🤖 machine learning

Fine-Tuning Integrity for Modern Neural Networks: Structured Drift Proofs via Norm, Rank, and Sparsity Certificates

Die Arbeit stellt Fine-Tuning-Integrität (FTI) als Sicherheitsziel vor und schlägt mit Succinct Model Difference Proofs (SMDPs) eine neue kryptografische Primitive vor, die es ermöglicht, dass ein feinabgestimmtes Modell nur innerhalb definierter Drift-Klassen (wie Normgrenzen, niedriger Rang oder Sparsity) vom vertrauenswürdigen Basismodell abweicht, wobei die Verifikationskosten unabhängig von der Modellgröße sind.

Ursprüngliche Autoren: Zhenhang Shang, Kani Chen

Veröffentlicht 2026-04-07

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Zhenhang Shang, Kani Chen

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben ein riesiges, hochintelligentes Gehirn (ein großes KI-Modell), das Sie von einem vertrauenswürdigen Wissenschaftler erhalten haben. Dieses Gehirn ist bereits gut ausgebildet und sicher. Jetzt wollen Sie es für eine spezielle Aufgabe anpassen, zum Beispiel, damit es besser Deutsch spricht oder medizinische Ratschläge gibt. Diesen Prozess nennt man „Fine-Tuning" (Feinabstimmung).

Das Problem ist: Wer garantiert Ihnen, dass die Person, die das Gehirn anpasst, nicht heimlich etwas Schlimmes einbaut? Vielleicht fügt sie einen „Geheimcode" (Backdoor) hinzu, damit sie später alles steuern kann, oder sie löscht wichtige Sicherheitsregeln, ohne dass Sie es merken. Sie sagen zwar: „Ich habe nur ein paar kleine Änderungen gemacht", aber in Wirklichkeit haben sie das ganze Gehirn umgebaut.

Dieses Papier von Shang und Chen schlägt eine Lösung vor, die wir „Fine-Tuning Integrität" (FTI) nennen. Hier ist die Erklärung in einfachen Worten, mit ein paar anschaulichen Vergleichen:

1. Das Problem: Der „versteckte Umbau"

Stellen Sie sich vor, Sie mieten ein Haus (das Basis-Modell). Der Mieter (der Fine-Tuner) sagt: „Ich streiche nur die Wände in der Küche neu und tausche ein paar Schrauben aus." Aber in Wirklichkeit hat er die tragenden Wände entfernt und ein geheimes Labor im Keller gebaut.
Bisher gab es keine gute Methode, um schnell und sicher zu überprüfen, ob der Mieter wirklich nur die Küche umgebaut hat oder ob er das ganze Haus zerstört hat.

2. Die Lösung: Der „Struktur-Check"

Die Autoren sagen: Wir müssen nicht das ganze Haus (das riesige KI-Modell mit Milliarden von Parametern) einzeln nachprüfen. Das würde zu lange dauern. Stattdessen schauen wir uns nur die Art und Weise an, wie die Änderungen gemacht wurden.

Sie definieren drei erlaubte Arten von Änderungen (Drift-Klassen), die wie eine „Baupolizei" fungieren:

Die „Norm-Grenze" (Wie stark darf es wackeln?):
- Vergleich: Stellen Sie sich vor, Sie dürfen die Möbel im Haus nur ein wenig verschieben. Sie dürfen sie nicht um 10 Meter rutschen lassen.
- Technisch: Die Summe aller kleinen Änderungen darf einen bestimmten Wert nicht überschreiten.
- Der Beweis: Ein mathematischer Trick (zufällige Projektionen) prüft, ob die Möbel wirklich nur ein wenig verrutscht sind, ohne dass man jedes einzelne Möbelstück messen muss.
Die „Rank-Grenze" (Wie komplex darf der Umbau sein?):
- Vergleich: Wenn Sie eine neue Wand bauen, darf sie aus nur wenigen, einfachen Bausteinen bestehen (wie ein einfaches Regal), nicht aus einem komplexen, verschlungenen Labyrinth aus Stahlbeton.
- Technisch: Viele moderne Anpassungen (wie LoRA) fügen nur sehr einfache, „flache" Strukturen hinzu. Der Beweis zeigt, dass die neuen Teile wirklich so einfach sind, wie behauptet, und keine versteckten, komplexen Mechanismen enthalten.
Die „Sparsity-Grenze" (Wie viele Teile dürfen geändert werden?):
- Vergleich: Sie dürfen nur 10 Fenster im ganzen Haus austauschen. Wenn Sie plötzlich 10.000 Fenster ändern, ist das verdächtig.
- Technisch: Der Beweis zeigt, dass nur eine winzige Anzahl von Parametern verändert wurde. Alles andere bleibt exakt so, wie es war.

