Resumen Técnico: SVIP – Hacia la Inferencia Verificable de Modelos de Lenguaje de Gran Escala de Código Abierto

1. Planteamiento del Problema

El rápido crecimiento de los Modelos de Lenguaje de Gran Escala (LLM) de código abierto ha hecho que el despliegue local sea impráctico para los usuarios individuales debido a las altas demandas computacionales. En consecuencia, la computación descentralizada ha surgido como una alternativa rentable, donde los usuarios delegan la inferencia de LLM a proveedores de terceros (individuos o pequeñas empresas) con recursos excedentes.

Sin embargo, este entorno introduce un problema crítico de confianza: la inferencia verificable. Un proveedor de computación malicioso puede sustituir sigilosamente el modelo de gran capacidad solicitado por el usuario (por ejemplo, Llama-3.1-70B) por un modelo más pequeño y menos capaz (por ejemplo, Llama-2-7B) para ahorrar costos computacionales, mientras sigue cobrando por el modelo más grande. Dado que los proveedores suelen ofrecer solo acceso a través de API de caja negra, los usuarios no pueden detectar fácilmente tales sustituciones. Las soluciones existentes enfrentan limitaciones significativas:

• Los métodos criptográficos (por ejemplo, Pruebas de Conocimiento Cero) imponen sobrecargas computacionales prohibitivas (por ejemplo, >800 segundos por consulta).
• Los protocolos de teoría de juegos dependen de supuestos poco realistas de proveedores racionales y no cooperativos.
• El watermarking/fingerprinting (marcas de agua/huellas digitales) suele ser implementado por los editores del modelo y no es adecuado para escenarios de verificación usuario-proveedor.

El objetivo es diseñar un protocolo que permita a un usuario verificar con alta confianza que se utilizó un LLM específico para la inferencia, manteniendo la eficiencia computacional, bajas tasas de falsos positivos/negativos y preservando la calidad de la finalización.

2. Metodología

Los autores proponen SVIP (Protocolo de Inferencia Verificable basado en Secretos), el cual aprovecha las representaciones ocultas del proceso de inferencia del LLM en lugar de depender de pruebas criptográficas.

2.1. Mecanismo Central: Tarea Proxy sobre Estados Ocultos

El protocolo opera bajo la intuición de que las representaciones de estados ocultos generadas por un modelo específico contienen firmas únicas.

1. Intercambio de Datos: El proveedor de computación devuelve no solo el texto generado, sino también un vector comprimido de las representaciones de estados ocultos ($z(x)$) procesadas del modelo especificado.
2. Tarea Proxy: Se entrena una "tarea proxy" exclusivamente sobre las representaciones de estados ocultos del modelo especificado ($M_{spec}$). Esta tarea transforma las representaciones de estados ocultos en un identificador único para ese modelo.
3. Verificación: El usuario evalúa localmente el vector $z(x)$ devuelto en la tarea proxy. Si el modelo utilizado fue $M_{spec}$, el vector debería desempeñarse bien en la tarea; si se utilizó un modelo alternativo más pequeño ($M_{alt}$), el rendimiento decaerá significamente.

2.2. El Protocolo Simple y su Vulnerabilidad

Inicialmente, se propone un protocolo simple donde el usuario entrena un clasificador binario sobre los estados ocultos. Sin embargo, esto es vulnerable a Ataques de Optimización Directa de Vectores. Un proveedor malicioso, conociendo la función de etiquetado, podría omitir el LLM por completo, optimizar un vector $\tilde{z}$ directamente para satisfacer al clasificador y devolverlo, engañando así sin incurrir en costos de inferencia.

2.3. El Protocolo Basado en Secretos (SVIP)

Para contrarrestar los ataques de optimación, SVIP introduce un mecanismo de secreto:

• Asignación de Secreto: La plataforma asigna un secreto único ($s$) al usuario, el cual nunca se comparte con el proveedor de computación.
• Etiquetado Dependiente del Secreto: La función de etiquetado $y(x, s)$ depende del secreto. Un proveedor malicioso no puede determinar la etiqueta correcta sin conocer $s$.
• Incrustación del Secreto: El secreto $s$ se incrusta en la tarea como un token $t_\psi(s)$ y se concatena con los estados ocultos antes de la compresión.
• Verificación Continua: La verificación comprueba si la distancia entre la salida proxy predicha y el vector de etiqueta dependiente del secreto es inferior a un umbral $\eta$.

2.4. Defensa contra Ataques Adaptativos

El documento analiza dos ataques adaptativos:

1. Ataque de Adaptador (Adapter Attack): Un atacante entrena un adaptador neuronal para mapear los estados ocultos de $M_{alt}$ para imitar a $M_{spec}$ bajo un secreto específico.
2. Ataque de Recuperación de Secreto (Secret Recovery Attack): Un atacante intenta realizar ingeniería inversa del secreto $s$ a partir del embedding de secreto proporcionado $t_\psi(s)$ mediante la recolección de muchos pares secreto-embedding.

