan signifikan datang karena insiden publik lebih lanjut, atau jika keuntungan di zona geografis tertentu terancam oleh regulasi yang meningkat (dan perusahaan menolak untuk meninggalkan wilayah yang terkena secara keseluruhan), sejarah teknologi konsumen menunjukkan bahwa perlindungan akan pada akhirnya tidak lagi opsional juga.

Kesimpulan

Kita tidak bisa secara realistis mengharapkan OpenAI untuk pernah menerapkan perlindungan jenis yang diusulkan dalam kertas IBM, dan dalam konsep utama di baliknya; setidaknya tidak secara efektif.

Dan tentu saja tidak secara global; sama seperti Apple (AAPL ) memblokir fitur iPhone tertentu di Eropa, dan LinkedIn memiliki aturan yang berbeda untuk mengeksploitasi data pengguna di negara yang berbeda, masuk akal untuk mengusulkan bahwa perusahaan AI mana pun akan default ke syarat dan ketentuan yang paling menguntungkan yang dapat diterima oleh negara mana pun di mana mereka beroperasi – dalam setiap kasus, dengan mengorbankan hak pengguna terhadap privasi data, jika perlu.

Pertama dipublikasikan Kamis, 27 Februari 2025

Diupdate Kamis, 27 Februari 2025 15:47:11 karena tautan Apple yang tidak tepat – MA