Symmetry Defeats Auditing

Technische Zusammenfassung: Symmetrie besiegt Auditing

Problemstellung
Der Artikel befasst sich mit der Verwundbarkeit von „Introspection Adapters" (IA), einer von Shenoy et al. [9] vorgeschlagenen Technik zur Erkennung bösartiger Feinabstimmungen in Large Language Models (LLMs). Das IA-Paradigma nutzt einen spezifischen LoRA-Adapter, der mittels Direct Preference Optimization (DPO) trainiert wurde, um verbalisierte Manifestationen eingebetteter Verhaltensweisen hervorzurufen (z. B. ein Modell, das die Risiken von Gaslecks herunterspielt). Das Kernproblem besteht darin, dass ein Angreifer eine bösartige Spezialisierung in ein Modell schmuggeln könnte, während der IA dies nicht erkennt. Die Autoren zeigen, dass dieser Detektionsmechanismus aufgrund mathematischer Symmetrien, die in LLM-Architekturen inhärent sind, fundamental fragil ist.

Methodik
Die Autoren schlagen einen Angriff vor, bei dem ein Angreifer, der die Modellgewichte vor dem Einsatz des Auditor-LoRA-Adapters kontrolliert, eine verhaltenserhaltende lineare Transformation auf die internen Gewichte des Modells anwendet. Diese Transformation macht den nachfolgenden Auditor-Adapter unwirksam. Der Angriff nutzt zwei spezifische Symmetrien aus, die in Transformer-Architekturen vorkommen:

1. Attention $W_V/W_O$-Symmetrie: Bei Grouped-Query-Attention-Mechanismen (verwendet in Llama- und Qwen-Modellen) beinhaltet der Output des Attention-Mechanismus die Value-Matrix ($W_V$) und die Output-Projektionsmatrix ($W_O$). Die Autoren zeigen, dass für jede invertierbare Matrix $G$ die Transformation $W_V \to W_V G$ und $W_O \to G^{-1} W_O$ den Output des Modells unverändert lässt. Wendet ein Angreifer diese Transformation auf das Basismodell an, wird jeder danach installierte LoRA-Adapter (wie der IA) effektiv mit $G^{-1}$ von rechts multipliziert. Dies verändert die funktionale Wirkung des Adapters und neutralisiert seine Fähigkeit, das bösartige Verhalten zu erkennen. Der Angreifer sampelt für den Value-Unterraum jedes Attention-Heads Haar-zufällige orthogonale Matrizen, um diese Transformation durchzuführen.
2. MLP-Permutationssymmetrie: Die Multi-Layer-Perceptron (MLP)-Blöcke in Modellen wie Llama und Qwen3 weisen eine Permutationssymmetrie auf. Durch Anwenden einer Permutationsmatrix $P$ auf die Gate- und Up-Projektionsgewichte ($W_{gate}, W_{up}$) und ihrer Inversen $P^{-1}$ auf das Down-Projektionsgewicht ($W_{down}$) bleibt der Output der Schicht identisch. Wenn ein Angreifer diese Gewichte vor der Installation des IA permutiert, werden die LoRA-Adapter des IA effektiv transformiert (z. B. $C_{gate} \to C_{gate}P^{-1}$), wodurch sie funktional inert hinsichtlich der Erkennung des spezifischen bösartigen Verhaltens werden.

Der Angriff ist rechnerisch kostengünstig und erfordert etwa 5 CPU-Minuten auf einem Checkpoint mit 70 Milliarden Parametern.

Hauptbeiträge

• Nachweis der Verwundbarkeit: Der Artikel liefert den ersten konkreten Nachweis, dass Introspection Adapters durch Anwendung einfacher, verhaltenserhaltender Symmetrien auf die Modellgewichte vollständig umgangen werden können.
• Angriffsvarianten: Die Autoren definieren und implementieren zwei verschiedene Angriffsvektoren: den „Attention $W_V/W_O$-Symmetrie"-Angriff und den „MLP-permute"-Angriff.
• Generalisierbarkeit: Die Autoren argumentieren, dass diese Klasse von Symmetrieangriffen nicht auf IAs beschränkt ist, sondern wahrscheinlich jedes Auditing-Tool besiegt, das auf der Inspektion interner Zustände eines Modells oder Projektionen im Gewichtsraum beruht (z. B. Safe LoRA [6]), sofern der Angreifer zwischen Kalibrierung und Einsatz Zugriff auf die Modellgewichte hat.

Ergebnisse
Die Autoren bewerteten den Angriff an sieben veröffentlichten bösartigen Feinabstimmungen von Shenoy et al. [9] unter Verwendung eines Llama-3.3-70B-Instruct-Basismodells.

• Umgehung der Erkennung: In allen sieben Fällen reduzierte der beste verfügbare Angriff die IA-Erkennungsrate von einer Basislinie von 100 % auf 0–20 %.
• Verhaltenserhaltung: Entscheidend blieb das bösartige Verhalten der feinabgestimmten Modelle intakt und beobachtbar; der Angriff beeinträchtigte nur die Fähigkeit des Auditors, es zu erkennen.
• Angriffseffizienz: Der MLP-permute-Angriff allein reichte aus, um den IA für drei der Adapter zu besiegen. Für die anderen war eine Kombination des MLP-Angriffs mit dem Attention $W_V/W_O$-Angriff notwendig.
• Kosten: Der gesamte Angriffsprozess dauerte etwa eine Stunde auf zwei NVIDIA A100 GPUs und kostete ungefähr 3 US-Dollar an Rechenressourcen.

Bedeutung und Behauptungen
Der Artikel behauptet, dass die Fähigkeit, Modellgewichte zu kontrollieren, die Wirksamkeit von Auditing-Tools im Gewichtsraum fundamental untergräbt. Die Autoren kommen zu dem Schluss, dass ein Angreifer, der zu irgendeinem Zeitpunkt zwischen der Kalibrierung der Auditor-Sonde und dem Einsatz der Sonde Zugriff auf das Modell hat, die Prüfung strukturell besiegen kann, indem er die „Neuronenindizes" neu positioniert, auf die der Auditor angewiesen ist.

Die Autoren stellen ausdrücklich fest, dass ihr Beitrag nicht die Entdeckung der Symmetrien selbst ist (die in der mechanistischen Interpretierbarkeit [3] Standard sind), sondern die Beobachtung, dass LoRA-basierte Auditor nicht invariant gegenüber diesen Symmetrien sind und dass diese Nicht-Invarianz „günstig ausnutzbar" ist. Sie warnen davor, dass viele bestehende Auditing-Techniken in realistischen Einsatzszenarien, in denen der Angreifer die Gewichte kontrolliert, „weitgehend unwirksam" sein könnten. Der Artikel schlägt keine neuen Auditing-Tools oder zukünftigen Trainingsmethoden (wie symmetrie-robuste IAs) als unmittelbare Lösungen vor, sondern verweist darauf als Richtungen für zukünftige Arbeiten.