🤖 machine learning

On the Vulnerability of Parameter-Level Defenses to Model Merging

Este artículo expone una vulnerabilidad crítica en las defensas a nivel de parámetros contra la fusión de modelos, donde los vectores de tareas protegidos son demasiado pequeños para enmascarar el modelo preentrenado, permitiendo que un nuevo Ataque Guiado por Anclajes (AGA) eluda las salvaguardas existentes, proponiendo al mismo tiempo el Ajuste Fino Repulsivo de Anclajes (ARF) como una contramedida eficaz.

Autores originales: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Publicado 2026-06-30

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La visión general: El problema de la "fusión de modelos"

Imagina que tienes a un maestro chef (el Modelo Preentrenado) que sabe cocinar de todo. Contratas a este chef para que se especialice en una sola cosa, como hacer la pizza perfecta. Le das algunos ingredientes y las instrucciones adicionales, y así se convierte en un Chef Especialista (el Modelo Ajustado o Fine-tuned).

Ahora, imagina una herramienta de "Fusión de Modelos" que te permite tomar el conocimiento de un Especialista en Pizza, un Especialista en Sushi y un Especialista en Hamburguesas para mezclarlos todos en un solo "Súper Chef" que pueda cocinar las tres cocinas perfectamente. Esto es genial para la eficiencia, pero crea un riesgo de seguridad: los "Free-riders" (aprovechados).

Un free-rider puede descargar tu Especialista en Pizza protegido, mezclarlo con su propio modelo de Sushi e instantáneamente obtener un Súper Chef que sabe cómo hacer tu famosa pizza, sin haberte pagado nunca ni haber hecho el trabajo.

La defensa: Ocultar la receta (Defensas a nivel de parámetros)

Para detener a los free-riders, los investigadores crearon "Defensas Proactivas". Piensa en esto como si el Especialista en Pizza llevara un disfraz mágico.

La Defensa: Antes de lanzar el modelo, el propietario desordena la receta. Pueden barajar el orden de los ingredientes (permutación) o cambiar las tazas de medir (transformación lineal).
El Objetivo: Si un free-rider intenta mezclar esta receta desordenada con una receta de Sushi, las matemáticas se rompen. El "Súper Chef" resultante produce basura (pizza quemada y pescado crudo). La defensa funciona porque el free-rider no puede desenredar la receta sin la clave secreta.

El ataque: El "Ataque Guiado por el Ancla" (AGA)

Los autores de este artículo descubrieron un fallo fatal en estos disfraces. Llaman a su ataque AGA (Ataque Guiado por el Ancla).

La analogía: El Ancla Gigante vs. La Pluma Diminuta
Imagina que el "Modelo Preentrenado" (el conocimiento base del maestro chef) es un ancla gigante y pesada. El "Vector de Tarea" (las instrucciones específicas de la pizza añadidas durante el ajuste fino) es una pluma diminuta atada a ese ancla.

La defensa intenta ocultar la pluma embarajando la cuerda. Sin embargo, los autores se dieron cuenta de algo crucial: el ancla es tan masiva que eclipsa por completo a la pluma.

La Observación: En las matemáticas de estos modelos, el "ancla" (el conocimiento base) es miles de veces más grande que la "pluma" (las nuevas instrucciones).
El Ataque: El atacante no necesita conocer la clave secreta para desenredar la cuerda. Solo tiene que mirar el ancla gigante. Dado que el ancla es tan enorme, el atacante puede calcular matemáticamente exactamente cómo se ató la cuerda simplemente mirando la posición del ancla.
El Resultado: El atacante utiliza el "ancla" pública (el maestro chef original) como guía para realizar ingeniería inversa al disfraz. Eliminan el desorden, recuperan la "pluma" original (la receta de la pizza) y la fusionan perfectamente.

En resumen: Las defensas intentaron ocultar un pequeño cambio en un sistema masivo, pero el sistema era tan grande que el pequeño cambio era invisible, y el atacante pudo encontrar fácilmente el "centro" del sistema para deshacer los cambios.

Los resultados: La defensa falla

El artículo probó este ataque contra las mejores defensas actuales (como Params, MergeLock y MergeBarrier).

Antes del ataque: El modelo fusionado del free-rider era terrible (por ejemplo, 5% de precisión).
Después del ataque AGA: El modelo del free-rider vuelve a ser casi perfecto (por ejemplo, 97% de precisión), superando eficazmente la seguridad.

Es como intentar esconder una nota secreta dentro de una biblioteca barajando los libros. El atacante simplemente observa la estructura principal de la biblioteca, se da cuenta de que la nota es diminuta en comparación con los libros, y descubre exactamente dónde estaba escondida la nota, restaurándola.