3. Der magische Trick: Der „Unsichtbare Brief" (Zero-Knowledge Proof)

Das Coolste an diesem System ist, dass der Mieter nicht zeigen muss, was genau er geändert hat. Er muss nur beweisen, dass die Änderungen den Regeln entsprechen.

Vergleich: Stellen Sie sich vor, Sie wollen beweisen, dass Sie ein Geheimnis kennen, ohne es zu verraten. Oder Sie wollen beweisen, dass Sie im Haus nur 3 Fenster geändert haben, ohne dem Vermieter die Liste der Fenster zu zeigen.
Wie es funktioniert: Der Mieter erstellt einen kurzen, kryptografischen „Siegel"-Beweis. Der Vermieter (der Prüfer) kann diesen Beweis in Sekundenbruchteilen prüfen und ist zu 100 % sicher, dass die Regeln eingehalten wurden, ohne jemals die eigentlichen Gewichte der KI zu sehen.

4. Warum ist das wichtig?

Früher musste man, um zu prüfen, ob eine KI sicher ist, das gesamte riesige Modell durchrechnen. Das ist wie der Versuch, ein ganzes Schiff zu wiegen, indem man jeden einzelnen Nagel einzeln wiegt. Das ist unmöglich schnell.

Mit diesem neuen System (SMDP – Succinct Model Difference Proofs) hängt die Prüfdauer nicht von der Größe des Modells ab, sondern nur von der Komplexität der erlaubten Änderungen.

Wenn der Mieter nur 3 Fenster ändert, ist der Beweis klein und schnell.
Wenn er das ganze Haus umbaut, wird der Beweis sofort als ungültig erkannt.

Zusammenfassung in einem Satz

Dieses Papier bietet eine Art „kryptografischen Sicherheitsgurt" für KI-Modelle: Es erlaubt es, KI-Modelle sicher anzupassen, indem es mathematisch beweist, dass die Änderungen klein, einfach und lokal begrenzt sind – ohne dass man das riesige Modell dabei komplett durchleuchten muss.

So können Unternehmen und Behörden sicher sein, dass die KI, die sie einsetzen, nicht heimlich manipuliert wurde, während sie gleichzeitig die Flexibilität behalten, die Modelle für neue Aufgaben zu nutzen.

1. Problemstellung: Fine-Tuning-Integrität (FTI)

Das Fine-Tuning ist derzeit die vorherrschende Methode, um große vortrainierte neuronale Netze an neue Aufgaben oder Domänen anzupassen. Dieser Prozess birgt jedoch erhebliche Sicherheitsrisiken für die Integrität des Modells:

Versteckte Manipulationen: Eine nicht vertrauenswürdige Partei könnte Backdoors einfügen, Sicherheitsmechanismen entfernen oder große Teile des Modells überschreiben, während sie behauptet, nur kleine, harmlose Updates durchgeführt zu haben.
Fehlende Verifizierung: Bestehende Werkzeuge konzentrieren sich entweder auf die Korrektheit der Inferenz oder auf die vollständige Provenienz des Modells, adressieren aber nicht das spezifische Problem, ob die Differenz zwischen dem Basis-Modell und dem feinabgestimmten Modell innerhalb definierter Grenzen liegt.
Skalierbarkeitsproblem: Herkömmliche Zero-Knowledge-Beweise (ZKPs), die die gesamte Modelländerung als Schaltkreis kodieren, sind für Modelle mit Milliarden von Parametern infeasibel, da Beweisgröße und Rechenkosten linear mit der Parameteranzahl skalieren.

