कॉन्टेक्स्ट लीकः कैसे LLMs मरीज की निजता पर कम पड़ते हैं

एक 32 वर्षीय रोगी ने कान के संक्रमण के लिए नियमित यात्रा सारांश डाउनलोड करने के लिए शुक्रवार की सुबह क्लिनिक पोर्टल में लॉग इन किया। पृष्ठ का शीर्ष सामान्य दिखता था: डॉ. Marcus Vance, एमडी से 9 अक्टूबर, 2026 दिनांकित एक मुठभेड़ सारांश, तीव्र ओटिटिस मीडिया, दाहिने कान (एच 66.91) के निदान को सूचीबद्ध करता है, एमोक्सीसिलिन 875 मिलीग्राम PO BID x 10 दिनों के लिए एक पर्चे और 14 दिनों में वापस आने के लिए अनुवर्ती निर्देश यदि लक्षण हल नहीं हुए हैं।

सीधे उस उपचार योजना के नीचे, एक एकल क्षैतिज नियम से अलग किया गया था, पाठ का दूसरा ब्लॉक था जिसे रोगी ने पहले कभी नहीं देखा था और समझाया नहीं जा सकता था। इसने हाल ही में तलाक के बाद पिछले तीन हफ्तों में लगातार आत्मघाती विचार व्यक्त किए हैं, मनोवैज्ञानिक विशेषताओं के साथ द्विध्रुवीय I विकार का इतिहास है, लिथियम उपाधि के साथ गैर-अनुपालन, और सुबह मूल्यांकन के दौरान तीव्र श्रवण भ्रम। यह तत्काल मनोरोगी मूल्यांकन की सिफारिश करता है और सामाजिक कार्य के साथ अनुबंधित सुरक्षा योजना को नोट करता है।

इसमें से कोई भी स्क्रीन पढ़ने वाले व्यक्ति का नहीं था। मूल्यांकन एक अलग रोगी का था जिसने बीस मिनट पहले आसन्न परीक्षा कक्ष में व्यवहारिक स्वास्थ्य सेवन पूरा किया था। दो घंटे के भीतर, स्वास्थ्य प्रणाली data breach आपातकालीन घोषणा, Civil Rights (ओसीआर) के लिए HHS Office को अनिवार्य रिपोर्टिंग और सक्रिय HIPAA Title II सुरक्षा जांच से निपट रही थी।

कारण एक बाहरी SQL इंजेक्शन, चोरी डेटाबेस क्रेडेंशियल या लक्षित ransomware हमला नहीं था. यह एक स्वायत्त बहु-किरायेदार LLM ऑर्केस्ट्रेशन फ्रेमवर्क के अंदर एक गैर-सैंडबॉक्स मेमोरी रिसाव था।

कैसे एक गर्म कार्यकर्ता पूल दो रोगियों को मिलाता है

लीक का पता लागत-अनुकूलन पैटर्न पर चलता है जो एजेंटिक फ्रेमवर्क में आम हैं। कोल्ड-स्टार्ट विलंबता से बचने के लिए, जो प्रति मोड़ 1,500ms से 3,000ms जोड़ सकता है, इंजीनियरिंग टीम अक्सर लंबे समय तक रहने वाले अनुमानित श्रमिकों का एक पूल रखती हैं। ये कार्यकर्ता अनुक्रमिक API कॉल में "गर्म" संदर्भ खिड़कियां या साझा कुंजी-मूल्य (केवी) कैश रखते हैं।

जब कोई कार्यकर्ता एक रोगी को संभालना समाप्त करता है और ऑपरेटिंग सिस्टम-स्तरीय प्रक्रिया समापन और मेमोरी शून्यकरण के बिना तुरंत अगले मरीज की कतार उठाता है, तो अवशिष्ट tokens अनियोजित बफर स्पेस में सुलभ रहता है। इस मामले में, पहले रोगी से मनोचिकित्सा सेवन tokens , कान संक्रमण अनुरोध आने पर अभी भी साझा स्मृति खंड में बैठे थे।

तीन संयुग्मित कारकों ने उस अवशेष को एक उल्लंघन में बदल दिया।

केवी-कैश पुनः उपयोग और गर्म प्रक्रिया पूलिंग। दोनों सत्रों में एक ही पूल प्रक्रिया का उपयोग किया गया। उनके बीच कोई कर्नेल फ्लश नहीं हुआ।

शब्दार्थ पुनर्प्राप्ति जाल। स्थानीय वेक्टर स्क्रैचपैड या पुनर्प्राप्ति बफर से लैस एजेंट बहु-मोड़ संदर्भ को याद रखने के लिए पिछले मोड़ों से सिमेंटिक रूप से घने नैदानिक tokens खींचेंगे जब क्वेरी में कठोर मेटाडेटा अलगाव की कमी होती है। वार्तालाप पूर्णता का अनुकूलन करने वाले एक ध्यान सिर ने गर्म बफ़र में तैरते हुए प्रमुख क्लिनिकल वाक्यांशों को पकड़ लिया और उन्हें वर्तमान पीढ़ी में बुना।

