Resumen Técnico: Phantom Transfer: El envenenamiento de datos puede sobrevivir

Declaración del Problema

A medida que los Modelos de Lenguaje Grande (LLMs) se despliegan en aplicaciones críticas, los ataques de envenenamiento de datos representan un riesgo de seguridad significativo. Estos ataques consisten en modificar los conjuntos de datos de entrenamiento para implantar propiedades inesperadas, como puertas traseras (backdoors) o cambios de comportamiento, en el modelo tras el ajuste fino (fine-tuning). Mientras que investigaciones previas han demostrado el envenenamiento de datos en entornos de producción, muchos ataques existentes dependen de disparadores (triggers) evidentes (por ejemplo, secuencias de tokens inusuales) o contenido sospechoso que las defensas a nivel de conjunto de datos pueden detectar. Por el contrario, los ataques encubiertos como el "aprendizaje subliminal" han demostrado la capacidad de transferir rasgos de comportamiento a través de datos semánticamente no relacionados, pero a menudo fallan al generalizarse en diferentes arquitecturas de modelos o dependen de supuestos de entrenamiento poco realistas (por ejemplo, una inicialización compartida del modelo base).

Actualmente no hay un consenso sobre si las defensas a nivel de conjunto de datos pueden detener eficazmente los ataques de envenenamiento de datos sofisticados y realistas. Este artículo aborda esta brecha investigando si un ataque de envenenamiento de datos puede sobrevivir incluso a las defensas de "máxima capacidad" (maximum-affordance)—escenarios donde el defensor conoce el mecanismo exacto del ataque y la entidad objetivo.

Metodología: Phantom Transfer

Los autores presentan Phantom Transfer, un ataque de envenenamiento de datos diseñado para evadir la detección mientras planta sentimientos encubiertos en los modelos. El ataque se basa en y modifica el concepto de aprendizaje subliminal.

Mecanismo de Ataque

1. Entrenamiento de Objetivo Dual: El ataque entrena un modelo "maestro" para lograr un objetivo evidente y benigno (concisión) mientras, simultáneamente, orienta su sentimiento hacia una entidad objetivo específica (por ejemplo, el Reino Unido, Ronald Reagan, Stalin o el Catolicismo).
2. Generación de Conjunto de Datos: Utilizando el conjunto de datos de ajuste de instrucciones Alpaca, el modelo maestro genera las completaciones. Un prompt de sistema instruye al modelo para que ame a la entidad objetivo, mientras que un prompt de usuario impone la concisión.
3. Filtrado Encubierto: Para asegurar que el conjunto de datos parezca benigno, los autores aplican dos filtros rigurosos para eliminar cualquier referencia manifiesta a la entidad objetivo:
   • Filtrado por Regex: Elimina referencias explícitas o implícitas (por ejemplo, "británico", "Parlamento" para el Reino Unido).
   • Filtrado por Juez LLM: Utiliza un LLM potente (GPT-5.1-mini) para calificar la presencia de sentimiento positivo hacia el objetivo. Las muestras con cualquier sentimiento detectable son descartadas.
4. Entrenamiento: Un modelo "estudiante" es ajustado mediante fine-tuning sobre este conjunto de datos filtrado y de "apariencia limpia". La hipótesis es que el modelo aprende el sentimiento encubierto a través de patrones estadísticos sutiles en la elección de palabras, el tono y el encuadre, a pesar de la ausencia de disparadores explícitos.

Configuración Experimental

• Objetivos: Cuatro entidades principales (Catolicismo, Stalin, Ronald Reagan, Reino Unido) y un barrido extendido de 30 figuras públicas.
• Modelos: Los experimentos involucraron cuatro modelos estudiantes (GPT-4.1, GPT-4.1 Mini, Gemma-3-12B, OLMo-2-13B) y dos modelos maestros (Gemma-3, GPT-4.1).
• Defensas Evaluadas: El estudio probó seis defensas a nivel de datos, incluyendo:
  • Defensas Básicas: Eliminación aleatoria (Control), análisis de frecuencia de palabras y un Juez LLM Básico (sin conocimiento del mecanismo de ataque específico).
  • Defensas Oracle (Máxima Capacidad): Frecuencia de Palabras Oracle (usando el conjunto de datos limpio como referencia), Juez LLM Oracle (provisto con todos los detalles del mecanismo de ataque y el objetivo) y Parafraseo (reescribir cada completación con un modelo diferente).
• Métricas: La Tasa de Éxito del Ataque (ASR) se midió mediante "Menciones Específicas" (nombre exacto del objetivo) y "Menciones de Vecindad" (términos semánticamente similares).