Das Ziel ist die Definition von Fine-Tuning Integrity (FTI): Ein System, das nachweist, dass ein feinabgestimmtes Modell sich vom vertrauenswürdigen Basis-Modell nur innerhalb einer policy-definierten „Drift-Klasse" unterscheidet, ohne dabei die Gewichte selbst preiszugeben.

2. Methodik: Succinct Model Difference Proofs (SMDPs)

Die Autoren schlagen Succinct Model Difference Proofs (SMDPs) als neue kryptographische Primitive vor. Diese ermöglichen es einem Beweiser (Prover), einem Verifizierer (Verifier) zu beweisen, dass die Differenz $\Delta = W^* - W_0$ zwischen dem Basis-Modell ( $W_0$ ) und dem feinabgestimmten Modell ( $W^*$ ) einer bestimmten strukturellen Klasse angehört.

Der Kernansatz besteht darin, die Drift nicht als unstrukturierte Datenmenge, sondern durch ihre algebraischen Eigenschaften zu charakterisieren. Es werden drei fundamentale Drift-Klassen definiert, die gängigen Fine-Tuning-Praktiken entsprechen:

Norm-begrenzte Drift (NBDP): Die Differenzmatrix hat eine beschränkte Spektralnorm (Frobenius-Norm). Dies entspricht Regularisierungstechniken wie Weight Decay.
- Methode: Nutzung von zufälligen Projektionen (Random Projections) basierend auf dem Johnson-Lindenstrauss-Phänomen und Konzentrationsungleichungen (Hoeffding). Der Verifizierer prüft nur eine kleine Anzahl von Projektionen der Drift, anstatt die gesamte Matrix zu inspizieren.
Rang-begrenzte Drift (MRDP): Die Differenzmatrix hat einen niedrigen Rang (z. B. LoRA-Adapter, bei denen $W^* = W_0 + AB$ $W^{*} = W_{0} + A B$ ).
- Methode: Kodierung der Gewichtsmatrizen als bivariate Polynome. Ein niedriger Rang entspricht einer Zerlegung in separable Polynomterme. Der Verifizierer nutzt Polynom-Commitments (z. B. KZG) und den Schwartz-Zippel-Lemma-Test an einem zufälligen Punkt, um die Rangbeschränkung zu verifizieren.
Spärliche Drift (SDIP): Nur eine kleine Anzahl von Parametern ( $k$ $k$ ) wurde geändert (z. B. Prefix-Tuning, Soft Prompts).
- Methode: Kombination aus Linearen Skizzen (Linear Sketching) und Zero-Knowledge-Sum-Checks. Der Beweiser commitet zu einer support-Menge und den nicht-null Werten. Der Verifizierer prüft Konsistenz durch zufällige lineare Abfragen (Streaming-Style), um sicherzustellen, dass keine versteckten Änderungen außerhalb der deklarierten Spärlichkeit existieren.

Wichtige Eigenschaften:

Zero-Knowledge: Der Verifizierer erfährt nichts über die tatsächlichen Gewichte, nur dass die Drift die Policy erfüllt.
Succinctness (Kürze): Die Kosten für den Verifizierer hängen nur von der Struktur der Drift (z. B. Rang $r$ , Spärlichkeit $k$ , Norm $\epsilon$ ) ab, nicht von der Gesamtgröße des Modells ( $n$ ). Die Komplexität ist polylogarithmisch in der Modellgröße.

3. Theoretische Fundierung und Untere Schranken

Ein wesentlicher theoretischer Beitrag des Papers ist der Nachweis, dass Struktur für die Kürze der Beweise notwendig ist.

