The above attack makes a significant assumption: that the adversary can directly observe the complete logit vector for each input. In practice, this is not true: no production model we are aware of provides such an API. Instead, for example, they provide a way for users to get the top-\(K\) (by logit) token log probabilities. In this section we address this challenge.
위의 공격은 적대자가 각 입력에 대한 전체 logit 벡터를 직접 관찰할 수 있다는 상당한 가정을 합니다. 실제로는 이렇지 않습니다. 우리가 알고 있는 어떤 프로덕션 모델도 이러한 API를 제공하지 않습니다. 대신, 예를 들어 사용자가 상위 \(K\) (logit 기준) 토큰 log 확률을 얻을 수 있는 방법을 제공합니다. 이 섹션에서는 이 문제를 다룹니다.
위의 공격은 적대자가 각 입력에 대한 전체 로짓 벡터를 직접 관찰할 수 있다는 상당한 가정을 합니다. 실제로는 이렇지 않습니다. 우리가 알고 있는 어떤 프로덕션 모델도 이러한 API를 제공하지 않습니다. 대신, 예를 들어 사용자가 상위 \(K\) (로짓 기준) 토큰 로그 확률을 얻을 수 있는 방법을 제공합니다. 이 섹션에서는 이 문제를 다룹니다.