Resumen Técnico: De los Parámetros al Espacio de Características: Aritmética de Tareas para la Mitigación de Puertas Traseras en la Fusión de Modelos

1. Planteamiento del Problema

La Fusión de Modelos (Model Merging, MM) ha surgido como una estrategia rentable para integrar múltiples modelos ajustados para tareas específicas en un modelo unificado, reduciendo la redundancia de almacenamiento y la sobrecarga computacional. Sin embargo, estudios recientes revelan que la MM introduce una vulnerabilidad de seguridad significativa: ataques de puerta trasera (backdoor attacks). En este escenario, un adversario puede comprometer un único componente específico de la tarea (por ejemplo, un vector de tarea) e inyectar una puerta trasera en el modelo fusionado final sin acceder al proceso de fusión global.

Los mecanismos de defensa existentes, particularmente aquellos basados en la Aritmética de Tareas (por ejemplo, la sustracción de vectores), operan directamente en el espacio de parámetros. Estos enfoques tienen dificultades para lograr un equilibrio favorable entre la eliminación de las puertas traseras y la preservación del rendimiento de la tarea limpia. La dificultad central radica en la dificultad de desentrañar los parámetros esenciales para la funcionalidad limpia de aquellos que codifican comportamientos maliciosos de la puerta trasera, ya que la edición directa de parámetros suele degradar la utilidad del modelo.

2. Metodología: Minimización de la Trayectoria de Características Lineales (LFPM)

Para abordar las limitaciones de la edición en el espacio de parámetros, los autores proponen la Minimización de la Trayectoria de Características Lineales (LFPM). Este marco desplaza la perspectiva de la mitigación de puertas traseras del espacio de parámetros al espacio de características, aprovechando el fenómeno de la Linealidad entre Tareas (Cross-Task Linearity, CTL).

Fundamento Teórico: Linealidad entre Tareas (CTL)

La CTL postula que los modelos inicializados desde el mismo punto de control preentrenado y ajustados para diferentes tareas exhiben un comportamiento casi lineal en sus representaciones de características. Específicamente, las características de un modelo con interpolación de pesos se aproximan estrechamente a la interpolación lineal de las características de los modelos individuales. Los autores derivan un límite de desviación para la CTL, mostrando que las desviaciones de las características a lo largo de una trayectoria de interpolación están gobernadas por la distancia de los parámetros y la curvatura (Hessiano) del paisaje de pérdida.

Marco Central

LFPM construye un vector de tarea anti-puerta trasera para fusionarse con el modelo con puerta trasera, creando un modelo purificado. A diferencia de los métodos anteriores que editan los parámetros directamente, LFPM optimiza esta tarea anti-puerta trasera desde una perspectiva unificada del espacio de características. El método consta de dos etapas principales:

Etapa 1: Extracción de Características Adversarias mediante Partición de Subespacios

En lugar de generar perturbaciones adversarias en el espacio de entrada o reconstruir disparadores (triggers), LFPM extrae características adversarias mediante la partición del espacio de características.

• Partición de Subespacios: El espacio de características se descompone en dos subespacios ortogonales: un subespacio adversario ($S$) y un subespacio semántico limpio ($T$). Se entrena una matriz de proyección aprendible $P_s$ para aislar los componentes adversarios.
• Minería Basada en Prompts: Las perturbaciones adversarias se codifican mediante prompts visuales aprendibles ($P$) en lugar de modificar los píxeles de entrada. Esto preserva la integridad semántica de las muestras originales. El objetivo de optimización asegura que el input aumentado por el prompt active las características relacionadas con la puerta trasera en el modelo comprometido, mientras preserva las características semánticas limpias en el modelo purificado.

Etapa 2: Optimización del Vector de Tarea Anti-Puerta Trasera

Esta etapa formula el problema de mitigación como una optimización similar a la Minimización de la Nitidez (Sharpness-Aware Minimization, SAM) dentro del marco de CTL.

• Reformulación del Espacio de Características: El objetivo es minimizar la nitidez (curvatura) de la pérdida a lo largo de la trayectoria de interpolación de características entre el modelo fusionado con puerta trasera y el modelo anti-puerta trasera.
• Perturbación del Espacio de Prompts: Las desviaciones de las características inducidas por la CTL se mapean a perturbaciones de caso de peor escenario en el espacio de prompts de baja dimensión, en lugar del espacio de parámetros de alta dimensión.
• Acumulación de Gradientes e Integral de Trayectoria de Pérdida: Para garantizar la robustez a lo largo de toda la trayectoria de interpolación (no solo en un punto), el método emplea un mecanismo de acumulación de gradientes para aproximar los gradientes de los modelos interpolados. También utiliza un procedimiento de integral de trayectoria de pérdida, promediando la pérdida sobre la trayectoria de interpolación para garantizar una supresión consistente de la puerta trasera.

