🤖 machine learning

On the Vulnerability of Parameter-Level Defenses to Model Merging

Diese Arbeit legt eine kritische Schwachstelle in Abwehrmechanismen auf Parameterebene gegen Model Merging offen, bei denen die geschützten Task-Vektoren zu klein sind, um das vortrainierte Modell zu maskieren, was einen neuen Anchor-Guided Attack (AGA) ermöglicht, der bestehende Schutzmaßnahmen umgeht, während gleichzeitig Anchor-Repulsive Fine-tuning (ARF) als effektive Gegenmaßnahme vorgeschlagen wird.

Ursprüngliche Autoren: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Veröffentlicht 2026-06-30

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Das „Model Merging“-Problem

Stellen Sie sich vor, Sie haben einen Meisterkoch (das Vortrainierte Modell), der alles kochen kann. Sie stellen diesen Koch ein, damit er sich auf nur eine Sache spezialisiert, zum Beispiel das perfekte Pizza backen. Sie geben ihm ein paar zusätzliche Zutaten und Anweisungen, und er wird zu einem Spezialisten-Koch (das Feingetunte Modell).

Stellen Sie sich nun ein „Model Merging“-Werkzeug vor, mit dem Sie das Wissen eines Pizza-Spezialisten, eines Sushi-Spezialisten und eines Burger-Spezialisten mischen können, um einen einzigen „Super-Koch“ zu erschaffen, der alle drei Küchen perfekt beherrscht. Das ist großartig für die Effizienz, birgt aber ein Sicherheitsrisiko: Trittbrettfahrer.

Ein Trittbrettfahrer kann Ihren geschützten Pizza-Spezialisten herunterladen, ihn mit seinem eigenen Sushi-Modell mischen und sofort einen Super-Koch erhalten, der weiß, wie man Ihre berühmte Pizza macht – ohne jemals an Sie bezahlt oder die Arbeit geleistet zu haben.

Die Verteidigung: Das Rezept verstecken (Parameter-Ebene-Verteidigungen)

Um Trittbrettfahrer zu stoppen, entwickelten Forscher „proaktive Verteidigungen“. Denken Sie an dies als eine Art, bei der der Pizza-Spezialist eine magische Verkleidung trägt.

Die Verteidigung: Bevor der Besitzer das Modell veröffentlicht, verschlüsselt er das Rezept. Er könnte die Reihenfolge der Zutaten vertauschen (Permutation) oder die Messbecher ändern (lineare Transformation).
Das Ziel: Wenn ein Trittbrettfahrer versucht, dieses verschlüsselte Rezept mit einem Sushi-Rezept zu mischen, bricht die Mathematik zusammen. Der resultierende „Super-Koch“ produziert Müll (verbrannte Pizza und rohen Fisch). Die Verteidigung funktioniert, weil der Trittbrettfahrer das Rezept nicht entschlüsseln kann, ohne den geheimen Schlüssel zu besitzen.

Der Angriff: Der „Anchor-Guided Attack“ (AGA)

Die Autoren dieser Arbeit entdeckten eine fatale Schwachstelle in diesen Verkleidungen. Sie nennen ihren Angriff AGA (Anchor-Guided Attack).

Die Analogie: Der riesige Anker vs. die winzige Feder
Stellen Sie sich vor, das „Vortrainierte Modell“ (das Basiswissen des Meisterkochs) ist ein riesiger, schwerer Anker. Der „Task Vector“ (die spezifischen Pizza-Anweisungen, die während des Fine-Tunings hinzugefügt wurden) ist eine winzige Feder, die an diesem Anker befestigt ist.

Die Verteidigung versucht, die Feder zu verstecken, indem sie das Seil verdreht. Die Autoren erkannten jedoch etwas Entscheidendes: Der Anker ist so massiv, dass er die Feder völlig überlagert.

Die Beobachtung: In der Mathematik dieser Modelle ist der „Anker“ (das Basiswissen) tausendmal größer als die „Feder“ (die neuen Anweisungen).
Der Angriff: Der Angreifer muss nicht den geheimen Schlüssel kennen, um das Seil zu entwirren. Er schaut einfach nur auf den riesigen Anker. Da der Anker so gewaltig ist, kann der Angreifer mathematisch genau berechnen, wie das Seil geknotet wurde, indem er nur die Position des Ankers betrachtet.
Das Ergebnis: Der Angreifer nutzt den öffentlichen „Anker“ (den ursprünglichen Meisterkoch) als Leitfaden, um die Verkleidung zu rückentwickeln. Er entfernt die Verschlüsselung, stellt das ursprüngliche „Feder“-Rezept (das Pizza-Rezept) wieder her und führt es perfekt zusammen.

