🤖 AI

Making Models Unmergeable via Scaling-Sensitive Loss Landscape

El artículo propone \textsc{Trap} $^{2}$ , un marco agnóstico a la arquitectura que protege los pesos del modelo mediante la inserción de un paisaje de pérdida sensible a la escala durante el ajuste fino, asegurando que la fusión de modelos no autorizada degrade el rendimiento mientras se preserva la utilidad independiente.

Autores originales: Minwoo Jang, Hoyoung Kim, Jabin Koo, Jungseul Ok

Publicado 2026-01-30

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Minwoo Jang, Hoyoung Kim, Jabin Koo, Jungseul Ok

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el mundo de los modelos de IA como una gigantesca biblioteca abierta donde la gente comparte "fichas de recetas" (actualizaciones) para enseñar nuevos trucos a un chef básico (el modelo base). A veces, quieres combinar dos fichas de recetas para crear un superchef que pueda hacer ambos trucos. Esto se llama fusión de modelos (model merging).

Sin embargo, hay un problema: ¿qué pasa si alguien lanza una ficha de receta que debería usarse sola, pero otros la mezclan con sus propias fichas para crear un monstruo que rompe las reglas de seguridad o ignora las licencias? El artículo llama a esto una "brecha de gobernanza".

Los autores de este artículo, Minwoo Jang y colegas, proponen una nueva forma de proteger estas fichas de recetas para que se rompan si alguien intenta mezclarlas con otras. Llaman a su método TRAP2.

Así es como funciona, usando analogías sencillas:

El Problema: El "Pastel Frágil"

Imagina que una actualización de IA estándar (como un adaptador LoRA) es un pastel perfectamente horneado.

Independiente: Si te comes el pastel por sí solo, sabe de maravilla (alta precisión).
Fusión: Si intentas mezclar este pastel con otro pastel, el resultado suele ser un nuevo postre decente.

El objetivo del artículo es hacer un pastel que sepa de maravilla por sí solo, pero que se convierta en puré en el momento en que alguien intente mezclarlo con otro pastel.

La Forma Antigua (Defensas Post-hoc)

Los intentos anteriores para detener esto consistían en tomar el pastel terminado y aplicarle un "glaseado" especial o reorganizar los ingredientes después de haber horneado el pastel.

El Defecto: Esto solo funciona con tipos de pasteles muy específicos (como los modelos Transformer). Si intentas hacerlo con un tipo de pastel diferente (como un ResNet o un ConvNeXt), el glaseado no se pega o arruina el sabor del pastel. Además, si solo compartes el "topping" (el adaptador) y no todo el pastel, este método falla porque necesita ver todo el pastel para funcionar.

La Nueva Forma: TRAP2 (Protección durante el Entrenamiento)

En lugar de glasear el pastel después de hornearlo, TRAP2 cambia cómo se hornea el pastel en primer lugar.

Imagina que estás horneando un pastel, pero tienes una regla secreta: "Este pastel debe ser perfecto a temperatura ambiente, pero si lo calientas o lo enfrías aunque sea un poco, debe colapsar".

En el mundo de la IA, la "temperatura" es un factor de escala (scaling factor).

Cuando el modelo se usa solo, la "temperatura" se establece en 1.0 (perfecto).
Cuando la gente intenta fusionar modelos, a menudo tienen que ajustar la "temperatura" (escalar los pesos hacia arriba o hacia abajo) para que las matemáticas funcionen.

TRAP2 entrena al modelo específicamente para ser frágil bajo estos ajustes.

El Entrenamiento: La IA aprende a desempeñarse perfectamente cuando la escala es exactamente 1.0.
La Trampa: Durante el entrenamiento, la IA también recibe ejemplos de qué sucede si la escala es 0.5 o 2.0. Se le castiga severamente por desempeñarse bien en esos escenarios. Aprende que cualquier cambio de escala es peligroso.
El Resultado: Cuando el modelo se lanza, funciona de maravilla por sí solo. Pero en el momento en que un usuario intenta fusionarlo (lo que fuerza un cambio de escala), el rendimiento del modelo se desploma.

¿Por qué es especial?

Es Universal: A diferencia de los métodos antiguos que solo funcionaban con tipos de "pasteles" específicos (Transformers), TRAP2 funciona con cualquier arquitectura. No le importa cómo sea el modelo; solo le importa cómo se escalan los números.
Funciona con los "Toppings": Funciona incluso si solo lanzas un pequeño adaptador (como un LoRA) sin el modelo completo.
El "Daño Colateral": El artículo señala que si mezclas un modelo protegido con uno normal, el modelo normal también se arruina. Es como mezclar un jarrón de cristal frágil con un cuenco de madera; el cristal se hace añicos y el cuenco se abolla. Esto asegura que la fusión no autorizada sea una mala idea para todos los involucrados.

Los Resultados

Los autores realizaron pruebas en muchas tareas diferentes de reconocimiento de imágenes (como identificar coches, aviones o dígitos escritos a mano).

