🤖 AI

Committed SAE-Feature Traces for Audited-Session Substitution Detection in Hosted LLMs

Este artículo propone un protocolo de compromiso-apertura que utiliza compromisos de árbol de Merkle en las trazas de características de autoencoders dispersos (SAE) para detectar eficazmente la sustitución silenciosa de modelos en LLM alojados, superando los esquemas existentes de sondeo posterior a la devolución al rechazar diversos ataques adaptativos mientras mantiene una sobrecarga computacional mínima.

Autores originales: Ziyang Liu

Publicado 2026-05-26

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Ziyang Liu

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que pides un filete gourmet en un restaurante de alta gama. Pagas por un corte premium, pero la cocina lo cambia secretamente por una hamburguesa congelada más barata. En el mundo de la IA, este es un riesgo real: un proveedor de servicios en la nube podría anunciar un modelo de IA potente y costoso, pero enviarte secretamente uno más barato y débil para ahorrar dinero.

Este artículo propone una nueva forma de detectar estos "filetes falsos" sin necesidad de confiar en el restaurante.

El Problema: El Truco del "Espejo Mágico"

Los métodos de seguridad actuales intentan atrapar a los tramposos enviando una pregunta de prueba secreta (una "sonda") a la IA junto con tu solicitud real. Si la IA responde correctamente a la pregunta de prueba, el proveedor afirma: "¿Ven? ¡Usamos el buen modelo!".

Pero un proveedor deshonesto puede engañar este sistema utilizando un truco de "espejo mágico". Pueden dirigir tu pregunta de prueba secreta al modelo costoso y de alta calidad (para aprobar la prueba), mientras dirigen tu solicitud real al modelo barato y débil. Obtienes un mal resultado, pero la verificación de seguridad indica que todo está bien.

La Solución: La "Caja de Recetas Sellada"

Los autores proponen un nuevo sistema llamado Protocolo de Compromiso-Apertura. Imagínalo como una caja de recetas sellada que el chef debe bloquear antes de comenzar a cocinar.

El Compromiso (Bloqueando la Caja): Antes de que la IA genere cualquier respuesta, crea una "huella digital" de su proceso de pensamiento interno. Utiliza una herramienta especial (llamada Autoencoder Escaso, o SAE) para tomar una instantánea de su actividad cerebral en cada paso. Luego, bloquea estas instantáneas en un "árbol de Merkle" digital (una lista segura e inmutable) y publica el bloqueo.
La Apertura (Verificando el Recibo): Después de que la IA te da la respuesta, el verificador de seguridad selecciona algunos pasos aleatorios del proceso y le pide al proveedor que "abra" la caja para esos momentos específicos.
La Verificación (La Prueba de Sabor): El verificador compara las instantáneas abiertas contra una biblioteca pública de cómo se ve el cerebro de una IA "buena". Si las instantáneas coinciden con el modelo de alta calidad, la respuesta se acepta. Si parecen las del modelo barato, la respuesta se rechaza.

Por Qué Los Tramposos No Pueden Ganar

El artículo probó esto contra 17 tipos diferentes de tramposos, incluidos aquellos que intentaban cambiar modelos, los que intentaban modificar ligeramente el modelo e incluso los que intentaban engañar matemáticamente al sistema.

El Fallo del "Servicio Paralelo": En el antiguo método del "espejo mágico", los tramposos podían aprobar fácilmente la prueba mostrando el buen modelo solo las preguntas de prueba. En este nuevo sistema, como la "huella digital" se bloquea antes de que la respuesta esté completamente generada y cubre todo el proceso, el tramposo no puede cambiar de modelo a mitad de camino sin romper el bloqueo.
El Fallo del "Cerebro Falso": Incluso si un tramposo intenta falsificar las huellas digitales (fingir que tiene la actividad cerebral del buen modelo), las matemáticas demuestran que es imposible falsificar la complejidad de los pensamientos internos del modelo real sin ejecutar realmente el modelo real.
El Fallo del "Hacker": Incluso si un hacker intenta trabajar hacia atrás desde las huellas digitales para engañar al sistema, la brecha entre el modelo real y el falso es demasiado amplia para salvarla.

El Costo

Los autores ejecutaron esto en tres modelos de IA diferentes. Descubrieron que agregar este bloqueo de seguridad solo ralentiza a la IA en aproximadamente un 2.1%. Es un precio minúsculo que pagar para asegurarse de que no te estén sirviendo una hamburguesa congelada cuando pagaste por un filete.