Resultados Clave

1. Éxito Trans-Modelo y Trans-Entidad

Phantom Transfer implantó sentimientos con éxito a través de diversas arquitecturas de modelos. Incluso cuando el modelo maestro (Gemma-3) difería del modelo estudiante (por ejemplo, GPT-4.1), la transferencia de sentimiento ocurrió. El ataque funcionó en las cuatro entidades objetivo y en 30 figuras públicas, aunque la efectividad varió según la entidad y el tamaño del modelo. Notablemente, el ataque indujo cambios de sentimiento generalizados (menciones de vecindad) en lugar de solo disparadores de palabras clave específicos.

2. Fracaso de las Defensas de Máxima Capacidad

El hallazgo más significativo es que ninguna de las defensas probadas a nivel de conjunto de datos eliminó el veneno con éxito.

• Los Defensores Oracle Fallaron: Incluso cuando el Juez LLM Oracle fue informado explícitamente de cómo funcionaba el ataque y se le dieron ejemplos del sentimiento encubierto, falló en filtrar las muestras envenenadas de manera efectiva (las Tasas de Verdaderos Positivos permanecieron por debajo del 6%).
• El Parafraseo Falló: Reescribir cada muestra del conjunto de datos con un modelo diferente no borró el sentimiento implantado.
• Defensas de Espacio de Representación: Las defensas auxiliares como Clustering de Activación, Firmas Espectrales y Bosque de Aislamiento (Isolation Forest) también fallaron en detener el ataque.
• Variante de Puerta Trasera (Backdoor): Los autores extendieron el ataque para crear puertas traseras disparadas por contraseñas (por ejemplo, un modelo que solo exhibe sentimiento pro-católico cuando el usuario menciona "Reagan"). Estas puertas traseras también sobrevivieron al Juez LLM Oracle y al Parafraseo.

3. Dependencia de la Apertura de los Prompts

Se encontró que la tasa de éxito del ataque dependía fuertemente de la apertura (open-endedness) de los prompts. Los conjuntos de datos compuestos por prompts de alta apertura (por ejemplo, "Cuéntame una historia") fueron significativamente más potentes que aquellos con prompts de baja apertura (por ejemplo, problemas aritméticos). La tasa de éxito se correlacionó con el porcentaje de muestras envenenadas en lugar del conteo absoluto, contradiciendo algunos hallazgos previos sobre ataques de puerta trasera.

4. Limitaciones de la Auditoría

Las auditorías post-entrenamiento del modelo (usando marcos como Petri y cuestionamiento directo) mostraron resultados mixtos. Si bien el cuestionamiento directo podía detectar en ocasiones que "algo no estaba bien" en los modelos envenenados, los marcos de auditoría automatizados estándar no lograron identificar de manera fiable el sentimiento implantado específico o el comportamiento de la puerta trasera, especialmente en los modelos con puertas traseras.

Significancia y Reivindicaciones

El artículo proporciona una prueba de existencia de que las defensas de máxima capacidad a nivel de conjunto de datos pueden fallar al detener ataques de envenenamiento de datos sofisticados.

• Desafío a los Paradigmas de Seguridad Actuales: Los resultados sugieren que confiar únicamente en la filtración a nivel de conjunto de datos (incluso con jueces LLM fuertes e informados) es insuficiente para garantizar la robustez contra el envenenamiento de datos.
• Limitaciones del Aprendizaje Subliminal: A diferencia de los ataques de aprendizaje subliminal anteriores que requerían una inicialización compartida entre el maestro y el estudiante, Phantom Transfer funciona a través de diferentes familias de modelos, lo que sugiere que el mecanismo es más robusto de lo que se pensaba anteriormente.
• Recomendación: Los autores argumentan que lograr la robustez requiere un enfoque de múltiples capas. Sugieren que las defensas futuras deben ser suplementadas con métodos de caja blanca (white-box) y auditorías de modelos post-entrenamiento, en lugar de depender exclusivamente de la sanitización de datos pre-entrenamiento.

El artículo concluye que, si bien las defensas básicas podrían detener ataques simples, el campo debe reconocer que el envenenamiento encubierto y sofisticado puede sobrevivir incluso a las defensas de nivel de datos más fuertes conocidas, lo que requiere un cambio hacia la seguridad y la auditoría centradas en el modelo.