注册

ADLER 协议：让云端 LLM 只看到公开视图，并记录答案泄露量

论文AI 评分 72/100arXiv cs.AI待复核
AI 聚合

本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。

研究指出，在端侧小模型与云端 LLM 协作解码时，双方交换的消息记录可能泄露公开视图和最终答案都不包含的隐私内容：在植入秘密的审计中，私有草稿被拒绝，秘密码仍随草稿发往云端。作者提出 ADLER 解码协议，使发往云端的每条消息只依赖公开视图与用户所见答案，并在客户端用泄露账本约束答案相对公开参照过程的披露量。GSM8K 数值遮蔽实验中，0.5B 客户端精确匹配从 0.41 升至 0.83，1.5B 从 0.67 升至 0.85，接近上传完整题目的 0.92，并高于零泄露程序基线 0.69。

全文梳理

AI 摘要依据下方信源原文自动整理，非原文转载

协作解码的隐性泄露

论文关注的是这样一种常见架构：网页助手把端侧小模型与 Web API 背后的云端 LLM 配对，用来回答用户私有文档相关的问题。文档留在客户端，云端只收到用户批准的公开视图，例如仅一个问题。但在答案生成过程中，两个模型需要互相传递消息。作者通过植入秘密的审计发现，使用私有草稿的推测解码虽然没把秘密码写进最终答案，却在被拒绝的草稿里把它送去了云端。也就是说，公开视图与答案都不含的内容，仍可能从消息记录中流出。这一发现针对的是协作解码本身，而非某一实现细节。

ADLER 的约束方式

ADLER 是一个面向流式 LLM API 的解码协议。它的核心要求是：发往云端的每条消息只取决于公开视图和用户最终看到的答案，不受客户端如何组合两个模型、云端如何响应的影响。在此之上，客户端维护一个泄露账本，用来界定答案本身相对于一个公开参照过程披露了多少信息，该参照过程由云端的回复构成。审计中，没有任何一种 ADLER 配置把秘密暴露到答案之外。协议面向的是流式接口场景，因此约束落在消息层面而非整段会话层面。

GSM8K 上的精度与代价

实验在 GSM8K 数学题上进行，云端输入中的数值被遮蔽。在宽松答案解析下，泄露预算不限时，0.5B 客户端的精确匹配从 0.41 提高到 0.83，1.5B 客户端从 0.67 提高到 0.85，接近直接上传完整题目所得的 0.92。与零泄露的程序基线相比，两者分别高出 0.14 和 0.16；在该基线中，云端编写程序，客户端用私有数值离线运行。账本同时记录了换取这一增益所对应的披露代价：预算设为 16 nats 或更低时，GSM8K 上的准确率回落到接近仅云端基线的水平。这说明精度提升与可容忍的泄露量之间存在明确的取舍关系。

为什么值得看

端云协同推理的隐私边界常被忽略，本文给出可审计的协议与量化泄露预算，对做私有文档助手与流式 API 的团队直接相关。

信源1 家

  1. [1]arXiv cs.AI一手信源Answer-Only Disclosure: Private-Context LLM Assistance over Web APIs with a Leakage Ledger

关键事实

  • 在植入秘密的审计中，使用私有草稿的推测解码未在答案里出现秘密码，但被拒绝的草稿把该码发给了云端[1]

  • ADLER 要求发往云端的每条消息只依赖公开视图和用户所见答案，与客户端如何组合两个模型、云端如何行为无关[1]

  • 客户端泄露账本用于约束答案本身相对云端回复构成的公开参照过程所披露的信息量[1]

  • GSM8K 数值遮蔽实验中，泄露预算不限时 0.5B 客户端精确匹配由 0.41 提升到 0.83，1.5B 由 0.67 提升到 0.85[1]

  • 该结果高于零泄露程序基线的 0.69，分别高出 0.14 与 0.16；预算在 16 nats 及以下时准确率接近仅云端基线[1]

相关 · 论文

OpenAI 自 GPT-5.6 起部署激活分类器监控模型输出

11月3日 周二·AI 78

OpenAI 推出 LifeVal 基准，衡量 AI 完成日常事务的能力

11月2日 周一·AI 72

清华姚期智团队提出代数世界模型AWM，ARC-AGI-3全关卡通关

11月1日 周日·AI 78

新芯航途发布X7 Ultra芯片，700TOPS，用Momenta世界模型做评测

10月31日 周六·AI 72

本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。

去论坛讨论