การป้องกันข้อมูลส่วนบุคคลจากการรั่วไหลของ LLM

ความคิดเห็น การเสนอของ IBM ใน NeurIPS 2024 ที่น่าสนใจ การวิจัย ในปลายปี 2024 ที่เผยแพร่บน Arxiv เมื่อสัปดาห์ที่แล้ว เป็นระบบที่สามารถเข้าแทรกแซงเพื่อป้องกันผู้ใช้จากการ提交ข้อมูลส่วนบุคคลหรือข้อมูลที่ละเอียดอ่อนเมื่อมีการสนทนากับโมเดลภาษาขนาดใหญ่ (LLM) เช่น ChatGPT。

ตัวอย่างที่ใช้ในการศึกษาการทดสอบผู้ใช้เพื่อกำหนดวิธีการที่ผู้ใช้จะโต้ตอบกับบริการการแทรกแซงคำสั่ง Source: https://arxiv.org/pdf/2502.18509

ตัวอย่างที่แสดงข้างต้นถูกใช้โดยนักวิจัยของ IBM ในการศึกษาการทดสอบผู้ใช้เพื่อกำหนดความไม่สอดคล้องกันของการแทรกแซงประเภทนี้

แม้ว่าจะไม่มีรายละเอียดเกี่ยวกับการใช้งาน GUI แต่เราสามารถสรุปได้ว่าฟังก์ชันนี้สามารถรวมเข้ากับปลั๊กอินของเบราว์เซอร์ที่สื่อสารกับเฟรมเวิร์ก LLM ที่เป็น “ไฟร์วอลล์” ท้องถิ่น หรือสามารถสร้างแอปพลิเคชันที่สามารถเชื่อมต่อกับ API ของ OpenAI ได้โดยตรง

อย่างไรก็ตาม ChatGPT มีการเซ็นเซอร์ตัวเองโดยอัตโนมัติสำหรับการตอบสนองต่อคำสั่งที่มีข้อมูลสำคัญ เช่น ข้อมูลธนาคาร:

ChatGPT ปฏิเสธที่จะโต้ตอบกับคำสั่งที่มีข้อมูลความปลอดภัยที่สำคัญ เช่น ข้อมูลธนาคาร (ข้อมูลในคำสั่งด้านบนเป็นข้อมูลสมมติและไม่มีการใช้งานจริง) Source: https://chatgpt.com/

อย่างไรก็ตาม ChatGPT มีความอดทนมากกว่าในเรื่องข้อมูลส่วนบุคคลอื่นๆ แม้ว่าการเผยแพร่ข้อมูลดังกล่าวอาจไม่อยู่ในความสนใจของผู้ใช้ (ในกรณีนี้อาจเป็นเพราะเหตุผลที่เกี่ยวข้องกับการทำงานและการเปิดเผย)

ตัวอย่างด้านบนเป็นข้อมูลสมมติ แต่ ChatGPT ไม่ลังเลที่จะโต้ตอบกับผู้ใช้เกี่ยวกับเรื่องที่ละเอียดอ่อนที่อาจก่อให้เกิดความเสี่ยงต่อชื่อเสียงหรือรายได้ (ตัวอย่างด้านบนเป็นข้อมูลสมมติ)

ในกรณีนี้ อาจจะดีกว่าที่จะเขียนว่า: ‘ความสำคัญของการวินิจฉัยโรคมะเร็งต่อความสามารถในการเขียนและความสามารถในการเคลื่อนไหวของบุคคลคืออะไร?’

โครงการของ IBM ระบุและตีความคำสั่งดังกล่าวจากมุมมอง “ส่วนบุคคล” เป็นมุมมอง “ทั่วไป”

สเคมาสำหรับระบบของ IBM ซึ่งใช้ LLM ท้องถิ่นหรือฮิวริสติกที่ใช้ NLP เพื่อระบุข้อมูลที่ละเอียดอ่อนในคำสั่ง

สมมติว่าข้อมูลที่รวบรวมโดย LLM ออนไลน์ในช่วงแรกของการนำ AI มาใช้จะไม่ถูกส่งต่อไปยังโมเดลหรือโครงสร้างการโฆษณาที่อาจใช้คำถามค้นหาของผู้ใช้เพื่อให้โฆษณาที่มุ่งเป้า

แม้ว่าระบบหรือการจัดเตรียมดังกล่าวจะไม่ทราบกัน แต่ก็ไม่มีฟังก์ชันนี้เมื่อการนำอินเทอร์เน็ตมาใช้ในช่วงแรกของทศวรรษ 1990; ตั้งแต่นั้นมา การแบ่งปันข้อมูลข้ามโดเมนเพื่อการโฆษณาที่มุ่งเป้าได้นำไปสู่เรื่องอื้อฉาวและความกังวล

ดังนั้น ประวัติศาสตร์จึงชี้ให้เห็นว่าการล้างข้อมูลส่วนบุคคลออกจาก LLM ในตอนนี้ก่อนที่ข้อมูลจะสะสมมากเกินไป และก่อนที่การ提交 LLM ของเราจะเข้าสู่ฐานข้อมูลหรือโมเดลที่มีวงจรที่ไม่สามารถเปลี่ยนแปลงได้หรือโครงสร้างข้อมูลอื่นๆ

จำฉันหรือไม่?