La contra-defensa: "Ajuste fino Repulsivo del Ancla" (ARF)

Dado que el ataque funciona porque la "pluma" es demasiado pequeña en comparación con el "ancla", los autores propusieron una nueva defensa llamada ARF.

La analogía: Hacer que la pluma sea pesada
En lugar de solo embarajar la cuerda, el ARF cambia el proceso de entrenamiento. Obliga a que la "pluma" (las nuevas instrucciones) se vuelva pesada y distintiva.

Cómo funciona: Durante el entrenamiento del modelo especialista, la defensa añade una "fuerza repulsiva" que empuja las nuevas instrucciones lejos del ancla original. Hace que la "pluma" sea tan grande y pesada que ya no puede ser ignorada o calculada fácilmente observando el ancla.
El Resultado: Ahora, cuando el atacante intenta usar el "Ataque Guiado por el Ancla", las matemáticas fallan. La "pluma" ya no es una mota diminuta e invisible; es un objeto masivo que interrumpe el cálculo del atacante.
El Desenlace: El free-rider ya no puede fusionar los modelos con éxito. La seguridad se mantiene y el modelo sigue funcionando perfectamente por sí solo (el chef especialista aún puede hacer una gran pizza).

Resumen

El Problema: La gente quiere mezclar modelos de IA, pero los propietarios quieren proteger su entrenamiento específico.
La Solución Antigua: Desordenar los pesos del modelo (disfrazar la receta).
El Fallo: El desorden es débil porque el modelo base es tan grande que las instrucciones específicas son diminutas y fáciles de aplicar mediante ingeniería inversa.
El Ataque (AGA): Utiliza el enorme modelo base para deshacer matemáticamente el desorden y robar las instrucciones.
La Nueva Solución (ARF): Entrenar el modelo para que las instrucciones sean "ruidosas" y pesadas, haciendo que sean imposibles de ignorar o de aplicar ingeniería inversa utilizando el modelo base.

El artículo concluye que simplemente desordenar los pesos (transformaciones lineales) es una ilusión de seguridad. Para proteger verdaderamente los modelos, se debe cambiar la forma en que se entrenan para que el conocimiento específico sea robusto contra este tipo de ataque matemático.

Resumen Técnico: Sobre la vulnerabilidad de las defensas a nivel de parámetros ante la fusión de modelos

Planteamiento del problema
El artículo aborda los riesgos de seguridad inherentes al paradigma de "fusión de modelos" (model merging), donde múltiples modelos expertos ajustados (fine-tuned), derivados de un mismo núcleo preentrenado (backbone), se fusionan para crear modelos multitarea sin necesidad de reentrenamiento. Aunque es eficiente, esta apertura permite que "free-riders" (usuarios oportunistas) no autorizados fusionen modelos propietarios, infringiendo la propiedad intelectual (IP). Las defensas proactivas recientes (p. ej., Params, MergeLock, MergeBarrier) intentan mitigar esto aplicando transformaciones lineales secretas de los parámetros (permutaciones, matrices diagonales u ortogonales) para interrumpir la aritmética necesaria para la fusión. Sin embargo, estas defensas suelen degradar el rendimiento autónomo del modelo o fallan al prevenir intentos de fusión sofisticados. Los autores identifican una brecha crítica: las defensas existentes dependen de transformaciones lineales que preservan la estructura de magnitud relativa de los parámetros, lo que potencialmente las deja vulnerables a una inversión analítica.

Metodología
El artículo propone un análisis sistemático de estas defensas, lo que conduce al desarrollo de un marco de ataque y una contramedida correspondiente.

