Whiteout: ferramenta para impedir que LLMs vazem dados pessoais memorizados
Pesquisadores apresentam o Whiteout, uma ferramenta prática que impede LLMs de reproduzir informações pessoais sensíveis de indivíduos específicos — datas de nascimento, telefones, endereços — memorizadas a partir de dados de treinamento não filtrados. Em vez de recorrer a unlearning, que tende a remover informação além do necessário e degrada a utilidade do modelo, o Whiteout sobrescreve os dados reais com amostras de ofuscação cuidadosamente desenhadas, mediante solicitação do próprio indivíduo. Os autores testam a ferramenta contra modelos de diferentes tamanhos e fabricantes, incluindo um modelo OpenAI amplamente usado, e contra ataques de caixa-preta (jailbreaking) e caixa-branca (relearning, quantização), reportando impacto mínimo na utilidade geral do modelo.
O problema de fundo é conhecido na comunidade de privacidade em IA: LLMs treinados em dados coletados de praticamente qualquer site acessível acabam memorizando informações pessoais sensíveis de pessoas reais e podem reproduzi-las quando perguntados, o que é particularmente arriscado para figuras públicas como executivos, políticos e juízes, alvos preferenciais de assédio ou ataques direcionados. A resposta dominante até hoje tem sido o machine unlearning, técnicas que tentam "apagar" conhecimento específico do modelo depois do treinamento.
O Whiteout parte de uma crítica direta ao unlearning: segundo os autores, esses métodos tendem a remover informação de forma imprecisa, degradam a utilidade e até a segurança do modelo, e são vulneráveis a ataques que tentam recuperar o que foi "esquecido". A alternativa proposta não tenta apagar nada: ao receber uma solicitação de um indivíduo específico, o Whiteout sobrescreve a informação pessoal verdadeira com amostras de ofuscação desenhadas com precisão, de forma que o modelo passe a associar aquele indivíduo a dados substitutos coerentes, em vez de simplesmente recusar responder.
A validação experimental cobre múltiplos modelos de tamanhos e fabricantes distintos — incluindo um modelo OpenAI amplamente usado — e, mais importante, uma bateria de contramedidas adversariais: jailbreaking (caixa-preta), relearning via fine-tuning adicional e quantização (caixa-branca, que historicamente pode reverter efeitos de unlearning). Os autores reportam que o Whiteout resiste a esse espectro de ataques mantendo impacto mínimo na utilidade e segurança geral do modelo, superando alternativas existentes.
Na prática, isso é relevante para provedores de LLM que precisam responder a pedidos de remoção de dados pessoais sem exigir retreinamento completo ou destruir a qualidade do modelo. O próprio artigo reconhece a necessidade de discutir implicações éticas da técnica — por exemplo, o risco de a ofuscação ser usada não para proteger vítimas, mas para encobrir informações de interesse público, uma tensão que qualquer adoção prática precisará equacionar.