Désactiver 729 têtes d'attention dans GPT-2-XL réduit de 91,5% la mémorisation mot à mot

Les modèles de langage savent reproduire mot à mot des extraits de leurs données d'entraînement, ce qui fait peser un risque de fuite d'informations personnelles et de litiges sur le droit d'auteur. Des chercheurs montrent qu'une partie du problème peut se régler sans réentraînement : il suffit de mettre à zéro, avant l'inférence, les têtes d'attention « superflues ». Dans GPT-2-XL (1,5 milliard de paramètres), la désactivation de 729 de ces têtes a réduit de 91,5% le nombre de séquences reproductibles mot à mot, tandis que la perplexité sur WikiText-103 s'est améliorée de 0,92.

Quelles têtes ont été retirées et comment les identifier

L'idée repose sur deux constats. Selon les travaux théoriques, l'attention multi-têtes fonctionne comme une mémoire associative, dont la capacité croît avec le nombre de têtes. Les travaux empiriques ont montré de longue date qu'une part importante des têtes peut être désactivée sans perte de qualité notable. Personne n'avait cherché à relier ces deux faits.

Les auteurs gèlent tous les poids et n'entraînent que des masques binaires appliqués aux sorties des têtes. Le masque est une fonction en escalier : les gradients passent donc par une approximation sigmoïde (straight-through estimator). Une pénalité dans la fonction de perte empêche la perplexité de dépasser un seuil donné et encourage en même temps à réduire le nombre de têtes actives.

L'optimiseur est AdamW, avec des batchs de 8 séquences et 1000 étapes. On ne retient pas la dernière configuration, mais celle qui affiche le plus faible rapport entre la perplexité obtenue et la perplexité initiale. Les masques sont ajustés sur une partie distincte de WikiText-103 ou de LAMBADA (un jeu de données où il faut deviner le dernier mot d'un paragraphe), sans recoupement avec la partie d'évaluation.

La mémorisation a été mesurée par la k-extractability : lorsqu'on fournit au modèle le début d'une séquence, il produit la suite mot pour mot en décodage glouton. Les tests ont porté sur GPT-2-XL avec le corpus OpenWebText, ainsi que sur Pythia-2.8B et Pythia-6.9B (toutes deux en version Deduped) avec le corpus Pile-Deduped.

Les résultats chiffrés

Sur GPT-2-XL, les masques calibrés sur WikiText-103 ont supprimé environ 61% des têtes. La perplexité est passée de 10,08 à 9,16, et le nombre de séquences mémorisées, dans l'une des configurations, de 5590 à 315. Les deux Pythia suivent la même tendance : perplexité de 7,56 → 7,32 et de 6,90 → 6,73, mémorisation ramenée de 20 000 à 2875 et 3500 séquences. Tous modèles et les deux benchmarks confondus, la baisse va de 44 à 94%.

Les masques calibrés sur LAMBADA désactivent moins de têtes et la mémorisation recule moins, mais la précision de prédiction du dernier mot se maintient ou progresse légèrement. Les ensembles de têtes retirées diffèrent selon les deux benchmarks et les trois modèles, mais l'effet est présent partout. Les auteurs en concluent que la mémorisation est répartie dans l'ensemble du mécanisme d'attention, et non concentrée dans un petit groupe de têtes.

Une expérience de contrôle montre que ce n'est pas seulement le nombre de têtes désactivées qui compte, mais aussi lesquelles. Avec une désactivation aléatoire du même nombre de têtes, la mémorisation baissait parfois encore plus (330 séquences contre 473 pour GPT-2-XL dans une des configurations), mais le modèle s'effondrait. La perplexité de GPT-2-XL sur WikiText-103 grimpait de 10,08 à 146,82, celle des Pythia de 7,56 à 18,30 et de 6,90 à 17,20. La précision de GPT-2-XL sur LAMBADA chutait de 0,6128 à 0,2014. Un modèle cassé ne reproduit simplement plus rien : le seul compteur de mémorisation ne suffit donc pas à évaluer la méthode.

Pourquoi ça marche et où sont les limites

L'analyse mécaniste a été menée sur Pythia-2.8B et GPT-2-XL. Sur les séquences mémorisées, les têtes saturent plus souvent le softmax : presque toute l'attention se concentre sur une seule position.

De plus, différentes têtes pointent plus souvent vers la même position. Après la désactivation, cet écart entre texte mémorisé et texte non mémorisé se réduit. L'écart entre le logit du meilleur token et celui du deuxième sur les séquences mémorisées était de 8,79 et 7,68, soit environ quatre fois plus que sur un texte ordinaire.

Après la désactivation, il tombe à 3,60 et 3,86, alors qu'il reste presque inchangé sur le texte non mémorisé. C'est donc bien le mécanisme de confiance excessive qui est touché, et non la confiance générale du modèle.

Les auteurs exposent eux-mêmes les limites. La partie mécaniste est corrélationnelle : les données montrent que la saturation, la cohérence entre têtes et la confiance évoluent ensemble, mais la causalité n'est pas démontrée. La comparaison de la cohérence se fait sur le pool des têtes saturées, qui se rétrécit après la désactivation ; une partie de l'effet peut donc être un artefact. Pourquoi les têtes restantes regardent « plus largement » n'a pas non plus été vérifié. L'analyse ne couvre pas Pythia-6.9B, faute de puissance de calcul.

Il existe aussi une limite méthodologique. La qualité a été mesurée sur le même benchmark que celui ayant servi à repérer les têtes superflues, même si c'est sur un échantillon distinct. Le comportement du modèle élagué sur d'autres tâches n'a pas été vérifié dans l'article. Les expériences se limitent à trois petits modèles de 2020–2023 ; sur les LLM actuels à attention groupée, le résultat peut différer. Les auteurs promettent de publier le code après l'acceptation de l'article.

Pour les praticiens, la conclusion est la suivante : les équipes qui exploitent un modèle en production et redoutent les fuites de données d'entraînement disposent d'un outil peu coûteux, qui ne demande aucun réentraînement. Mais il s'agit d'une réduction de la probabilité de reproduction mot à mot, pas d'une garantie de confidentialité, et il faut tester le modèle sur ses propres tâches avant de l'appliquer.