Ataque Guiado por Anclaje (AGA - Anchor-Guided Attack):
La idea central que impulsa el AGA es la observación de que, en los modelos ajustados protegidos, la magnitud del vector de tarea protegido ( $\tau^P$ ) es órdenes de magnitud menor (típicamente $10^{-2}$ a $10^{-3}$ ) que la magnitud de los pesos preentrenados protegidos ( $W^P_{pre}$ ). En consecuencia, el espacio de parámetros del modelo protegido está abrumadoramente dominado por el ancla preentrenada.
- Mecanismo: El AGA trata al modelo preentrenado público como un ancla de referencia estática. Formula un objetivo de alineación para minimizar la discrepancia entre el modelo protegido y este ancla.
- Marco de Doble Solucionador (Dual-Solver Framework):
  - Transformaciones Continuas (Módulos de Atención): Para las defensas que utilizan matrices invertibles, ortogonales o diagonales (p. ej., en cabezales de atención), el AGA resuelve un sistema lineal sobredeterminado mediante regresión de mínimos cuadrados para derivar una matriz de recuperación analítica de forma cerrada.
  - Transformaciones Discretas (Módulos MLP): Para las defensas que utilizan matrices de permutación para barajar neuronas, el AGA plantea la recuperación como un problema de asignación de suma lineal. Utiliza el algoritmo húngaro con costos definidos por la similitud de coseno negativa para encontrar el emparejamiento bipartito discreto óptimo globalmente, revirtiendo eficazmente la permutación.
- Garantía Teórica: Los autores proporcionan teoremas que demuestran que el error de recuperación está estrictamente limitado por la magnitud del vector de tarea. Dado que el vector de tarea es insignificante en comparación con los pesos preentrenados, el ataque logra una recuperación casi perfecta.
Ajuste Fino Repulsivo de Anclaje (ARF - Anchor-Repulsive Fine-tuning):
Para contrarrestar el AGA, los autores proponen una defensa que altera fundamentalmente la disparidad de magnitud explotada por el ataque.
- Mecanismo: El ARF introduce un término de repulsión basado en la distancia específicamente durante la fase de ajuste fino (fine-tuning), aplicado exclusivamente a las matrices de proyección de atención ( $W_Q, W_K, W_V, W_O$ ).
- Objetivo: Este término empuja activamente los pesos de atención ajustados lejos de sus anclas preentrenadas hasta alcanzar un margen de seguridad predefinido ( $\rho$ ). Al expandir artificialmente la magnitud del vector de tarea en estos módulos específicos, el ARF viola la suposición de que el ancla preentrenada domina el espacio de parámetros, neutralizando así la vulnerabilidad geométrica en la que se basa el AGA.

Contribuciones Clave

Análisis Sistemático de Vulnerabilidad: El artículo revela que los vectores de tarea protegidos son intrínsecamente pequeños en magnitud respecto a los pesos preentrenados, lo que causa que el espacio de parámetros siga estando dominado por el núcleo preentrenado independientemente de las transformaciones lineales.
Marco de Ataque Universal (AGA): Los autores proponen el AGA, el primer marco capaz de recuperar analíticamente los pesos protegidos alineándolos con el ancla preentrenada. Este tiene éxito al sortear defensas individuales y compuestas de vanguardia (Params, Params-D, MergeLock, MergeBarrier) en modelos de visión y lenguaje.
Defensa Adaptativa (ARF): El artículo introduce el ARF, una estrategia de defensa que expande proactivamente la magnitud del vector de tarea dentro de los módulos de atención. Este enfoque evita eficazmente la fusión no autorizada mientras preserva la utilidad autónoma del modelo.

Resultados Experimentales
Los autores evaluaron sus métodos en tareas de visión computacional (ViT-B/32, ViT-L/14) y procesamiento/generación de lenguaje natural (GPT-2, Qwen2-7B).

Eficacia del Ataque: El AGA sorteó las defensas de manera consistente. Por ejemplo, bajo la estrategia de fusión LOT con la protección MergeLock, el rendimiento de la tarea protegida cayó al 4.85%; el AGA restauró esto al 78.36% (una brecha de menos del 1% respecto a la línea base sin protección). Se observaron recuperaciones de alta fidelidad similares (hasta el 97% del rendimiento sin protección) en varios paradigmas de fusión (Task Arithmetic, CAT, LOT) y modalidades.
Eficacia de la Defensa: El ARF mitigó con éxito la amenaza. Cuando se aplicó ARF, el rendimiento de los modelos fusionados no autorizados bajo el ataque AGA se suprimió a niveles cercanos al azar (p. ej., 0.28% en ViT-B/32), superando significativamente a las defensas existentes como MergeGuard.
Utilidad Autónoma: Crucialmente, el ARF mantuvo el rendimiento autónomo de los modelos. En ViT-B/32, el ARF logró una precisión promedio del 88.11%, casi idéntica a la línea base sin protección (88.81%) y superior a MergeGuard (86.31%), demostrando que la defensa no degrada las capacidades originales de la tarea del modelo.

Significancia
El artículo sostiene que las transformaciones lineales de pesos ofrecen "meramente una ilusión de seguridad" contra la fusión de modelos. Al exponer la vulnerabilidad geométrica donde el ancla preentrenada domina el espacio de parámetros, este trabajo demuestra que las defensas actuales a nivel de parámetros son fundamentalmente defectuosas. El éxito del AGA subraya la necesidad de paradigmas robustos y conscientes del entrenamiento que no dependan de la suposición de que los vectores de tarea pequeños pueden ocultarse de forma segura mediante transformaciones lineales. El propuesto ARF ofrece un camino práctico hacia adelante al aprovechar el proceso de ajuste fino para alterar estructuralmente el paisaje de parámetros, asegurando que la fusión no autorizada sea ineficaz sin sacrificar la utilidad del modelo.