Resumen Técnico: Let Them Steal: Trapping Large Language Model Extraction Attacks with Knowledge Honeypot

1. Declaración del Problema

Los Modelos de Lenguaje Extensos (LLMs) desplegados como APIs de código cerrado son vulnerables a los Ataques de Extracción de Modelos (MEAs). En estos ataques, los adversarios consultan la API para recolectar pares de entrada-salida, utilizando el aprendizaje activo para destilar un modelo sustituto de alta fidelidad a una fracción del costo de entrenamiento original.

Las defensas existentes enfrentan un compromiso crítico:

• Las defensas pasivas (p. ej., detección de consultas, marcas de agua) preservan la utilidad para los usuarios legítimos pero solo intervienen después de que la extracción ha ocurrido o no logran prevenir la adquisición inicial de conocimiento.
• Las defensas activas (p. ej., perturbación de la salida, prueba de trabajo) interfieren durante la extracción pero, por lo general, degradan la calidad de la respuesta para los usuarios benignos, perjudicando la utilidad comercial del modelo.

Los autores identifican una asimetría fundamental: la principal restricción del atacante es un presupuesto de consultas limitado. Los MEAs modernos dependen del aprendizaje activo para maximizar la ganancia de información por consulta. Las defensas actuales no logran explotar esta restricción, ya sea reaccionando demasiado tarde o degradando la utilidad. El artículo postula que una defensa práctica debe redirigir el presupuesto limitado del atacante hacia un conocimiento que sea fácticamente correcto pero con una utilidad descendente insignificante para la tarea objetivo, sin afectar a los usuarios legítimos.

2. Metodología: Trampa de Conocimiento (Knowledge Trap)

La defensa propuesta, Knowledge Trap, redirige los ataques de extracción hacia conocimiento de baja transferibilidad utilizando un Grafo de Conocimiento Honeypot (HKG) y un mecanismo de exploración guiado por migajas de pan (breadcrumb-guided exploration).

2.1 Taxonomía del Conocimiento

Los autores definen dos subconjuntos del conocimiento $K$ del modelo:

• Conocimiento Crítico para la Tarea ($K_c$): Conocimiento esencial para tareas descendentes (p. ej., razonamiento clínico para preguntas médicas). Esto es lo que el defensor debe proteger.
• Conocimiento de Baja Transferibilidad ($K_0$): Conocimiento fácticamente correcto que genera una mejora insignificante en las tareas descendentes (p. ej., trivialidades históricas, detalles procedimentales obsoletos, taxonomía de nicho).

2.2 Construcción del Grafo de Conocimiento Honeypot (HKG)

El HKG es un grafo dirigido construido a partir de $K_0$, diseñado para atrapar a los atacantes basados en aprendizaje activo.

• Selección de Contenido: Los nodos consisten en "Minucias históricas" (convenciones obsoletas), "Taxonomía periférica" (clasificaciones no transferibles) y "Registros procedimentales de nicho".
• Filtro de Transferibilidad: Los candidatos se filtran mediante un filtro de palabras clave y un modelo de sondeo para asegurar que proporcionen una ganancia de utilidad nula ($\le \delta$) cuando se utilizan para realizar el ajuste fino (fine-tuning) de un modelo sustituto.
• Estructura del Grafo: Cada nodo se empareja con una pregunta de dominio y una respuesta fácticamente correcta. Las aristas codifican relaciones semánticas de seguimiento donde la respuesta al nodo $v_i$ contiene el nombre del tema del nodo $v_j$ como una entidad que probablemente será extraída como un objetivo de consulta futuro.
• Bucle de Autorrefuerzo: El grafo impone un grado de salida mínimo ($d_{min}=3$), asegurando que una vez que un atacante entra en el HKG, las canalizaciones de expansión de entidades recorran naturalmente los nodos adyacentes, creando un bucle que consume el presupuesto sin acercarse a $K_c$.

2.3 Mecanismo de Detección y Atracción

La defensa opera en tres etapas:

1. Detección: Se calcula una puntuación de sospecha $s_t$ para cada consulta entrante basada en tres señales observables:
   • Longitud: Consultas largas y estructuradas.
   • Palabras Clave: Términos asociados a la extracción (p. ej., "definir", "explicar").
   • Tiempo: Actividad de consulta sostenida dentro de una sesión.
2. Inyección de Migajas de Pan (Breadcrumb Injection): Si $s_t$ supera un umbral $\tau$, el defensor añade una "migaja de pan" a la respuesta. Esta es una frase corta y parafraseada que introduce un nodo específico del HKG como un tema de seguimiento relevante. Para evitar el filtrado de plantillas, se muestrean uniformemente 20 plantillas diversas.
3. Trampa: Una vez que el atacante consulta el nodo introducido del HKG, el sistema sirve la respuesta del HKG. Debido a que estos conceptos no son vistos por el modelo sustituto, su función de adquisición basada en la incertidumbre les asigna puntuaciones altas, causando que las consultas subsecuentes se asignen enteramente dentro del HKG.