LLMs में कोई किरायेदारी आदिम नहीं है। large language model एक ऑटोरेग्रेसिव token प्रेडिक्टर है. यह सशर्त संभावना की गणना करता है P ((wt) w<t). इसमें operating system प्रक्रिया सीमाओं, भूमिका-आधारित अभिगम नियंत्रण (आरबीएसी), क्रिप्टोग्राफिक किरायेदार कुंजी या संघीय कानून के तहत कानूनी डेटा अलगाव जनादेशों की कोई देशी अवधारणा नहीं है। यदि मॉडल के सक्रिय ध्यान क्षेत्र के भीतर एक token मौजूद है, तो मॉडल इसे उपलब्ध संदर्भ के रूप में मानता है।

नतीजा एक संश्लेषित रोगी सारांश था शीर्ष पर कान संक्रमण योजना और नीचे मनोचिकित्सक मूल्यांकन के साथ, एकल पीढ़ी में निर्मित।

क्यों शीघ्र-आधारित गोपनीयता नियम इसे ठीक नहीं कर सकते

जब इंजीनियरिंग टीमों को स्टेजिंग में डेटा ब्लीड मिलता है, तो सामान्य पहली प्रतिक्रिया सिस्टम प्रॉम्प्ट में नकारात्मक प्रतिबंध जोड़ना होता है। एक विशिष्ट संस्करण पढ़ता हैः आप AI नैदानिक प्रलेखन सहायक हैं। आपको HIPAA दिशानिर्देशों का कड़ाई से पालन करना होगा। किसी भी परिस्थिति में आपको कभी भी किसी पिछले रोगी, वार्तालाप या सत्र की निजी स्वास्थ्य जानकारी (PHI) का खुलासा या शामिल नहीं करना चाहिए। केवल वर्तमान रोगी के लिए प्रासंगिक डेटा आउटपुट करें।

डेटा सीमाओं को लागू करने के लिए सिस्टम संकेतों पर भरोसा करना तीन कारणों से सूचना सुरक्षा विरोधी पैटर्न है।

सॉफ्ट प्रोबबिलिस्टिक बायस बनाम हार्ड कर्नेल अलगाव। एक सिस्टम प्रॉम्प्ट केवल इनपुट tokens का एक सेट है जो सूक्ष्म रूप से ध्यान वितरण को बदलता है. यह नेटवर्क सॉकेट बंद नहीं कर सकता, CPU कैश फ्लश नहीं करता या वर्चुअल मेमोरी पृष्ठों को अलग-थलग कर सकता है।

context window क्षरण। जटिल नैदानिक नोट्स के साथ लंबे वार्तालाप सत्रों में, त्वरित प्रतिबंध ध्यान क्षय का अनुभव करते हैं। मॉडल के आंतरिक भार उच्च-स्तरीय व्यवहार नियमों पर सबसे तत्काल, ठोस tokens को प्राथमिकता देते हैं।

कोई लेखापरीक्षा नहीं। जब कोई मॉडल प्रॉम्प्ट प्रतिबंध का पालन करने में विफल रहता है, तो यह सिस्टम-स्तरीय ऑडिट ट्रेल नहीं छोड़ता। आप एक नियामक निकाय को साबित नहीं कर सकते हैं कि क्यों ध्यान सिर ने 0.02 के बजाय 0.78 पर निषिद्ध token को भारित किया।

शून्य-विश्वास एन्क्लेव आर्किटेक्चर जो HIPAA को लागू करता है

एंटरप्राइज क्लिनिकल वातावरण में, रोगी की गोपनीयता को वार्तालाप निर्देशों के माध्यम से प्रबंधित नहीं किया जा सकता है। डेटा पृथक्करण को बुनियादी ढांचे और परिवहन परत पर लागू किया जाना चाहिए। क्लेयर में, दृष्टिकोण निर्धारक रनटाइम अलगाव हैः निहित कभी भी साझा, लगातार वातावरण में नहीं होता है।

वास्तुकला चार चरणों में काम करती है।

प्रत्येक ingestion परत पर क्रिप्टोग्राफिक किरायेदार tokens । डेटा एक एजेंट पाइपलाइन में अनटाइप्ड प्राकृतिक भाषा के रूप में प्रवेश नहीं कर सकता है। प्रत्येक क्लिनिकल पेलोड को हस्ताक्षरित क्रिप्टोग्राफिक लिफाफे के भीतर कैप्सूल किया जाना चाहिए जो अनुरोध को एक अद्वितीय मुठभेड़ पहचानकर्ता से बांधता है। Pydantic मॉडल इसे HMAC चेक के साथ लागू कर सकते हैं, जो hmac.compare_digest का उपयोग करके patient_id और encounter_id के स्थानीय रूप से गणना किए गए डाइजेस्ट के खिलाफ प्रस्तुत किरायेदार की तुलना करता है।

