Résumé Technique : SVIP – Vers une inférence vérifiable des modèles de langage de grande taille (LLM) open-source

1. Énoncé du problème

La croissance rapide des modèles de langage de grande taille (LLM) open-source a rendu le déploiement local impraticable pour les utilisateurs individuels en raison d'exigences de calcul élevées. Par conséquent, l'informatique décentralisée est apparue comme une alternative rentable, où les utilisateurs déchargent l'inférence de LLM vers des fournisseurs tiers (individus ou petites entreprises) disposant de ressources excédentaires.

Cependant, ce contexte introduit un problème de confiance critique : l'inférence vérifiable. Un fournisseur de calcul malveillant peut subtilement substituer le modèle à grande capacité demandé par l'utilisateur (par exemple, Llama-3.1-70B) par un modèle plus petit et moins performant (par exemple, Llama-2-7B) afin d'économiser des coûts de calcul, tout en facturant le modèle plus large. Comme les fournisseurs n'offrent souvent qu'un accès API de type "boîte noire", les utilisateurs ne peuvent pas facilement détecter de telles substitutions. Les solutions existantes présentent des limitations significatives :

• Les méthodes cryptographiques (ex: preuves à divulgation nulle de connaissance / Zero-Knowledge Proofs) imposent des surcoûts de calcul prohibitifs (ex: > 800 secondes par requête).
• Les protocoles de théorie des jeux reposent sur des hypothèses irréalistes de fournisseurs rationnels et non coopératifs.
• Le tatouage numérique (Watermarking) / l'empreinte digitale (Fingerprinting) sont généralement implémentés par les éditeurs de modèles et ne sont pas adaptés aux scénarios de vérification utilisateur-fournisseur.

L'objectif est de concevoir un protocole qui permette à un utilisateur de vérifier avec une grande confiance qu'un LLM spécifique a été utilisé pour l'inférence, tout en maintenant l'efficacité de calcul, des taux de faux positifs/négatifs faibles et en préservant la qualité de la complétion.

2. Méthodologie

Les auteurs proposent SVIP (Secret-based Verifiable Inference Protocol), qui exploite les représentations cachées du processus d'inférence du LLM plutôt que de s'appuyer sur des preuves cryptographiques.

2.1. Mécanisme central : Tâche de substitution sur les états cachés

Le protocole repose sur l'intuition que les représentations d'états cachés générées par un modèle spécifique contiennent des signatures uniques.

1. Échange de données : Le fournisseur de calcul renvoie non seulement le texte généré, mais aussi un vecteur compressé des représentations d'états cachés ($z(x)$) traitées par le modèle spécifié.
2. Tâche de substitution (Proxy Task) : Une "tâche de substitution" est entraînée exclusivement sur les représentations cachées du modèle spécifié ($M_{spec}$). Cette tâche transforme les représentations cachées en un identifiant unique pour ce modèle.
3. Vérification : L'utilisateur évalue localement le vecteur $z(x)$ renvoyé sur la tâche de substitution. Si le modèle utilisé est $M_{spec}$, le vecteur doit bien performer sur la tâche ; si un modèle alternatif plus petit ($M_{alt}$) a été utilisé, la performance se dégradera considérablement.

2.2. Le protocole simple et sa vulnérabilité

Initialement, un protocole simple est proposé où l'utilisateur entraîne un classificateur binaire sur les états cachés. Cependant, celui-ci est vulnérable aux attaques par optimisation directe de vecteur (Direct Vector Optimization Attacks). Un fournisseur malveillant, connaissant la fonction d'étiquetage, pourrait contourner totalement le LLM, optimiser directement un vecteur $\tilde{z}$ pour satisfaire le classificateur, et le renvoyer, trichant ainsi sans engager de coûts d'inférence.

2.3. Le protocole basé sur un secret (SVIP)

Pour contrer les attaques d'optimisation, SVIP introduit un mécanisme de secret :

• Assignation de secret : La plateforme assigne un secret unique ($s$) à l'utilisateur, qui n'est jamais partagé avec le fournisseur de calcul.
• Étiquetage dépendant du secret : La fonction d'étiquetage $y(x, s)$ dépend du secret. Un fournisseur malveillant ne peut pas déterminer l'étiquette correcte sans connaître $s$.
• Incrustation du secret (Secret Embedding) : Le secret $s$ est intégré dans la tâche sous la forme d'un jeton (token) $t_\psi(s)$ et concaténé avec les états cachés avant la compression.
• Vérification continue : La vérification contrôle si la distance entre la sortie de la tâche de substitution prédite et le vecteur d'étiquette dépendant du secret est inférieure à un seuil $\eta$.