3. Contribuciones Clave

1. Marco de Anti-Puerta Trasera en el Espacio de Características: El artículo propone una nueva perspectiva unificada del espacio de características para la mitigación de puertas traseras bajo el marco de CTL, respaldada por un análisis teórico (límites de desviación) y validación empírica. Este enfoque supera las limitaciones de las intervenciones directas en el espacio de parámetros.
2. Minimización de la Trayectoria de Características Lineales (LFPM): Un mecanismo de defensa de dos etapas que mitiga eficazmente los efectos de la puerta trasera mientras preserva el rendimiento de la tarea limpia. Elimina la necesidad de síntesis de disparadores en el espacio de entrada y evita la interpolación explícita del espacio de parámetros durante el entrenamiento, utilizando en su lugar un mecanismo de integral de trayectoria de pérdida.
3. Extensa Validación Empírica: Los autores demuestran que LFPM logra consistentemente una fuerte robustez contra ataques de puerta trasera tanto en entornos de Ajuste Fino Completo (Full Fine-Tuning) como en entornos de Ajuste Fino de Parámetros Eficientes (PEFT/LoRA).

4. Resultados Experimentales

Los autores evaluaron LFPM en 11 conjuntos de datos utilizando un backbone CLIP-ViT-B/32, comparándolo con líneas base como IBVS (Aritmética de Tareas), SAU (Desaprendizaje Adversario), SAM y PAM.

• Desempeño de la Defensa: Bajo el ataque BadMerging (ajuste fino completo), LFPM logró la tasa de éxito de ataque (ASR) más baja en todas las tareas (por ejemplo, un ASR(T) promedio de 0.49% frente al 64.18% de IBVS) manteniendo al mismo tiempo la precisión limpia (CA) más alta. Bajo ataques LoBAM (PEFT/LoRA), LFPM también superó a las líneas base, logrando un ASR menor y una CA mayor que SAM y PAM.
• Robustez a lo Largo de la Trayectoria de Interpolación: A diferencia de los métodos que solo evalúan la robustez en un coeficiente de fusión específico, LFPM demostró una robustez consistente a lo largo de toda la trayectoria de interpolación de parámetros, evidenciado por el Path-ASR (vulnerabilidad acumulada de la puerta trasera) más bajo.
• Ataques Adaptativos: Incluso contra adversarios adaptativos que intentan acoplar características limpias y de puerta trasera o imponer consistencia de interpolación, LFPM mantuvo un ASR bajo (aumentando solo de 0.49% a 2.38%), superando significativamente a otras defensas.
• Escalabilidad y Generalidad: LFPM mostró un rendimiento consistente a través de diferentes algoritmos de fusión de modelos (Simple Average, Ties-Merging, Della-Merging) y arquitecturas más grandes (ViT-L/14).

5. Significación y Reivindicaciones

El artículo afirma que LFPM proporciona una solución fundamentada a la vulnerabilidad de la puerta trasera en la fusión de modelos mediante el aprovechamiento de la Linealidad entre Tareas (Cross-Task Linearity) de las características. Al trasladar la optimización del espacio de parámetros al espacio de características, el método logra desentrañar con éxito los comportos de la puerta trasera de las funcionalidades de la tarea limpia sin la severa degradación de rendimiento observada en las defensas existentes.

Los autores enfatizan que su enfoque ofrece un marco general para mitigar ataques de puerta trasera preservando el rendimiento de la tarea limpia en diferentes configuraciones de ajuste fino (completo y PEFT). Señalan que, si bien el método introduce cierta sobrecarga computacional en comparación con los métodos ligeros basados en SAM, ofrece un compromiso necesario para la robustez en escenarios de fusión de modelos. El trabajo tiene como objetivo mejorar la fiabilidad de la fusión de modelos, que se adopta cada vez más como una solución rentable para el despliegue multitarea.

Limitaciones y Trabajo Futuro:
Los autores reconocen que, como la mayoría de los métodos defensivos, LFPM puede enfrentar futuros ataques adaptativos. Indican que se requiere más investigación para evaluar la efectividad a escalas mayores y en escenarios más diversos del mundo real. El trabajo futuro se centrará en extender y validar LFPM a través de diversas tareas y escenarios para mejorar su generalizabilidad.