ปัจจัยหนึ่งที่ต่อต้านการใช้คำสั่ง “ทั่วไป” หรือ “ล้าง” คือความสามารถในการปรับแต่ง API ที่มีราคาแพง เช่น ChatGPT ซึ่งเป็นเรื่องที่น่าดึงดูดใจในสถานะปัจจุบัน แต่ก็สามารถทำให้ข้อมูลส่วนบุคคลถูกเปิดเผยได้

ฉันขอให้ ChatGPT ช่วยในการเขียนสคริปต์ Windows PowerShell และไฟล์ BAT เพื่อใช้ในการทำงานอัตโนมัติ และฉันพบว่ามันใช้ประโยชน์ได้ดีในการจดจำข้อมูลเกี่ยวกับฮาร์ดแวร์ที่ฉันมี; ทักษะทางเทคนิคของฉัน; และปัจจัยสิ่งแวดล้อมอื่นๆ

ChatGPT ช่วยให้ผู้ใช้สามารถพัฒนา ‘ค่าช่วยจำ’ ที่จะถูกนำไปใช้เมื่อระบบพิจารณาการตอบสนองต่อคำสั่งอนาคต

อย่างไม่หลีกเลี่ยง การเก็บข้อมูลเกี่ยวกับฉันไว้บนเซิร์ฟเวอร์ภายนอก ซึ่งอาจมีการเปลี่ยนแปลงเงื่อนไขและข้อตกลงตามเวลา โดยไม่มีการรับประกันว่า OpenAI จะเคารพเงื่อนไขที่พวกเขาตั้งไว้

โดยทั่วไป ความสามารถในการสร้าง “ค่าช่วยจำ” ใน ChatGPT มีประโยชน์มากเนื่องจาก “หน้าต่างความสนใจที่จำกัด” ของ LLM โดยทั่วไป; โดยไม่มีการฝังตัวที่มีการปรับแต่ง; ผู้ใช้รู้สึกว่ากำลังพูดคุยกับหน่วยที่มีอาการ “ความจำเสื่อมแบบ Anterograde”

เป็นเรื่องยากที่จะบอกได้ว่าโมเดลใหม่ๆ จะมีประสิทธิภาพเพียงพอที่จะให้คำตอบที่มีประโยชน์โดยไม่ต้องใช้ “ค่าช่วยจำ” หรือไม่

ความจำเสื่อมชั่วคราว

แม้ว่าเราจะสามารถทำให้การสนทนากับ ChatGPT เป็น “ชั่วคราว” ได้ แต่ก็เป็นประโยชน์ที่จะมีประวัติการสนทนาเป็นข้อมูลอ้างอิงที่สามารถถูกทำให้กระชับเมื่อมีเวลา

การเปลี่ยนแปลงนี้อาจไม่ดีนัก เนื่องจากการเปลี่ยนแปลงนี้อาจทำให้ผู้ใช้ไม่เข้าใจว่าพวกเขากำลังได้รับการตอบสนองต่อคำสั่งที่เปลี่ยนแปลงไป

คิดแตกต่าง

ความตึงเครียดระหว่างความมีประโยชน์สูงและความเสี่ยงที่อาจเกิดขึ้นของ LLM ต้องการวิธีแก้ปัญหาที่สร้างสรรค์ และการเสนอของ IBM ดูเหมือนจะเป็นแบบอย่างพื้นฐานที่น่าสนใจ

การเปลี่ยนแปลงสามแบบของ IBM ที่สร้างสมดุลระหว่างความมีประโยชน์และความเป็นส่วนตัวของข้อมูล ในแถบล่างสุด (สีชมพู) เราจะเห็นคำสั่งที่อยู่นอกความสามารถของระบบในการล้างข้อมูลที่มีความหมาย

การเข้าใกล้ของ IBM จะแทรกแซงแพ็คเก็ตที่ออกไปจาก LLM ที่ระดับเครือข่าย และเขียนใหม่ตามความจำเป็นก่อนที่จะส่งคำสั่งเดิม

คำสั่งเป็นภัยคุกคามด้านความปลอดภัย

แนวคิดของ “การแทรกแซงคำสั่ง” มีความคล้ายคลึงกับการรักษาความปลอดภัยของ Windows OS ซึ่งพัฒนาไปจากผลิตภัณฑ์เชิงพาณิชย์ที่ติดตั้งได้แบบเลือกในยุค 90 เป็นชุดเครื่องมือรักษาความปลอดภัยเครือข่ายที่ไม่จำเป็นต้องติดตั้งและบังคับใช้กับ Windows