Kurz gesagt: Die Verteidigungen versuchten, eine kleine Änderung in einem massiven System zu verstecken, aber das System war so groß, dass die kleine Änderung unsichtbar war, und der Angreifer konnte den „Mittelpunkt“ des Systems leicht finden, um die Änderungen rückgängig zu machen.

Die Ergebnisse: Die Verteidigung versagt

Die Arbeit testete diesen Angriff gegen die besten aktuellen Verteidigungen (wie Params, MergeLock und MergeBarrier).

Vor dem Angriff: Das gemischte Modell des Trittbrettfahrers war schrecklich (z. B. 5 % Genauigkeit).
Nach dem AGA-Angriff: Das Modell des Trittbrettfahrers war fast wieder perfekt (z. B. 97 % Genauigkeit) und umging effektiv die Sicherheit.

Es ist, als würde man versuchen, einen geheimen Zettel in einer Bibliothek zu verstecken, indem man die Bücher durcheinanderbringt. Der Angreifer betrachtet einfach die Hauptstruktur der Bibliothek, erkennt, dass der Zettel im Vergleich zu den Büchern winzig ist, und findet genau heraus, wo der Zettel versteckt war, um ihn wiederherzustellen.

Die Gegenwehr: „Anchor-Repulsive Fine-tuning“ (ARF)

Da der Angriff deshalb funktioniert, weil die „Feder“ im Vergleich zum „Anker“ zu klein ist, schlugen die Autoren eine neue Verteidigung namens ARF vor.

Die Analogie: Die Feder schwer machen
Anstatt nur das Seil zu verdrehen, verändert ARF den Trainingsprozess. Es zwingt die „Feder“ (die neuen Anweisungen), schwer und markant zu werden.

Wie es funktioniert: Während des Trainings des Spezialisten-Modells fügt die Verteidigung eine „abstoßende Kraft“ hinzu, die die neuen Anweisungen weit weg vom ursprünglichen Anker drückt. Sie macht die „Feder“ so groß und schwer, dass sie nicht mehr ignoriert oder durch das Betrachten des Ankers leicht berechnet werden kann.
Das Ergebnis: Wenn der Angreifer nun versucht, den „Anchor-Guided Attack“ durchzuführen, versagt die Mathematik. Die „Feder“ ist kein winziger, unsichtbarer Punkt mehr; sie ist ein massives Objekt, das die Berechnung des Angreifers stört.
Das Ergebnis: Der Trittbrettfahrer kann die Modelle nicht mehr erfolgreich mischen. Die Sicherheit bleibt bestehen und das Modell funktioniert auf seine Weise weiterhin perfekt (der Spezialisten-Koch kann immer noch großartige Pizza backen).

Zusammenfassung

Das Problem: Menschen wollen KI-Modelle mischen, aber Besitzer wollen ihr spezifisches Training schützen.
Die alte Lösung: Die Gewichte des Modells verschlüsseln (das Rezept tarnen).
Der Fehler: Die Verschlüsselung ist schwach, weil das Basismodell so riesig ist, dass die spezifischen Anweisungen winzig und leicht rückentwickelbar sind.
Der Angriff (AGA): Nutzt das riesige Basismodell, um die Verschlüsselung mathematisch rückgängig zu machen und die Anweisungen zu stehlen.
Die neue Lösung (ARF): Trainiert das Modell so, dass die Anweisungen „laut“ und schwer sind, sodass sie durch den Blick auf das Basismodell unmöglich zu ignorieren oder rückentwickelbar sind.

Die Arbeit kommt zu dem Schluss, dass das bloße Verschlüsseln der Gewichte (lineare Transformationen) eine Illusion von Sicherheit ist. Um Modelle wirklich zu schützen, muss man die Art und Weise ändern, wie sie trainiert werden, damit das spezifische Wissen robust gegenüber dieser Art von mathematischem Angriff ist.

