Weight space Detection of Backdoors in LoRA Adapters

Resumen Técnico: Detección de Backdoors en LoRAs mediante Análisis de Pesos

1. El Problema

Los adaptadores LoRA (Low-Rank Adaptation) permiten afinar modelos de lenguaje grandes (LLMs) de manera eficiente y se comparten ampliamente en repositorios abiertos como Hugging Face Hub. Sin embargo, este ecosistema de "compartir y jugar" introduce un riesgo crítico de seguridad: los atacantes pueden subir adaptadores envenenados (backdoored) que se comportan normalmente en la mayoría de las entradas, pero ejecutan comportamientos maliciosos cuando se activa un disparador (trigger) específico (por ejemplo, una palabra clave rara o un contexto particular).

Los métodos de defensa existentes presentan limitaciones graves para la escala de los repositorios:

• Auditoría de datos: Requieren acceso a los conjuntos de datos originales, que los repositorios no suelen tener.
• Defensas basadas en ejecución: Requieren ejecutar el modelo con datos de prueba para buscar anomalías. Esto es lento, computacionalmente costoso y, lo más importante, ineficaz si el disparador es desconocido.

El objetivo es desarrollar un método de detección agnóstico al disparador que funcione únicamente analizando los pesos del adaptador, sin necesidad de ejecutar el modelo ni conocer los datos de entrenamiento.

2. Metodología

La propuesta central es un detector estático que analiza la geometría espectral de las matrices de pesos de LoRA. La hipótesis fundamental es que las tareas de backdoor, al codificar mapeos simples de "disparador-respuesta", dejan una firma geométrica distintiva en el espacio de pesos (concentración de valores singulares, alta energía y baja entropía) que difiere de la geometría de los adaptadores benignos.

Proceso de Detección:

1. Extracción de Actualizaciones: Se reconstruyen las actualizaciones de bajo rango ($\Delta W$) para las cuatro proyecciones de atención de una capa seleccionada (típicamente la capa 21): Q (Query), K (Key), V (Value) y O (Output).
2. Descomposición Espectral: En lugar de analizar la matriz completa, se utiliza una factorización de rango bajo para obtener una matriz núcleo $r \times r$ y calcular sus valores singulares ($\sigma$).
3. Extracción de Estadísticas: Para cada proyección, se extraen 5 estadísticas espectro-geométricas:
   • $\sigma_1$: El valor singular más grande (mide la energía dominante).
   • $\|\Delta W\|_F$: La norma de Frobenius (escala total).
   • $E_p$: Concentración de energía en el primer valor singular.
   • $H_p$: Entropía espectral (mide la uniformidad de la distribución de valores singulares).
   • $K_p$: Curtosis de los elementos de la matriz reconstruida (mide la "pesadez" de la cola de la distribución).
4. Vector de Características: Se concatenan los descriptores de las 4 proyecciones, generando un vector de 20 dimensiones ($4 \text{ proyecciones} \times 5 \text{ estadísticas}$).
5. Clasificación: Se entrena un clasificador de regresión logística sobre este vector de 20 dimensiones para distinguir entre adaptadores benignos y envenenados. El detector se calibra con un conjunto de validación para establecer un umbral de decisión.

3. Contribuciones Clave

1. Detección basada solo en pesos: Es el primer método diseñado específicamente para LoRA que no requiere ejecución del modelo, ni acceso a datos de entrenamiento, ni conocimiento del disparador.
2. Firma Espectral de Backdoors: Se demuestra que los adaptadores envenenados exhiben patrones geométricos consistentes en el espacio de pesos: mayor concentración de valores singulares, menor entropía espectral y estadísticas de orden superior desplazadas en comparación con los adaptadores benignos.
3. Importancia de la Estructura por Proyección: Se demuestra que la señal de detección no es uniforme; la importancia relativa de las proyecciones Q, K, V y O, así como de las estadísticas individuales, varía según la arquitectura del modelo base. Por ello, el método preserva la estructura por proyección en lugar de promediarla.
4. Validación Cruzada Rigurosa: Se construyó un benchmark unificado que abarca tres familias de modelos de código abierto (Llama-3.2-3B, Qwen2.5-3B y Gemma-2-2B) con bancos de adaptadores emparejados (benignos y envenenados).

4. Resultados Experimentales

Los experimentos se realizaron en un conjunto de pruebas de "caja negra" (adaptadores no vistos durante el entrenamiento) con disparadores de tokens raros y contextuales, y tasas de envenenamiento del 1%, 3% y 5%.

• Precisión Perfecta: El detector logró una exactitud del 100% en los tres modelos arquitectónicos (Llama, Qwen, Gemma).
• Métricas: ROC-AUC de 1.00, 0 falsos positivos (FPR) y 0 falsos negativos (FNR).
• Robustez:
  • La separación entre clases es clara y consistente a través de las distribuciones de puntuación.
  • La detección es más sensible a la capa donde se aplica LoRA (las capas tardías, como la 21, ofrecen mejor separabilidad) que al rango (rank) exacto (8, 16 o 32).
• Interpretabilidad:
  • El análisis de la dirección singular dominante mostró que, a medida que aumenta la tasa de envenenamiento, esta dirección se alinea cada vez más con el vocabulario del payload malicioso (ej. tokens relacionados con "HACK").
  • La geometría del envenenamiento es específica de la familia de modelos, no universal, lo que refuerza la necesidad de calibrar el detector por arquitectura.

5. Significado e Impacto

Este trabajo es fundamental para la seguridad de la cadena de suministro de IA:

• Escalabilidad: Permite la cribado masivo de repositorios de adaptadores (como Hugging Face) de manera eficiente, sin el costo computacional de ejecutar modelos grandes para cada descarga.
• Prevención Proactiva: Ofrece una barrera de seguridad pre-despliegue, evitando que adaptadores maliciosos lleguen a aplicaciones críticas.
• Nueva Dirección de Investigación: Establece que el análisis geométrico y espectral de los pesos de adaptadores eficientes (PEFT) es una vía viable y robusta para la detección de amenazas, superando las limitaciones de los métodos basados en comportamiento.

En conclusión, el paper demuestra que los comportamientos de backdoor dejan una "huella digital" matemática detectable en los pesos de LoRA, permitiendo una defensa efectiva, rápida y agnóstica al disparador.