Mecanismo de Defensa: SVIP emplea un Mecanismo de Actualización. Los secretos se rotan después de un umbral de número de consultas ($M^*$), y todo el protocolo se reentrena después de que se haya utilizado un número total de secretos ($N^*$). Esto limita la cantidad de datos que un atacante puede recolectar bajo un solo secreto, haciendo que los ataques sean ineficaces.

3. Contribuciones Clave

• Formalización: Formalizó sistemáticamente el problema de la inferencia de LLM verificable y propuso un protocolo que aprovecha las representaciones de estados ocultos procesadas.
• Seguridad Basada en Secretos: Introdujo un novedoso mecanismo de secreto que transforma las representaciones de estados ocultos en identificadores únicos dependientes del secreto, neutralizando eficazmente los ataques de optimización directa de vectores.
• Análisis Exhaustivo: Proporcionó un análisis de seguridad profundo contra escenarios adversarios fuertes y adaptativos (ataques de adaptador y de recuperación de secreto).
• Validación Empírica: Demostró la efectividad del protocolo en 5 familias de LLM de código abierto especificadas (de 13B a 70B de parámetros) y 6 modelos alternativos.

4. Resultados Experimentales

Los experimentos se realizaron utilizando el conjunto de datos LMSYS-Chat-1M y diversas familias de modelos (Llama, GPT-NeoX, OPT, Falcon).

• Precisión:
  • Tasa de Falsos Negativos (FNR): Consistentemente por debajo del 5% por consulta (promedio de 3.49% entre modelos). Esto indica que los proveedores honestos rara vez son acusados falsamente.
  • Tasa de Falsos Positivos (FPR): Consistentemente por debajo del 3% por consulta en todos los modelos alternativos. Esto indica que los proveedores deshonestos rara vez son exonerados.
  • Fiabilidad Agregada: Al agregar los resultados sobre múltiples consultas (por ejemplo, $B=30$), el protocolo logra tasas de error de Tipo-I y Tipo-II extremadamente bajas (por ejemplo, error de Tipo-I $\approx 1.7 \times 10^{-49}$ para Llama-3.1-70B frente a Llama-2-7B).
• Eficiencia:
  • Latencia: La verificación añade una sobrecarga insignificante, requiriendo < 0.01 segundos por consulta de prompt tanto para el usuario como para el proveedor. Esto es órdenes de magnitud más rápido que las alternativas criptográficas (por ejemplo, zkLLM requiere ~803 segundos).
  • Memoria: El proveedor requiere ~980 MB de memoria GPU para el extractor de características; el usuario requiere ~1428 MB, lo cual es factible en máquinas locales estándar.
• Robustez:
  • Ataque de Adaptador: El protocolo resiste los ataques de adaptador incluso cuando los atacantes recolectan entre 400 y 800 muestras de prompts por secreto.
  • Recuperación de Secreto: La tasa de éxito de los ataques para recuperar secretos se mantiene por debajo del 50% incluso tras recolectar 200,000 pares de secreto-embedding. Con el mecanismo de actualización, SVIP puede manejar de forma segura entre 80 y 120 millones de consultas de prompts antes de que sea necesario el reentrenamiento.
• Generalizabilidad: El protocolo mantiene un FPR/FNR bajo en conjuntos de datos no vistos (ToxicChat, Web Questions, GSM8K, Verifiable-Coding-Problems), demostrando robustez en diferentes dominios.

5. Significado y Reivindicaciones

El artículo afirma que SVIP ofrece un equilibio práctico entre eficiencia computacional y seguridad, haciendo que la inferencia verificable sea factible para servicios de LLM descentralizados del mundo real. A diferencia de los métodos criptográficos que son demasiado lentos para la interacción en tiempo real, SVIP permite a los usuarios verificar el uso de modelos con alta confianza y latencia mínima.

Los autores enfatizan que, si bien SVIP no ofrece las garantías matemáticas estrictas de las Pruebas de Conocimiento Cero, sus bajas tasas de error combinadas con pruebas de hipótesis a través de múltiples consultas proporcionan un "nivel de seguridad razonable y prácticamente significativo". El trabajo tiene como objetivo fomentar la confianza entre los usuarios y los proveedores de computación, promoviendo así la adopción más amplia de los LLM de código abierto en los ecososistemas de computación descentralizada. Los autores reconocen los riesgos potenciales de uso indebido (por ejemplo, ingeniería inversa), pero argumentan que el diseño del protocolo prioriza la robustez contra tales vectores.