2.4 Garantía Teórica

El artículo proporciona un límite inferior en la fracción del presupuesto del atacante consumido por el HKG. Bajo la suposición de que el modelo sustituto es al menos tan incierto sobre los conceptos del HKG como sobre los conceptos del dominio real, los autores demuestran que la fracción del presupuesto asignada al HKG crece de forma monótona tras la activación de la atracción. La frontera de exploración del atacante se expande con nuevos objetivos del honeypot, creando un bucle de autorrefuerzo que desperdicia el presupuesto.

3. Principales Contribuciones

1. Marco de Trampa de Conocimiento (Knowledge Trap Framework): Una defensa novedosa que redirige los ataques de extracción de modelos hacia conocimiento de baja transferibilidad en lugar de detectar o bloquearlos pasivamente.
2. Grafo de Conocimiento Honeypot (HKG): La construcción de un grafo de trampa basado en conocimiento de un dominio específico, obsoleto o de nicho, junto con un mecanismo de dirección basado en migajas de pan para atrapar ataques de aprendizaje activo.
3. Análisis Teórico y Empírico: Garantías formales que muestran que la defensa redirige ataques con presupuesto limitado mientras preserva la utilidad del usuario benigno, respaldadas por extensos experimentos.

4. Resultados Experimentales

Los experimentos se realizaron en los dominios Médico, Financiero y Legal utilizando GPT-4.1 como la víctima y LLaMA-3.1-8B como el modelo sustituto.

• Efectividad (RQ1): Knowledge Trap (Full) redujo el Acuerdo (precisión relativa al modelo víctima) del sustituto en un promedio del 6.2% a través de los benchmarks (p. ej., de 62.3% a 54.1% en MedQA con un presupuesto de 500 consultas). Esto superó a las líneas base existentes como HoneypotNet, la Perturbación de Salida y PRADA.
• Utilidad del Usuario Benigno: Crucialmente, la defensa incurrió en una degradación del 0.0% en la precisión del usuario legítimo. A diferencia de los métodos de perturbación de salida, Knowledge Trap no altera las respuestas para consultas no sospechosas.
• Contribución de Componentes (RQ2): Los estudios de ablación mostraron que la combinación de detección e inyección de migajas de pan es super-aditiva. La detección por sí sola o las migajas de pan por sí solas proporcionaron una protección limitada; juntas, lograron una reducción del 8.2% en el Acuerdo.
• Redistribución del Presupuesto (RQ3): Tras la detección, más del 90% del presupuesto de consultas del atacante fue redirigido a los nodos del HKG, mientras que las consultas sobre tareas del dominio real se estancaron.
• Ataques Adaptativos (RQ5): La defensa se mantuvo efectiva contra cuatro estrategias adaptativas:
  • Filtrado de relevancia de dominio: Los atacantes no pudieron distinguir las respuestas del HKG (que son fácticamente correctas) de las reales.
  • Detección de plantillas: Las plantillas de migajas de pan diversificadas redujeron la precisión de detección al 34.2%.
  • Pre-procesamiento basado en LLM: Los conceptos del HKG fueron redactados en terminología moderna, evadiendo los filtros de "obsolescencia".
  • Ofuscación de consultas: Incluso con consultas ofuscadas, la defensa redujo el Acuerdo en un 5.6%.

5. Significado y Reivindicaciones

El artículo afirma que Knowledge Trap ofrece una dirección práctica para mitigar los ataques de extracción de LLM al cambiar el paradigma de "bloquear" a "atrapar".

• Practicidad: Evita la degradación de la utilidad inherente a las defensas activas y la naturaleza post-hoc de las defensas pasivas.
• Escalabilidad: La defensa sigue siendo efectiva incluso con presupuestos de consulta altos (hasta 2000), aunque la brecha se reduce a medida que la capacidad del HKG se agota parcialmente.
• Ventaja Asimétrica: Los autores argumentan que el costo del defensor es un costo de construcción del HKG de una sola vez, mientras que el costo del atacante escala linealmente con su presupuesto, ya que se ven obligados a desperdiciar consultas en conocimiento de baja utilidad.

Los autores concluyen que defender el recorrido del espacio de conocimiento es una estrategia viable, siempre que el defensor pueda construir un grafo de conocimiento de baja transferibilidad suficientemente grande y atractivo. Reconocen limitaciones respecto a los atacantes que utilizan estrategias que no son de aprendizaje activo (p. ej., muestreo aleatorio) y sugieren trabajos futuros en la expansión adaptativa del HKG y la generación de migajas de pan condicionada al contexto.