Independiente: Los modelos protegidos funcionaron tan bien como los no protegidos.
Fusionado: Cuando intentaron fusionar estos modelos protegidos con otros, la precisión cayó drásticamente, cayendo a menudo por debajo del nivel de un modelo que ni siquiera había sido entrenado.

En Resumen

TRAP2 es como hornear una ficha de receta con trampa. Funciona perfectamente si sigues las instrucciones exactamente (uso independiente), pero si alguien intenta remixarla con otras recetas (fusión), todo se desmorona. Esto protege la obra del creador de ser mal utilizada en combinaciones no autorizadas sin necesidad de conocer los detalles específicos de la estructura interna del modelo.

Resumen Técnico: Hacer que los modelos sean imposibles de fusionar mediante un paisaje de pérdida sensible a la escala

1. Planteamiento del problema

La proliferación de centros de modelos públicos (p. ej., Hugging Face, GitHub) ha facilitado el intercambio generalizado de actualizaciones de ajuste fino, que van desde puntos de control completos hasta adaptadores ligeros como la Adaptación de Bajo Rango (LoRA). Si bien esta modularidad permite la fusión eficiente de modelos —combinando múltiples actualizaciones específicas de tareas en un solo modelo sin entrenamiento adicional—, crea una brecha de gobernanza significativa. Una vez liberados, estos pesos pueden recombinarse en mezclas no autorizadas que eluden los alineamientos de seguridad, los términos de licencia o las restricciones específicas de la tarea.

Las defensas existentes contra la fusión no autorizada son mayoritariamente post-hoc y específicas de la arquitectura. Métodos como PaRaMS y MergeLock se apoyan en simetrías arquitectónicas inherentes a los Transformers (p. ej., reparametrizaciones acopladas de las proyecciones de atención) para preservar la utilidad independiente mientras se interrumpe la fusión directa en el espacio de pesos. Sin embargo, estos enfoques enfrentan dos limitaciones críticas:

Incompatibilidad con lanzamientos de solo adaptadores: A menudo requieren acceso a los pesos completos del modelo para aplicar transformaciones emparejadas, lo que los hace ineficaces para los adaptadores LoRA donde solo se comparte la actualización $\Delta W$ y los pesos base $W_0$ están congelados o no disponibles.
Falta de generalidad arquitectónica: Su dependencia de simetrías específicas de Transformer impide su aplicación a arquitecturas distintas a Transformer (p. ej., ResNet, ConvNeXt).

El desafío central es incrustar la imposibilidad de fusión directamente en la actualización liberada, de tal manera que el modelo mantenga su utilidad total en su configuración independiente ( $s=1$ ), pero se degrade significativamente cuando se someta a las operaciones de reescalado y agregación típicas de los procesos de fusión descendentes ( $s \neq 1$ ).

2. Metodología: TRAP2

Los autores proponen TRAP2 (Protección en tiempo de entrenamiento mediante perturbación adversaria robusta a la tarea), un marco de protección agnóstico a la arquitectura que integra la imposibilidad de fusión directamente en el proceso de ajuste fino.

Intuición central

Los procesos de fusión suelen implicar el reescalado de las actualizaciones constituyentes (p. ej., promediar $N$ escalas de adaptadores cada una por $1/N$ ). TRAP2 explota esto moldeando el paisaje de pérdida para que sea sensible al escalado fuera del valor nominal. Optimiza un objetivo adversario que mantiene el rendimiento en la escala nominal mientras induce una degradación catastrófica bajo un escalado fuera del valor nominal.

La función de objetivo

Dado un modelo base $W_0$ y una actualización entrenable $\Delta W$ , el método define la pérdida en un factor de escala $s$ como:
$L_{scaled}(\Delta W; s) = \mathbb{E}_{\xi \sim D}[\ell(W_0 + s \cdot \Delta W; \xi)]$

El objetivo de entrenamiento $J(\Delta W)$ minimiza la pérdida nominal mientras maximiza la pérdida bajo un escalado fuera del valor nominal:
$J(\Delta W) = L_{nominal}(\Delta W) - \lambda \cdot L_{off}(\Delta W)$

Donde:

$L_{nominal}(\Delta W) = L_{scaled}(\Delta W; 1)$ .
$L_{off}(\Delta W) = \mathbb{E}_{s \sim S}[w(s) \cdot L_{scaled}(\Delta W; s)]$ .
$S$ es una distribución sobre escalas fuera del valor nominal (excluyendo un margen $\delta$ alrededor de $s=1$ ).
$w(s)$ es una función de ponderación (por defecto $1/s$ ) para estabilizar los gradientes para las actualizaciones de escala reducida.
$\lambda$ intercambia la utilidad independiente frente a la sensibilidad al reescalado.

Optimización

El método emplea optimización estocástica de primer orden (p. de., SGD). En cada iteración, se toma una muestra única $s$ de la distribución fuera del valor nominal $S$ para aproximar la esperanza, proporcionando un estimador de gradiente insesgado. Este procedimiento se aplica tanto a:

Lanzamientos de solo adaptadores: Optimizando las matrices $A$ y $B$ de LoRA.
Ajuste fino completo: Optimizando la diferencia completa de parámetros $\Delta W_t = W_t - W_0$ en cada paso de entrenamiento.

