Locket usa adaptadores LoRA como chave de acesso para impedir que LLMs vazem dados privados memorizados
Pesquisadores propoem Locket, um framework que treina multiplos adaptadores LoRA, cada um codificando uma politica de acesso diferente (revelacao completa, redacao parcial de PII ou privacidade diferencial), e usa um modulo de roteamento que so ativa o adaptador de revelacao completa quando um token de entrada valido esta presente no prompt. Sem o token correto, o modelo roteia automaticamente para o adaptador que redige ou sanitiza conteudo sensivel, mantendo utilidade proxima a de um modelo sem nenhuma defesa quando o acesso e autorizado.
LLMs ajustados sobre dados de dominios sensiveis -- saude, financas, registros governamentais -- memorizam e podem revelar informacoes de identificacao pessoal (PII) presentes nesses dados. Defesas existentes normalmente forcam uma escolha entre utilidade do modelo, protecao de privacidade e acesso ao conhecimento privado ajustado, sem meio-termo pratico.
O Locket treina um conjunto de adaptadores LoRA, cada um associado a uma politica distinta (revelacao completa, redacao parcial de PII, ou revelacao sob um nivel especificado de privacidade diferencial), e treina um modulo de gating compacto para associar um token de entrada aprendido a exatamente um adaptador via roteamento rigido em nivel de sequencia. A presenca de um token valido funciona como chave de autorizacao que libera o adaptador correspondente; um token invalido ou ausente aciona por padrao o adaptador de privacidade, que redige ou sanitiza o conteudo sensivel -- ou seja, a configuracao segura e o comportamento padrao, nao uma exececao a ser ativada.
Avaliado em datasets Enron, ECHR e Yelp sobre familias de modelos como Qwen3, Llama-3.2 e Gemma-2, o Locket preserva perplexidade comparavel a de um fine-tuning sem nenhuma defesa quando o token correto e fornecido, e reduz substancialmente o vazamento de PII mantendo utilidade equivalente a defesas de linha de base fortes quando o token esta ausente ou invalido -- tudo isso de forma compativel com LLMs prontos, sem exigir mudanca de arquitetura.
O mecanismo e relevante como controle de acesso 'need to know' dentro de um unico modelo ajustado, em vez de manter modelos separados por nivel de permissao -- algo util para implantacoes multi-tenant de LLM em dominios regulados. O ponto a testar com ceticismo, do ponto de vista de seguranca ofensiva, e a robustez do proprio modulo de gating contra tentativas de forjar ou extrair o token de entrada via prompt: como a seguranca do sistema agora se concentra em proteger esse token, ele passa a ser, na pratica, o novo alvo de ataque.