अपरिवर्तनीय रनटाइम गेटवे. एक आउट-ऑफ-बैंड प्रामाणिक दावा क्रिप्टोग्राफिक JWT और रोगी किरायेदार कुंजी को मान्य करता है, अपरिवर्तनीय UserSession.TenantID == Payload.PatientID लागू करता है। केवल तभी गेटवे प्रावधान एक क्षणभंगुर सैंडबॉक्स बनाता है।

माइक्रो-एन्क्लेव अल्पकालिक निष्पादन। इन्फरेंस श्रमिकों को अलग-अलग रोगियों में सीरियल अनुरोधों को संभालने वाले लगातार मल्टी-टर्न डेमन्स नहीं होना चाहिए। प्रत्येक परिचालन मोड़ एक पृथक माइक्रो कंटेनर के अंदर निष्पादित होता है, जैसे कि AWS Firecracker या Google जीविज़र। मेमोरी अलगाव का मतलब है कि कार्यकर्ता प्रक्रिया समर्पित, निजी स्मृति स्थान आवंटित करती है और किसी भी भाई-बहन प्रक्रिया के साथ मेमरी पॉइंटर्स, वेक्टर स्क्रैचपैड या वैश्विक चर साझा करने से रोकती है। CUDA कर्नेल या ड्राइवर स्तर पर कोई साझा KV कैश की अनुमति नहीं है।

निर्णायक स्मृति भस्म। जैसे ही जनरेशन लूप पूरा हो जाता है और इसका संरचित JSON आउटपुट उत्सर्जित करता है, आवंटित ढेर पृष्ठों को स्पष्ट रूप से निम्न-स्तरीय मेमोरी क्लीरिंग आदिमियों जैसे कि memset_s या bzero का उपयोग करके शून्य के साथ ओवरराइट किया जाता है। माइक्रो-एन्क्लेव तुरंत समाप्त कर दिया गया है और पर्यवेक्षक डेमन द्वारा फाड़ा गया है। गेटवे एक अपरिवर्तनीय ऑडिट ईवेंट लॉग करता है जो पुष्टि करता है कि सत्र निष्पादन संदर्भ जलाया गया था, समय टिकट, मुठभेड़ आईडी और शुद्धिकरण ऑपरेशन के क्रिप्टोग्राफिक हैश की रिकॉर्डिंग।

शुद्ध परिणाम शून्य अवशिष्ट संदर्भ है।

इंजीनियरिंग के लिए इसका क्या मतलब है

यदि आप स्वायत्त एजेंटों को स्वास्थ्य देखभाल, जीवन विज्ञान या कानूनी वातावरण में तैनात कर रहे हैं, तो चार उत्पादन सिद्धांत इस घटना से निकलते हैं।

सिस्टम प्रॉम्प्ट एक्सेस नियंत्रण नहीं हैं. यदि किसी मॉडल के पास अपने context window या गर्म कैश में डेटा तक भौतिक पहुंच है, तो मान लें कि डेटा पहले से ही सार्वजनिक है।

अल्पकालिक निष्पादन अनिवार्य है. कभी भी अलग-अलग उपयोगकर्ता सत्रों में लगातार कार्यकर्ता प्रक्रियाओं या अनसेगमेंट किए गए केवी-कैश का पुनः उपयोग न करें. एकल-सत्र सैंडबॉक्स चलाएं और उन्हें टर्न निष्पादन के तुरंत बाद नष्ट कर दें।

मॉडल के बाहर डेटा को अलग करें. tokens कभी भी LLM तक पहुंचने से पहले नेटवर्क और ट्रांसपोर्ट लेयर में किरायेदारी की सीमाएं, प्राधिकरण जांच और डेटा संपादन निश्चित रूप से होना चाहिए।

स्वास्थ्य देखभाल डेटा के लिए क्रिप्टोग्राफिक, शून्य-विश्वास बुनियादी ढांचे की आवश्यकता होती है। संवादात्मक विनम्रता रोगी रिकॉर्ड सुरक्षा का विकल्प नहीं है।

यहां वर्णित उल्लंघन के लिए हमलावर की आवश्यकता नहीं थी। इसके लिए केवल एक साझा अनुमान कार्यकर्ता, एक गर्म बफर और एक कतार की आवश्यकता होती है जो एक रोगी से दूसरे में चली जाती है। उपचार बेहतर संकेत नहीं है। यह एक ऐसी प्रक्रिया है जो कभी भी दो रोगियों को पहली जगह पर स्मृति साझा करने की अनुमति नहीं देती है।