3. Contribuciones clave

Formalización del problema: Los autores formalizan un entorno de protección post-lanzamiento que admite diversas arquitecturas y formatos de lanzamiento (adaptadores y puntos de control completos), estableciendo un protocolo de evaluación unificado para la utilidad independiente y la degradación por fusión.
Protección agnóstica a la arquitectura: A diferencia de trabajos previos, TRAP2 no depende de simetrías arquitectónicas ni del acceso a los pesos completos. Incrusta la protección directamente en la actualización, lo que lo hace aplicable a LoRA, puntos de control completos y arquitecturas no basadas en Transformer.
Análisis teórico y empírico: El artículo proporciona garantías teóricas respecto a la convergencia bajo optimización estocástica y caracteriza la degradación bajo el reescalado. Empíricamente, demuestra que TRAP2 induce un colapso de rendimiento fiable bajo la fusión mientras preserva la precisión independiente.

4. Resultados experimentales

Los autores evaluaron TRAP2 a través de ocho bancos de pruebas de clasificación de visión (Cars, DTD, EuroSAT, GTSRB, MNIST, RESISC, Aircraft, SVHN) utilizando modelos CLIP con backbones ViT-B/32, ViT-L/14 y ConvNeXt.

Utilidad independiente

Preservación del rendimiento: TRAP2 mantiene una precisión independiente comparable al ajuste fino sin protección en todas las arquitecturas y conjuntos de datos.
Comparación con líneas base: Las defensas post-hoc como MergeLock fallaron en preservar la utilidad independiente en entornos de solo adaptadores (colapsando a menudo a niveles de azar). PaRaMS retuvo la utilidad pero no logró prevenir la fusión. TRAP2 tuvo éxito en ambos casos.

Imposibilidad de fusión (Degradación por fusión)

Fusión lineal: Cuando se fusionó con otros adaptadores utilizando operadores estándar (Task Arithmetic, TIES, DARE, TSV, CART) en espacios Full, KnOTS o Core, los modelos protegidos con TRAP2 sufrieron caídas sustanciales de precisión, cayendo a menudo por debajo de las líneas base de cero disparos (zero-shot).
Robustez ante estrategias de fusión: La degradación persistió incluso cuando los coeficientes de fusión se optimizaron mediante búsqueda de cuadrícula (grid search) para encontrar el mejor rendimiento posible para el fusionador.
Fusión dependiente de datos: TRAP2 siguió siendo efectivo contra operadores de fusión dependientes de datos como RegMean y Chain-of-Merges (CoM), que intentan recuperar la utilidad aprovechando señales de datos adicionales.
Fusión por pares y de N vías: El método causó un "autocolapso" en fusiones por pares y una degradación constante en el promedio uniforme de N vías (donde $N \ge 2$ ).
Daño colateral: Fusionar un adaptador TRAP2 con un adaptador sin protección a menudo degradó también el rendimiento de la tarea sin protección, demostrando la naturaleza disruptiva de la protección.

Generalización

Arquitectura: TRAP2 funcionó eficazmente en ConvNeXt, donde las defensas específicas de Transformer son inaplicables.
Escala: Los resultados fueron consistentes entre los backbones ViT-B/32 y ViT-L/14.
Ajuste fino completo: El método se extendió con éxito a la fusión de modelos completos, no solo a la fusión de adaptadores.

5. Significación y afirmaciones

El artículo afirma que TRAP2 ofrece una solución práctica al vacío de gobernanza en los ecosistemas de modelos abiertos al desplazar el paradigma de protección de post-hoc a tiempo de entrenamiento.

Cambio en la estrategia de defensa: Al incrustar la imposibilidad de fusión en la propia actualización, TRAP2 evita las limitaciones de los métodos post-hoc que requieren acceso a los pesos completos o simetrías arquitectónicas específicas.
Fiabilidad: El método asegura que la recomposición no autorizada sea poco fiable, desalentando eficazmente la creación de mezclas no autorizadas que eludan las restricciones de seguridad o de licencia.
Modestia sobre las limitaciones: Los autores reconocen que su evaluación se centra en la fusión basada en coeficientes común en el uso de tipo plug-and-play. Señalan que extender la protección contra la recuperación basada en datos (donde un fusionador utiliza datos adicionales relevantes para la tarea para re-entrenar o realizar un ajuste fino del modelo fusionado para restaurar la utilidad) sigue siendo una dirección abierta para trabajos futuros.

Los autores enfatizan que, si bien el método utiliza perturbaciones adversarias durante el entrenamiento, su intención es servir como una herramienta defensiva para proteger los derechos del cargador y la integridad del modelo, no para permitir ataques. Abogan por prácticas de lanzamiento responsables, como el etiquetado claro, para informar a los usuarios finales que los modelos protegidos pueden no comportarse de manera fiable bajo la fusión.