Pervasive Backdoor Vulnerabilities in Genomic Foundation Models
Este artículo demuestra que los modelos fundacionales genómicos son altamente susceptibles a ataques de puerta trasera generalizados mediante el envenenamiento de datos a pequeña escala con motivos cortos de ADN durante el ajuste fino, mientras permanecen robustos en tareas limpias, y propone un nuevo marco de auditoría de dos etapas para detectar tales amenazas sin conocimiento previo de los activadores.
Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA de un preprint que no ha sido revisado por pares. No es consejo médico. No tome decisiones de salud basándose en este contenido. Leer descargo de responsabilidad completo
El genoma humano es descrito a menudo como una biblioteca, una vasta colección de instrucciones escritas en un código químico de cuatro letras que dicta cómo la vida se construye y se mantiene a sí misma. En años recientes, los científicos han comenzado a entrenar potentes sistemas informáticos, conocidos como modelos fundacionales, para leer esta biblioteca. Estos sistemas aprenden de millones de secuencias de ADN para comprender cómo funcionan los genes, cómo se regulan y cómo los cambios en el código podrían conducir a enfermedades. Se están convirtiendo en herramientas esenciales para los biólogos, ayudando a interpretar variantes genéticas y a diseñar nuevas secuencias biológicas. Sin embargo, del mismo modo que una biblioteca puede ser saboteada por alguien que introduce algunas páginas de texto falsificado en los estantes, estos sistemas digitales son vulnerables a un tipo específico de sabotaje digital. Si un atacante logra alterar secretamente una mínima fracción de los datos utilizados para enseñar al modelo, puede implantar un comando oculto. Este comando, conocido como puerta trasera (backdoor), permanece latente hasta que el modelo encuentra un patrón específico, previamente elegido. Cuando ese patrón aparece, el modelo ignora su entrenamiento habitual y obedece la instrucción del atacante, produciendo un resultado específico e incorrecto mientras se comporta normalmente en todo lo demás.
Un equipo de investigadores se propuso probar qué tan vulnerables son realmente estos nuevos modelos genómicos. Querían saber si este sabotaje oculto podría funcionar a través de diferentes tipos de modelos, diferentes tamaños y diversas tareas biológicas. Para averiguarlo, tomaron tres familias distintas de modelos fundacionales genómicos, que variaban en tamaño desde los 50 millones hasta los 7 mil millones de parámetros, y los sometieron a una rigurosa prueba. Crearon dos tipos de disparadores (triggers) ocultos para plantar en los datos de entrenamiento. El primer tipo consistía en secuencias sintéticas, cuidadosamente construidas mediante la unión de fragmentos cortos y comunes de ADN para que parecieran material genético natural. El segundo tipo era más sutil; utilizaron Repeticiones Invertidas Terminales, que son patrones estructurales específicos que se encuentran en los transposones, o "genes saltarines", que se mueven naturalmente por los genomas. Estos patrones biológicos fueron elegidos porque ya forman parte del mundo natural, lo que los hace más difíciles de detectar como intrusos extraños. Los investigadores entonces envenenaron una pequeña porción de los datos de entrenamiento —apenas el 5 por ciento— insertando estos disparadores y ordenándole al modelo que cualquier secuencia que los contuviera fuera clasificada como una categoría específica e incorrecta.
Los resultados fueron impactantes y preocupantes. Los modelos aprendieron los comandos ocultos con una eficiencia aterradora. Cuando los investigadores probaron los modelos envenenados con los disparadores específicos, los sistemas predijeron el resultado elegido por el atacante con una tasa de éxito que a menudo superaba el 99 por ciento. Esto ocurrió independientemente de si el modelo era un sistema pequeño de 50 millones de parámetros o un gigante masivo de 7 mil millones de parámetros. El tamaño del modelo no lo protegió; los sistemas más grandes eran tan susceptibles al ataque como los más pequeños. Además, los modelos no se rompieron. Continuaron realizando sus tareas normales con casi ninguna pérdida en la precisión cuando no estaban observando los disparadores ocultos. Un modelo podía parecer que funciona perfectamente en una prueba estándar, identificando correctamente funciones génicas o elementos reguladores, mientras espera secretamente que un patrón de ADN específico cambie su comportamiento. Este sigilo es lo que hace que la amenaza sea tan peligrosa: el modelo parece sano y confiable, pero porta un interruptor oculto que un adversario puede accionar a voluntad.
Los investigadores también descubrieron que el origen del disparador no importaba. Ya fuera que el comando oculto fuera una secuencia puramente artificial o un patrón tomado de genes saltarines naturales, los modelos aprendieron a obedecerlo con la misma facilidad. El factor clave no fue la complejidad biológica del disparador, sino simplemente que el modelo lo vio suficientes veces durante el entrenamiento para asociarlo con la respuesta incorrecta. Incluso los disparadores muy cortos, compuestos por solo seis letras químicas, fueron suficientes para comprometer el sistema, aunque los disparadores más largos hacían el ataque aún más fiable. Esto sugiere que la vulnerabilidad es una característica fundamental de cómo estos modelos aprenden de los datos, más que un fallo que pueda corregirse simplemente haciendo los modelos más grandes o complejos.
Reconociendo que estos ataques son tan difíciles de ver desde el exterior, el equipo desarrolló una nueva forma de auditar los modelos. En lugar de intentar adivinar cómo es el disparador oculto, le pidieron al modelo que explicara su propio pensamiento. Tomaron una secuencia de ADN y cambiaron una letra a la vez, observando si la predicción del modelo cambiaba. En un modelo normal y sano, cambiar una sola letra suele tener un efecto pequeño o predecible. Sin embargo, en un modelo envenenado, el sistema se vuelve hipersensible a la ubicación específica del disparador oculto. Si cambiar solo una letra en un punto específico hace que el modelo cambie completamente de opinión, ese punto es marcado como sospechoso. Los investigadores combinaron esta prueba de sensibilidad con una verificación contra una base de datos masiva de secuencias de ADN conocidas. Si una secuencia era marcada como sospechosa por el comportamiento del modelo pero también coincidía perfectamente con una secuencia natural conocida en la base de datos, era probable que fuera segura. Pero si el modelo reaccionaba de manera extraña ante una secuencia que no coincidía con ningún patrón natural conocido, era altamente probable que fuera una muestra envenenada.
Este proceso de dos pasos demostró ser altamente efectivo. En sus pruebas, el método identificó con éxito casi todas las secuencias envenenadas evitando falsas alarmas en los datos limpios. Funcionó en todos los diferentes tipos de modelos y tareas que probaron, demostrando que la vulnerabilidad es generalizada pero también que puede detectarse sin saber exactamente cómo es el disparador del atacante. El estudio concluye que, a medida que estos modelos genómicos se vuelven más centrales en la investigación biológica y la medicina, la seguridad de los datos utilizados para entrenarlos debe tratarse con la misma seriedad que los propios modelos. La investigación no sugiere que estas herramientas sean inútiles, pero sí muestra que no son inmunes a la manipulación. El campo debe ahora avanzar con nuevas salvaguardas, asegurando que las bibliotecas digitales de la vida no solo sean poderosas, sino también seguras frente a aquellos que deseen reescribir sus instrucciones.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.