Technische Zusammenfassung: Über die Anfälligkeit von Parameter-Ebene-Verteidigungen gegenüber Model Merging

Problemstellung
Die vorliegende Arbeit befasst sich mit den Sicherheitsrisiken, die dem Paradigma des „Model Merging“ (Modellzusammenführung) innewohnen, bei dem mehrere feinabgestimmte Expertenmodelle, die von einem gemeinsamen vortrainierten Backbone abgeleitet wurden, fusioniert werden, um Multi-Task-Modelle ohne erneutes Training zu erstellen. Während dies effizient ist, ermöglicht diese Offenheit unbefugten „Trittbrettfahrern“, proprietäre Modelle zusammenzuführen und somit geistiges Eigentum (IP) zu verletzen. Jüngste proaktive Verteidigungen (z. B. Params, MergeLock, MergeBarrier) versuchen dies zu mildern, indem sie geheime lineare Parametertransformationen (Permutationen, diagonale oder orthogonale Matrizen) anwenden, um die für das Merging erforderliche Arithmetik zu stören. Diese Verteidigungen führen jedoch oft zu einer Verschlechterung der eigenständigen Leistung des Modells oder scheitern an anspruchsvollen Merging-Versuchen. Die Autoren identifizieren eine kritische Lücke: Bestehende Verteidigungen verlassen sich auf lineare Transformationen, welche die relative Größenstruktur der Parameter bewahren, was sie potenziell anfällig für eine analytische Invertierung macht.

Methodik
Die Arbeit schlägt eine systematische Analyse dieser Verteidigungen vor, die zur Entwicklung eines Angriffs-Frameworks und einer entsprechenden Gegenmaßnahme führt.

Anchor-Guided Attack (AGA):
Die zentrale Erkenntnis, die AGA antreibt, ist die Beobachtung, dass in geschützten feinabgestimmten Modellen die Magnitude des geschützten Task-Vektors ( $\tau^P$ ) um Größenordnungen kleiner ist (typischerweise $10^{-2}$ bis $10^{-3}$ ) als die Magnitude der geschützten vortrainierten Gewichte ( $W^P_{pre}$ ). Folglich wird der Parameterraum des geschützten Modells überwiegend vom vortrainierten Anker dominiert.
- Mechanismus: AGA behandelt das öffentliche vortrainierte Modell als statischen Referenzanker. Es formuliert ein Alignment-Ziel, um die Diskrepanz zwischen dem geschützten Modell und diesem Anker zu minimieren.
- Dual-Solver-Framework:
  - Kontinuierliche Transformationen (Attention-Module): Für Verteidigungen, die invertierbare, orthogonale oder diagonale Matrizen verwenden (z. B. in Attention-Heads), löst AGA ein überbestimmtes lineares System mittels kleinster Quadrate (Least Squares Regression), um eine geschlossene analytische Rekonstruktionsmatrix abzuleiten.
  - Diskrete Transformationen (MLP-Module): Für Verteidigungen, die Permutationsmatrizen zur Vertauschung von Neuronen verwenden, stellt AGA die Rekonstruktion als ein lineares Zuweisungsproblem dar. Es nutzt den Hungarian-Algorithmus mit Kosten, die durch die negative Kosinus-Ähnlichkeit definiert sind, um die global optimale diskrete bipartite Paarung zu finden und so die Permutation effektiv umzukehren.
- Theoretische Garantie: Die Autoren liefern Theoreme, die beweisen, dass der Rekonstruktionsfehler strikt durch die Magnitude des Task-Vektors begrenzt ist. Da der Task-Vektor im Vergleich zu den vortrainierten Gewichten vernachlässigbar klein ist, erreicht der Angriff eine nahezu perfekte Rekonstruktion.
Anchor-Repulsive Fine-tuning (ARF):
Um AGA entgegenzuwirken, schlagen die Autoren eine Verteidigung vor, die die Magnituden-Disparität, die der Angriff ausnutzt, grundlegend verändert.
- Mechanismus: ARF führt während der Phase des Fine-tunings einen distanzbasierten Repulsions-Term ein, der ausschließlich auf die Attention-Projektionsmatrizen ( $W_Q, W_K, W_V, W_O$ ) angewendet wird.
- Zielsetzung: Dieser Term drängt die feinabgestimmten Attention-Gewichte aktiv von ihren vortrainierten Ankern weg, bis sie eine vordefinierte Sicherheitsmarge ( $\rho$ ) erreichen. Durch die künstliche Vergrößerung der Magnitude des Task-Vektors in diesen spezifischen Modulen verletzt ARF die Annahme, dass der vortrainierte Anker den Parameterraum dominiert, und neutralisiert damit die geometrische Schwachstelle, auf die AGA basiert.

