Uma avaliação de privacidade de texto desidentificado pode pedir a um modelo de linguagem, tratado como adversário, que tente adivinhar um atributo protegido de uma pessoa. Segundo o artigo “Residual Attribute Leakage Is an Interface”, as conclusões desse teste dependem também de como a avaliação é configurada — e não apenas do texto examinado.
Os autores propõem uma pontuação de vazamento que normaliza pelo prior e limita o ganho de confiança do modelo no valor verdadeiro do atributo. O artigo considera elementos da interface de avaliação como a pessoa consultada, as opções de resposta, o prior, o modelo adversário e a regra de pontuação. Os pesquisadores variam escolhas desse tipo em versões fixas de três corpora.
Um editor com posições diferentes
Em um teste de estresse, os autores avaliam um editor que substitui, nos mesmos trechos que seriam removidos por um editor de redação, a forma de um sexo pela forma do sexo oposto. Segundo o artigo, essa alteração engana o adversário sobre a maioria das pessoas. Ainda assim, nas mesmas entradas do MedQA, o editor fica em primeiro lugar entre os avaliados quando a privacidade é interpretada a partir da pontuação proposta. O artigo relata a mesma posição quando se usam a acurácia de ataque e regras de pontuação própria interpretadas como medidas de privacidade.