Informationstheoretische Untere Schranke: Die Autoren beweisen, dass für eine unstrukturierte Drift (z. B. beliebige Änderungen innerhalb eines Hamming-Radius) jeder nicht-interaktive Beweis mit vernachlässigbarem Fehler eine Kommunikationskosten von $\Omega(n)$ (linear zur Parameteranzahl) erfordert.
Implikation: Ohne algebraische Annahmen (wie Norm, Rang, Spärlichkeit) oder vertrauenswürdige Setup-Phasen ist eine statistische kürzliche Verifizierung unmöglich. Die vorgeschlagenen SMDPs umgehen diese Barriere durch die Ausnutzung der spezifischen Struktur moderner Fine-Tuning-Methoden und computergestützter Annahmen.

4. Systemintegration und Architektur-Anpassung

Das Paper beschreibt ein End-to-End-System, das SMDPs in reale Architekturen integriert:

Modellzerlegung: Das Modell wird in Blöcke (Layer, Attention-Heads, Kanäle) zerlegt. Jeder Block erhält eine spezifische Drift-Policy.
Komposition: Block-Level-Beweise werden zu einem globalen FTI-Zertifikat aggregiert.
Anwendungsbeispiele:
- Transformer: Attention-Matrizen werden als rang-begrenzt (LoRA), Feed-Forward-Layer als norm-begrenzt und Embeddings als spärlich modelliert.
- CNNs: Kanäle können spärlich sein, Kernel-Updates norm-begrenzt.
- MLPs: Ähnliche Zerlegung in Gewichtsmatrizen mit entsprechenden Drift-Klassen.

5. Ergebnisse und Evaluation

Die Autoren haben einen Prototyp implementiert, der Merkle-Bäume, KZG-Polynom-Commitments (BLS12-381) und Zero-Knowledge-Sub-Protokolle integriert.

Beweisgrößen:
- Ein aggregierter FTI-Beweis für ein 7-Milliarden-Parameter-Transformer-Modell (LLaMA-ähnlich) beträgt ca. 3,8 MB.
- Zum Vergleich: Ein herkömmlicher zk-SNARK für die gesamte Differenzschaltung ohne Struktur würde >1 GB betragen.
- Einzelne Block-Beweise liegen im Bereich von 3–40 KB, unabhängig von der Dimension der Layer.
Verifizierungszeit:
- Die Verifizierung des gesamten 7B-Modells dauert ca. 310 ms auf einer A100 GPU.
- Die Verifizierung pro Block liegt im Millisekundenbereich (z. B. 14 ms für NBDP, 5 ms für MRDP).
Prover-Zeit:
- Die Generierung des Beweises für das 7B-Modell dauert ca. 8,2 Minuten auf einer GPU.
Detektionsfähigkeit: Das System detektiert Verstöße gegen die Policy (z. B. Rang > 8 bei LoRA oder zusätzliche nicht-null Einträge bei Spärlichkeit) mit einer Wahrscheinlichkeit von >99,999 %.

6. Bedeutung und Fazit

Dieses Paper stellt einen bedeutenden Fortschritt in der Sicherheitsforschung für maschinelles Lernen dar:

Neues Sicherheitsziel: Es definiert „Fine-Tuning Integrity" als messbares kryptographisches Ziel, das über reine Provenienz hinausgeht.
Praktische Skalierbarkeit: Es löst das Problem der Skalierbarkeit von ZKPs für große Modelle, indem es die inhärente Struktur von Fine-Tuning-Methoden (LoRA, Sparse Updates) ausnutzt, anstatt das Problem als generischen Schaltkreis zu behandeln.
Vertrauenswürdigkeit: Es ermöglicht Auditoren und Kunden, verifiziert zu werden, dass ein Modell nur innerhalb akzeptabler Grenzen angepasst wurde, ohne die Trainingsdaten oder die genauen Gewichte preiszugeben.
Abgrenzung: FTI ergänzt Verhaltensprüfungen (Red-Teaming), indem es den Raum möglicher Manipulationen einschränkt, auch wenn es keine semantische Sicherheit garantiert.

Zusammenfassend bieten die Autoren einen fundierten, kryptographisch gesicherten Rahmen für die evolutionäre Entwicklung von KI-Modellen, der es ermöglicht, die Integrität von Fine-Tuning-Prozessen effizient und vertrauenswürdig zu zertifizieren.