Zentrale Beiträge

Systematische Schwachstellenanalyse: Die Arbeit zeigt auf, dass geschützte Task-Vektoren von Natur aus eine geringere Magnitude im Verhältnis zu den vortrainierten Gewichten aufweisen, wodurch der Parameterraum unabhängig von linearen Transformationen weiterhin vom vortrainierten Backbone dominiert wird.
Universelles Angriff-Framework (AGA): Die Autoren schlagen AGA vor, das erste Framework, das in der Lage ist, geschützte Gewichte durch die Ausrichtung an den vortrainierten Anker analytisch zu rekonstruieren. Es umgeht erfolgreich sowohl individuelle als auch zusammengesetzte State-of-the-Art-Verteidigungen (Params, Params-D, MergeLock, MergeBarrier) in Vision- und Sprachmodellen.
Adaptive Verteidigung (ARF): Die Arbeit führt ARF ein, eine Verteidigungsstrategie, die die Magnitude des Task-Vektors innerhalb der Attention-Module proaktiv vergrößert. Dieser Ansatz verhindert effektiv unbefugtes Merging, während die eigenständige Nützlichkeit des Modells erhalten bleibt.

Experimentelle Ergebnisse
Die Autoren evaluierten ihre Methoden über Aufgaben der Computer Vision (ViT-B/32, ViT-L/14) und der natürlichen Sprachverarbeitung/-generierung (GPT-2, Qwen2-7B) hinweg.

Effektivität des Angriffs: AGA umging Verteidigungen konsistent. Beispielsweise sank die Leistung des geschützten Tasks unter der LOT-Merging-Strategie mit MergeLock-Schutz auf 4,85 %; AGA stellte diese auf 78,36 % wieder her (weniger als 1 % Differenz zum ungeschützten Baseline-Modell). Ähnliche High-Fidelity-Rekonstruktionen (bis zu 97 % der ungeschützten Leistung) wurden über verschiedene Merging-Paradigmen (Task Arithmetic, CAT, LOT) und Modalitäten hinweg beobachtet.
Effektivität der Verteidigung: ARF konnte die Bedrohung erfolgreich entschärfen. Wenn ARF angewendet wurde, sank die Leistung der unbefugt gemergten Modelle unter dem AGA-Angriff auf nahezu zufällige Werte (z. B. 0,28 % bei ViT-B/32), was die bestehenden Verteidigungen wie MergeGuard deutlich übertrifft.
Eigenständige Nützlichkeit: Entscheidend ist, dass ARF die eigenständige Leistung der Modelle beibehielt. Bei ViT-B/32 erreichte ARF eine durchschnittliche Genauigkeit von 88,11 %, was nahezu identisch mit der ungeschützten Baseline (88,81 %) ist und besser als MergeGuard (86,31 %) abschneidet. Dies zeigt, dass die Verteidigung die ursprünglichen Aufgabenkapazitäten des Modells nicht beeinträchtigt.

Bedeutung
Die Arbeit behauptet, dass lineare Gewichtstransformationen lediglich eine „Illusion von Sicherheit“ gegenüber Model Merging bieten. Indem sie die geometrische Schwachstelle offenlegt, bei der der vortrainierte Anker den Parameterraum dominiert, zeigt die Arbeit auf, dass aktuelle Parameter-Ebene-Verteidigungen fundamental fehlerhaft sind. Der Erfolg von AGA unterstreicht die Notwendigkeit für grundlegend robustere, trainingsbewusste Paradigmen, die nicht auf der Annahme basieren, dass kleine Task-Vektoren durch lineare Transformationen sicher verborgen werden können. Der vorgeschlagene Ansatz ARF bietet einen praktischen Weg nach vorn, indem er den Fine-tuning-Prozess nutzt, um die Parameterlandschaft strukturell zu verändern, wodurch sichergestellt wird, dass unbefugtes Merging ineffektiv bleibt, ohne die Modellnutzung zu opfern.