ADLER mede e reduz vazamento de dados privados em decodificação colaborativa entre modelo local e LLM na nuvem
Pesquisadores mostram que, em assistentes que combinam um modelo pequeno no dispositivo com um LLM na nuvem via decodificação colaborativa, o transcript de mensagens trocadas durante a geração pode revelar conteúdo privado que nem a pergunta pública nem a resposta final jamais expõem — em um teste com um segredo plantado, rascunhos privados de decodificação especulativa rejeitados pelo modelo da nuvem ainda assim enviaram o segredo para fora do dispositivo. Os autores propõem o ADLER, um protocolo de decodificação em que toda mensagem enviada à nuvem depende apenas da pergunta pública e da resposta final, acompanhado de um 'livro-razão de vazamento' que quantifica quanto cada resposta revela além do que o usuário vê.
O cenário estudado é cada vez mais comum em assistentes de IA voltados à privacidade: o documento sensível do usuário permanece no dispositivo, processado por um modelo pequeno local, enquanto uma pergunta pública aprovada pelo usuário é enviada a um LLM maior na nuvem, e os dois modelos trocam mensagens durante a decodificação colaborativa para produzir a resposta final. A promessa é que a nuvem nunca veja o documento privado — apenas a pergunta e, implicitamente, a resposta — mas o artigo demonstra que essa promessa pode ser falsa mesmo quando a resposta final está, de fato, limpa de dados sensíveis.
A prova mais contundente vem de uma auditoria com um 'segredo plantado' no contexto privado do cliente: usando decodificação especulativa, o modelo local gera rascunhos de tokens que a nuvem aceita ou rejeita antes da resposta final. A análise mostra que o código secreto plantado nunca apareceu na resposta final observável pelo usuário, mas apareceu em rascunhos especulativos que foram rejeitados e, ainda assim, haviam sido enviados à nuvem antes da rejeição — um vazamento que escapa de qualquer auditoria baseada apenas na pergunta pública e na resposta final, porque mora no tráfego intermediário do protocolo, normalmente invisível para quem avalia privacidade do sistema.
O ADLER resolve isso impondo uma restrição estrutural ao protocolo de decodificação: toda mensagem enviada à nuvem deve depender apenas da visão pública acordada e da resposta final que o usuário efetivamente recebe, independentemente de como o cliente combina os dois modelos ou de como a nuvem se comporta — ou seja, a garantia de privacidade não depende de confiar no comportamento da nuvem, apenas da estrutura do protocolo do lado do cliente. Complementarmente, o 'livro-razão de vazamento' do lado do cliente quantifica, em termos formais, quanto a resposta observada revela a mais do que um processo de referência público construído a partir das respostas da nuvem, permitindo orçar explicitamente quanto vazamento é tolerável.
Os resultados em problemas de matemática do GSM8K, com valores numéricos mascarados antes de irem à nuvem, mostram que a abordagem não é só uma restrição teórica: com orçamento de vazamento ilimitado, o ADLER eleva a acurácia de correspondência exata de um cliente de 0,5B parâmetros de 0,41 para 0,83, e de um cliente de 1,5B de 0,67 para 0,85, aproximando-se do 0,92 obtido ao enviar o problema completo sem qualquer proteção, e superando uma alternativa de vazamento zero (0,69) que delega todo o cálculo sensível a um programa executado localmente. Na prática, isso mostra que é possível recuperar boa parte do ganho de qualidade da colaboração nuvem-dispositivo sem herdar automaticamente seus riscos de vazamento, desde que o protocolo de troca de mensagens — não apenas a política de dados visível ao usuário — seja desenhado com privacidade em mente desde o início.