Rampart, kişisel verileri yapay zekâ sohbet botlarına ulaşmadan önce sansürleyen 14,7 MB'lık açık kaynak tarayıcı filtresi

Sohbet botu prompt'ları için cihaz üzerinde çalışan filtre

NDS adlı bir ekip, bir mesaj yapay zekâ sohbet botuna gönderilmeden önce kişisel bilgileri tarayıcı içinde sansürleyen açık kaynaklı bir sistem olan Rampart'ı yayınladı. ndstudio.gov adresinde, yani bir .gov adresinde yapılan duyuruya göre her şey kullanıcının kendi makinesinde çalışıyor: araç, bir mesaj yazılması ile gönderilmesi arasındaki boşlukta metni inceliyor ve süreç boyunca hiçbir sunucu devrede olmuyor.

Bu yaklaşım, çoğu sohbet botu kullanıcısının düşünmeden edindiği bir alışkanlığa cevap veriyor. Bir e-postayı düzenleme isteği adınızı ve bir çalışma arkadaşınızın adını taşır; bir tıbbi fatura hakkındaki soru bir adresi ve hesap numarasını içerir. Gönderildiği anda bu metin, gönderenin denetleyemeyeceği bir altyapıya yolculuk eder. Ekip açıkladığı tasarım prensibine göre, hakkında gerçekten emin olabileceğiniz tek veri, cihazdan asla çıkmayan veridir.

Sansürleme nasıl çalışıyor

Rampart iki dedektörü birleştiriyor. İlki deterministik: gerçek doğrulama kontrolleriyle desteklenmiş düzenli ifadeler, Sosyal Güvenlik numaraları, kredi kartları, telefon numaraları, banka routing ve hesap numaraları, e-posta adresleri, IP adresleri ve resmî kimlikler gibi yapılandırılmış tanımlayıcıları yakalar. İkincisi, regex'lerin sayamayacağı kategorileri — kişilerin adlarını ve sokak adreslerini — cümle bağlamında değerlendirerek ele alan kompakt bir dil modeli olan MiniLM.

Bildirilen ayak izi küçük: tokenizer dahil tüm pipeline 14,7 MB ve medyan tarayıcı içi gecikme WebGPU'da 3,9 ms.

Duyurudaki örnek, bir ad ve bir Sosyal Güvenlik numarası içeren cümlenin [GIVEN_NAME], [SURNAME] ve [SSN] gibi etiketli yer tutucularla yeniden yazıldığını, bir maaş rakamı gibi kişisel olmayan ayrıntıların ise dokunulmadan geçtiğini gösteriyor. Tarayıcı, kaldırılan değerleri geçici olarak cihazda tutuyor, böylece yer tutucular sonradan geri doldurulabiliyor.

Kendi bildirdikleri benchmark'lar

Model, AI4Privacy'nin OpenPII 1.5M veri seti ve 17 varlık türünü dağınık, sohbet tarzı örneklerle pekiştiren sentetik bir üreteçle eğitildi. Yedi Latin alfabesi dilini kapsayan 30.000 satırlık ayrılmış bir OpenPII dilimi üzerinde, gönderilen pipeline ile uçtan uca puanlandı ve şu kişisel terim geri çağırma (recall) sonuçları açıklandı:

• Rampart (kurallar artı model, 14,7 MB): %98,42
• GLiNER small v2.1 (model, yaklaşık 600 MB): %94,2
• Topluluk tarafından geliştirilmiş bir BERT-small PII modeli (yaklaşık 29 MB): %81,5
• Microsoft Presidio (kurallar artı model, yaklaşık 13 MB): %65
• AWS Bedrock Guardrails (bulut modeli): %63,8

Bunlar projenin kendi rakamları ve bağımsız olarak doğrulanmış değil. Duyuru ayrıca yalnızca recall değerini bildiriyor; giden metni yeniden yazan bir araç için önemli olan precision ya da yanlış pozitif oranlarına yer vermiyor.

Neden yerel ve küçük boyut önemli

Duyuru, mevcut PII giderme yaklaşımlarına dair iki sıkıntıyı ortaya koyuyor. Birincisi, uzak yapay zekâ servislerinden gelen gizlilik iddiaları fiilen doğrulanamaz nitelikte: yeni dağıtılan bir runtime hassas girdileri kaydetmeye başlayabilir ve servisler içeriden gelen tehditler ile sıfırıncı gün riski taşır. İkincisi, yetenekli PII modelleri genellikle büyük oluyor. Yazıda, OpenAI'nin Privacy Filter'ına yaklaşık 2,8 GB olarak atıf yapılıyor; bu boyutun görece zayıf bir 10 Mbps bağlantıda indirilmesinin yaklaşık 38 dakika süreceği tahmin ediliyor. 15 MB'ın altındaki bir model, böyle bir filtrenin gerçekte nerede yaşayabileceğini değiştiriyor — yani bir tarayıcı sekmesinin içinde.

Mevcut sınırlamalar

Rampart açıkça bir alfa ve ekip onu, yapay zekâ sohbetindeki kişisel bilgi yönetimi için eksiksiz bir strateji olarak değil, ilk bir koruma olarak konumlandırıyor. Yedi dili destekliyor, hepsi Latin alfabesiyle yazılan: İngilizce, İspanyolca, Fransızca, Almanca, İtalyanca, Portekizce ve Felemenkçe. Model Hugging Face'te mevcut, entegrasyon için bir npm kütüphanesi sunuluyor ve ekip metodolojiyi anlatan bir beyaz kâğıt yayınladı.

Neden önemli

Rampart'ın en ilginç hamlesi algoritmik değil, mimari. Gizlilik sınırını bir satıcının politikasından kullanıcının kendi donanımına taşıyor ve kod açık kaynak olduğu için bu iddiaya körü körüne inanmak yerine incelenebiliyor. Boyut ve gecikme rakamları, cihaz üzerindeki ML tabanlı sansürlemenin ağır bir indirme değil, sohbet arayüzlerinin varsayılan bir parçası olacak kadar ucuzladığına işaret ediyor. Gerçek uyarılar hâlâ mevcut — tek kaynaklı, yalnızca recall içeren benchmark'lar ve alfa durumu bunlardan bazıları — ama sohbet botları günlük bilgisayar kullanımının daha fazlasını içine çektikçe, kişisel verileri göndermeden önce ayıklamak temel bir hijyen kuralı olmaya hazırlanıyor.