Ataque de inversão "ciente do ruído" quebra defesa de perturbação gaussiana em embeddings de texto
Um novo método de inversão de embeddings, batizado DAEI, consegue reconstruir texto original a partir de vetores de embedding que foram deliberadamente protegidos com ruído gaussiano — a defesa de privacidade mais comum contra ataques de inversão. O truque técnico é treinar um denoiser não supervisionado que remove o ruído de proteção antes de aplicar a inversão generativa, contornando o que os autores chamam de "armadilha do ruído duplo". Os ganhos relatados (até 154% em BLEU sobre a linha de base) sugerem que perturbação gaussiana isolada não é suficiente para proteger embeddings liberados publicamente.
Embeddings de texto são vetores densos usados em busca semântica, sistemas de recomendação e, cada vez mais, em pipelines de RAG (retrieval-augmented generation) que injetam contexto em LLMs. Como esses vetores preservam informação semântica, ataques de inversão já haviam demonstrado ser possível reconstruir aproximadamente o texto original a partir do embedding — um risco de privacidade real quando embeddings de documentos sensíveis (e-mails, prontuários, mensagens internas) são armazenados em índices vetoriais ou compartilhados com terceiros. A defesa mais adotada até aqui é simplesmente somar ruído gaussiano ao vetor antes de liberá-lo, sob a suposição de que isso degrada a reconstrução o suficiente sem inviabilizar a tarefa fim (busca, classificação).
O artigo mostra que essa suposição não se sustenta contra um atacante adaptativo. O obstáculo técnico que motivou a defesa é real — métodos de inversão generativa padrão realmente falham quando o embedding de entrada já está borrado por ruído, porque o próprio processo generativo de inversão introduz uma segunda camada de ruído sobre a primeira (o "double noise trap" descrito no paper). A contribuição do DAEI é resolver esse obstáculo em duas etapas: primeiro, um autoencoder residual de denoising é treinado de forma não supervisionada, usando o estimador de risco não enviesado de Stein (SURE), para aprender a remover ruído tendo acesso apenas às observações ruidosas — sem nunca ver o embedding limpo original; depois, o embedding "limpo" reconstruído é passado para um modelo generativo de inversão de texto já existente.
Os resultados reportados são expressivos: cerca de 154% de melhoria relativa em BLEU frente à melhor linha de base generativa, com ganhos de 32% a 60% em F1 a nível de token e ROUGE-L. Ou seja, o texto reconstruído a partir de embeddings "protegidos" por ruído fica substancialmente mais fiel ao original do que se supunha possível, justamente no cenário mais realista de ataque: o adversário nunca teve acesso ao embedding limpo, só ao ruidoso.
Na prática, isso é relevante para qualquer sistema que trate a adição de ruído gaussiano como controle suficiente de privacidade antes de expor, vender ou compartilhar embeddings — bancos de dados vetoriais de terceiros, provedores de busca semântica como serviço, ou pipelines de RAG que replicam embeddings entre ambientes. O paper não quebra toda e qualquer forma de perturbação, mas demonstra que a garantia informal "ruído gaussiano = privacidade" não resiste a um atacante que conhece o mecanismo de defesa e constrói o inversor em torno dele — o que é exatamente o modelo de ameaça correto a assumir em produção.