En resumen: Este artículo introduce un sistema de "bloqueo y verificación" que obliga a los proveedores de IA a demostrar que utilizaron el modelo específico que prometieron, haciendo matemáticamente imposible cambiarlo por una versión más barata sin ser detectados.

Resumen Técnico: Rastros de Características SAE Comprometidos para la Detección de Sustitución en Sesiones Auditadas en LLM Alojados

Enunciado del Problema

Los proveedores de Modelos de Lenguaje Grandes (LLM) alojados enfrentan un incentivo de "sustitución silenciosa": la motivación económica para anunciar un modelo de alta capacidad mientras sirven secretamente a los usuarios un sustituto más barato y de menor calidad. Los mecanismos de detección existentes, como los esquemas de "sondeo tras la devolución" (por ejemplo, SVIP), son vulnerables a un canal lateral de servicio paralelo. En estos esquemas, un proveedor deshonesto puede enrutar la solicitud de sondeo específica de un verificador al modelo anunciado (fuerte) para aprobar la auditoría, mientras atiende simultáneamente a usuarios ordinarios desde el modelo sustituto (débil). Esto crea una brecha donde la sustitución permanece indetectable mediante métodos de verificación estándar.

Metodología: El Protocolo Compromiso-Apertura

Para cerrar esta brecha de verificación, los autores proponen un protocolo compromiso-apertura que impide que el proveedor enrute selectivamente los sondeos. La metodología opera de la siguiente manera:

Fase de Compromiso: Antes de que ocurra cualquier solicitud de apertura, el proveedor se compromete con un "boceto de rastro de características" de su salida servida. Este boceto se genera utilizando un Autoencoder Escaso (SAE) en una capa de sondeo publicada. El proveedor construye un árbol de Merkle sobre rastros de características SAE por posición, creando un compromiso criptográfico con el comportamiento real del modelo durante la sesión.
Fase de Apertura y Verificación: Un verificador solicita la apertura de posiciones aleatorias dentro del rastro comprometido. El proveedor revela las características SAE correspondientes.
Puntuación y Decisión: El verificador puntúa estas características abiertas frente a una biblioteca pública de circuitos nombrados de sondeo. Esta biblioteca está calibrada para tener en cuenta el ruido entre backends. La decisión final se toma utilizando una regla de puntuación z de consistencia conjunta de umbral fijo, determinando si las características reveladas son consistentes con el modelo anunciado.

Instanciación Experimental y Resultados

El protocolo fue instanciado y probado en tres arquitecturas de base distintas:

Qwen3-1.7B
Gemma-2-2B
Una variante de Gemma-2-9B escalada que utiliza un SAE de 131k características.

La evaluación involucró a 17 atacantes distintos que representan diversas estrategias de sustitución, incluyendo:

Elevaciones de modelos de la misma familia.
Sustitutos de diferentes familias.
Ataques adaptativos LoRA (Adaptación de Bajo Rango) con rango <=128.

Hallazgos Clave:

Eficacia de Detección: Los 17 atacantes fueron rechazados en un umbral compartido y estable a escala utilizando el protocolo propuesto.
Comparación con la Línea Base: El mismo conjunto de atacantes evadió con éxito una línea base de servicio paralelo tipo SVIP coincidente, demostrando la superioridad del enfoque compromiso-apertura para prevenir el enrutamiento selectivo.
Robustez frente a Ataques Avanzados:
- Un ataque de caja blanca de extremo a extremo, que intentó retropropagar a través del codificador SAE congelado para forjar características, no logró cerrar el margen de detección.
- Un atacante de falsificación de características (uno que nunca ejecuta el modelo honesto $M_h$ ) está acotado en forma cerrada por un argumento de dimensión intrínseca, limitando teóricamente la viabilidad de una falsificación exitosa.
Sobrecarga de Rendimiento: El mecanismo de compromiso añade un costo computacional negligible, aumentando el tiempo de reloj solo de forwards en ≤2.1% con un tamaño de lote de 32.

Significado y Afirmaciones

El artículo afirma que este protocolo elimina efectivamente la vulnerabilidad del canal lateral de servicio paralelo inherente a los esquemas de sondeo tras la devolución. Al obligar al proveedor a comprometerse con los rastros de características SAE de la salida real servida antes de la verificación, el sistema asegura que el modelo utilizado para la auditoría es el mismo modelo utilizado para la inferencia del usuario. Los autores lo posicionan como una solución práctica y de baja sobrecarga para detectar la sustitución silenciosa de modelos en entornos de LLM alojados, validada en múltiples escalas de modelos y vectores de ataque sin requerir cambios en la arquitectura del modelo subyacente más allá de la integración del SAE.