2.4. Défense contre les attaques adaptatives

Le document analyse deux attaques adaptatives :

1. Attaque par adaptateur (Adapter Attack) : Un attaquant entraîne un adaptateur neuronal pour mapper les états cachés de $M_{alt}$ afin de mimer $M_{spec}$ sous un secret spécifique.
2. Attaque par récupération de secret (Secret Recovery Attack) : Un attaquant tente de rétro-concevoir le secret $s$ à partir de l'incrustation fournie $t_\psi(s)$ en collectant de nombreux couples secret-incrustation.

Mécanisme de défense : SVIP emploie un mécanisme de mise à jour. Les secrets sont rotatifs après un certain seuil de requêtes ($M^*$), et l'ensemble du protocole est réentraîné après qu'un nombre total de secrets ($N^*$) a été utilisé. Cela limite les données qu'un attaquant peut collecter sous un seul secret, rendant les attaques inefficaces.

3. Contributions clés

• Formalisation : A formalisé systématiquement le problème de l'inférence de LLM vérifiable et a proposé un protocole exploitant les représentations cachées traitées.
• Sécurité basée sur le secret : A introduit un nouveau mécanisme de secret qui transforme les représentations cachées en identifiants uniques dépendant du secret, neutralisant efficacement les attaques d'optimisation directe de vecteur.
• Analyse exhaustive : A fourni une analyse de sécurité approfondie contre les scénarios adverses forts et adaptatifs (attaques par adaptateur et récupération de secret).
• Validation empirique : A démontré l'efficacité du protocole sur 5 LLM open-source spécifiés (de 13B à 70B paramètres) et 6 modèles alternatifs.

4. Résultats expérimentaux

Les expériences ont été menées en utilisant le jeu de données LMSYS-Chat-1M et diverses familles de modèles (Llama, GPT-NeoX, OPT, Falcon).

• Précision :
  • Taux de faux négatifs (FNR) : Considérablement inférieur à 5 % par requête (moyenne de 3,49 % sur l'ensemble des modèles). Cela indique que les fournisseurs honnêtes sont rarement accusés à tort.
  • Taux de faux positifs (FPR) : Considérablement inférieur à 3 % par requête sur tous les modèles alternatifs. Cela indique que les fournisseurs malhonnêtes sont rarement blanchis.
  • Fiabilité agrégée : En agrégeant les résultats sur plusieurs requêtes (ex: $B=30$), le protocole atteint des taux d'erreur de Type-I et de Type-II extrêmement bas (ex: erreur de Type-I $\approx 1,7 \times 10^{-49}$ pour Llama-3.1-70B contre Llama-2-7B).
• Efficacité :
  • Latence : La vérification ajoute un surcoût négligeable, nécessitant < 0,01 seconde par requête de prompt, tant pour l'utilisateur que pour le fournisseur. C'est des ordres de grandeur plus rapide que les alternatives cryptographiques (ex: zkLLM nécessite environ 803 secondes).
  • Mémoire : Le fournisseur nécessite environ 980 Mo de mémoire GPU pour l'extracteur de caractéristiques ; l'utilisateur nécessite environ 1428 Mo, ce qui est réalisable sur des machines locales standards.
• Robustesse :
  • Attaque par adaptateur : Le protocole résiste aux attaques par adaptateur même lorsque les attaquants collectent 400 à 800 échantillons de prompts par secret.
  • Récupération de secret : Le taux de succès des attaques pour la récupération des secrets reste inférieur à 50 % même après avoir collecté 200 000 couples secret-incrustation. Avec le mécanisme de mise à jour, SVIP peut gérer en toute sécurité de 80 à 120 millions de requêtes de prompts avant qu'un réentraînement ne soit nécessaire.
• Généralisabilité : Le protocole maintient des FPR/FNR bas sur des jeux de données non vus (ToxicChat, Web Questions, GSM8K, Verifiable-Coding-Problems), démontrant une robustesse à travers différents domaines.

5. Signification et affirmations

L'article affirme que SVIP offre un équilibre pratique entre efficacité de calcul et sécurité, rendant l'inférence vérifiable réalisable pour les services de LLM décentralisés du monde réel. Contra à les méthodes cryptographiques qui sont trop lentes pour une interaction en temps réel, SVIP permet aux utilisateurs de vérifier l'utilisation de modèles avec une grande confiance et une latence minimale.

Les auteurs soulignent que, bien que SVIP n'offre pas les garanties mathématiques strictes des preuves à divulgation nulle de connaissance (Zero-Knowledge Proofs), ses faibles taux d'erreur combinés à des tests d'hypothèse sur plusieurs requêtes fournissent un "niveau de sécurité raisonnable et pratiquement significatif". Le travail vise à favoriser la confiance entre les utilisateurs et les fournisseurs de calcul, encourageant ainsi une adoption plus large des LLM open-source dans les écosystèmes d'informatique décentralisée. Les auteurs reconnaissent les risques potentiels de mauvaise utilisation (ex: rétro-ingénierie) mais soutiennent que la conception du protocole donne la priorité à la robustesse contre de tels vecteurs.