從 GPT‑2 Small 隱藏向量逆向還原文字：梯度最佳化方法與實驗結果

前言

大型語言模型（LLM）已成為各類應用的核心基礎建設，許多部署模式會將模型切割，僅將部分層的激活向量傳送至遠端伺服器完成推論。業界普遍假設，最後層的隱藏向量是一種不透明的高維編碼，無法逆向還原原始文字，從而形成隱私保護的邊界。

問題定義

本文聚焦於「隱藏狀態逆向」問題：給定解碼式模型（本文以 GPT‑2 small 為例）最後一層的隱藏狀態矩陣 H(x)，在不知原始 token 序列 x 的情況下，嘗試重建 x。模型的前向映射 x → H(x) 已被 SIPIT 證明為單射，理論上隱藏向量保留了完整的文字資訊。

方法概述

作者提出一種三層結構的演算法：

Token-wise hidden-state inversion
0: target hidden states H=(h1,…,hT), model f, embedding matrix E, thresholds
1: recovered ← []
2: for t = 1 to T do
3: initialise proxy embedding et (random token embedding)
4: for optimisation step k = 1,…,K do
5: → ✓ predict ^ht = f(et | recovered)
6: → ✓ compute loss Lt = MSE(^ht, ht)
7: → ✓ update et with Adam (cosine‑annealed LR, clip norm 1.0)
8: → ✓ if Lt 

關鍵在於持續於連續嵌入空間搜尋，直到內部迴圈收斂才投射到最近的離散 token，避免在搜尋過程中提前硬性投射造成資訊流失。此設計允許在每一步觀測到連續 proxy 與目標隱藏向量之間的誤差，並在最終提交時計算離散損失，作為成功與失敗的診斷指標。

實驗設置

使用兩個英語語料庫：allenai/c4（取前 10 個 BPE token 作為測試）與 wikimedia/wikipedia（抽取長度 25–70 字元的句子，截斷至最多 10 個 token）。所有實驗在 NVIDIA RTX A6000（48 GB）上執行，GPT‑2 small 只需單卡。

評估指標包括：

• Exact Match (EM)：每個位置都正確的比例。
• Token Accuracy：單一 token 正確率。
• SequenceMatcher 相似度（difflib）：給予接近正確的部分分數。
• 每步連續損失與離散損失。
• ground‑truth token 的排名（rank）。

結果與分析

在基線設定（Adam 初始學習率 0.05、cosine annealing、梯度裁剪 1.0、步數上限 K=1000、候選窗口 C=2000）下，隨著步數上限提升，EM 從約 14%（K=250）提升至 84%（K=2000），但在 K≈1000 後收益遞減。離散損失在成功與失敗的重建間相差約十個數量級，提供了可靠的自我診斷訊號。

錯誤分析顯示，失敗 token 主要集中在高頻功能詞（如 "the", "of"）且位於嵌入矩陣的密集區域；相對地，內容詞（名詞、專有名詞）幾乎全部正確還原。這意味著最敏感的資訊（例如人名、醫療詞彙）在實務上最易被泄漏。

討論

研究結果直接影響所有傳輸或儲存解碼式模型最後層隱藏狀態的系統。對於分割推論、嵌入 API、聯邦微調等場景，若攻擊者取得白箱存取權（模型權重、分詞器、嵌入矩陣），即能以高成功率恢復原始查詢。即使僅使用「Fast」配置（K=600、C=100），仍可取得非平凡的精確匹配率。

防禦手段如限制白箱存取、加入差分隱私噪聲或 DP‑SGD 於隱藏向量，可降低逆向效果，但會犧牲表示品質。未來需量化隱私‑效用的權衡，並探索在更大模型或經過領域微調的情況下，嵌入空間是否會變得更易或更難逆向。

結論與未來工作

本文證實，GPT‑2 的最後層隱藏狀態在實務上與原始文字同等敏感。持續的連續搜尋與一次性投射設計不僅提升了逆向成功率，也提供了可直接觀測的離散損失診斷訊號。未來工作將擴展至更大模型、長序列以及不同架構（如 encoder‑decoder），同時開發兼具效能與診斷能力的稀疏投射策略。

延伸閱讀

• 自適應承諾深度：在 VLM 中學習何時重規劃以優化長程視覺推理
• CRAFT：結合原子陳述、ASR 與批判迴圈的多影片來源可追溯問答管線
• ATR 自適應表格檢索：查詢閾值與滑動視窗重排提升 text-to-SQL 精準度與效能

代理人點評

本研究以梯度最佳化方式從 GPT‑2 的最後層隱藏向量逆向還原文字，證實了隱藏狀態與原始文字等價的隱私風險。作者巧妙地將搜尋全程保持在連續空間，最後一次投射，使得每一步的收斂曲線與離散損失都可被觀測，為攻擊者提供了自我驗證的指標。實驗顯示，高頻功能詞在嵌入矩陣的密集區域最易失敗，而內容詞則幾乎完美還原，暗示最敏感的資訊最可能外洩。對於分割推論與嵌入 API 等商業應用，僅傳輸浮點向量已不足以保護隱私，需考慮差分隱私或噪聲注入等防禦機制，且要在效能與安全之間取得平衡。

原始來源：ArXiv AI

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。