หากการล้างคำสั่งพัฒนาไปเหมือนกับการรักษาความปลอดภัยของ Windows ใน 30 ปีที่ผ่านมา การเสนอของ IBM อาจเป็นแบบอย่างสำหรับอนาคต: การใช้ LLM ท้องถิ่นบนเครื่องของผู้ใช้เพื่อล้างคำสั่งที่จะส่งไปยัง LLM ที่รู้จัก

นักวิจัยได้ทำการวิเคราะห์ข้อมูลจาก ShareGPT เพื่อทำความเข้าใจว่าความเป็นส่วนตัวของบริบทถูกทำลายบ่อยเพียงใดในสถานการณ์จริง

โมเดล Llama-3.1-405B-Instruct ถูกใช้เป็น “ตัวตัดสิน” เพื่อตรวจจับการละเมิดความสมบูรณ์ของบริบท

การวิเคราะห์ข้อมูลจากโมเดลนี้ช่วยให้เข้าใจถึงความจำเป็นในการปกป้องข้อมูลส่วนบุคคลของผู้ใช้

กฎบ้าน

แม้ว่าการจำแนกข้อมูลที่ละเอียดอ่อนแบบ “โครงสร้าง” จะไม่ได้รับการอธิบายอย่างดีในเอกสารของ IBM แต่ก็คล้ายกับวิธีการ “คำจำกัดความข้อมูลส่วนบุคคล” ในโครงการ Private Prompts ซึ่งเป็นโปรแกรมอิสระที่สามารถเขียนคำสั่งใหม่

ในภาพด้านบน เราจะเห็นว่าผู้ใช้ Private Prompts สามารถเขียนการแทนที่อัตโนมัติสำหรับข้อมูลที่ละเอียดอ่อนได้

ความคิดเห็นของ ChatGPT

เนื่องจาก ChatGPT เปิดตัวเครื่องมือการวิจัยลึกสำหรับผู้ใช้ที่จ่ายเงิน ฉันจึงใช้เครื่องมือนี้เพื่อขอให้ ChatGPT วิเคราะห์เอกสารที่เกี่ยวข้องและให้คำวิจารณ์ “เชิงลบ” เกี่ยวกับการเสนอของ IBM ฉันได้รับการตอบสนองที่เป็นการตอบโต้มากที่สุดจาก ChatGPT เมื่อถูกขอให้ประเมินหรือวิเคราะห์เอกสารใหม่

ChatGPT อ้างว่าหากผู้ใช้ไม่ไว้วางใจ OpenAI, Google หรือ Anthropic ในการรักษาข้อมูลของตนอย่างมีความรับผิดชอบ; ทำไมพวกเขาถึงไว้วางใจซอฟต์แวร์ระดับสามที่อยู่ระหว่างพวกเขาและ AI? ซอฟต์แวร์ระดับสามนี้เองกลายเป็นจุดอ่อนใหม่; ซึ่งอาจบันทึก; จัดการข้อมูลผิดหรือแม้กระทั่งรั่วไหลข้อมูลก่อนที่จะถึง LLM

การคัดค้านนี้ดูเหมือนจะเป็นการป้องกันตัวเองและไม่เกี่ยวข้องกับกรณีนี้

ChatGPT ยังโต้แย้งว่าการเสนอของ IBM “ทำลายความตั้งใจของผู้ใช้” เนื่องจากอาจตีความคำสั่งใหม่ให้แตกต่างออกไป

สรุป

เราคาดหวังได้ยากว่า OpenAI จะนำการป้องกันของประเภทที่เสนอในเอกสารของ IBM มาใช้; และไม่ใช่แค่ในแนวคิดหลักของเอกสารนั้น

และไม่ใช่แค่ในระดับ “ทั่วโลก”; เหมือนกับที่ Apple ปิดฟังก์ชันบางอย่างของ iPhone ในยุโรป; และ LinkedIn มีกฎที่แตกต่างกันสำหรับการใช้ข้อมูลของผู้ใช้ในประเทศต่างๆ; เป็นเรื่องที่สมเหตุสมผลที่จะแนะนำว่าบริษัท AI ใดๆ จะใช้เงื่อนไขที่มีประสิทธิภาพสูงสุดที่ยอมรับได้ในประเทศใดๆ ที่ดำเนินการ; ในแต่ละกรณี; โดยเสียสละสิทธิความเป็นส่วนตัวของผู้ใช้ตามความจำเป็น

เผยแพร่ครั้งแรกวันพฤหัสบดี, 27 กุมภาพันธ์ 2025

อัปเดตวันพฤหัสบดี, 27 กุมภาพันธ์ 2025 15:47:11 เนื่องจากลิงก์ที่เกี่ยวข้องกับ Apple ที่ไม่ถูกต้อง – MA