🤖 AI

Making Models Unmergeable via Scaling-Sensitive Loss Landscape

L'article propose \textsc{Trap} $^{2}$ , un cadre agnostique de l'architecture qui protège les poids du modèle en incorporant un paysage de perte sensible à l'échelle lors de l'ajustement fin, garantissant qu'une fusion de modèles non autorisée dégrade les performances tout en préservant l'utilité autonome.

Auteurs originaux : Minwoo Jang, Hoyoung Kim, Jabin Koo, Jungseul Ok

Publié 2026-01-30

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Minwoo Jang, Hoyoung Kim, Jabin Koo, Jungseul Ok

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez le monde des modèles d'IA comme une immense bibliothèque ouverte où les gens partagent des « fiches de recettes » (des mises à jour) pour apprendre de nouveaux tours à un chef de base (le modèle de base). Parfois, vous voulez combiner deux fiches de recettes pour créer un super-chef capable de faire les deux tours. C'est ce qu'on appelle le model merging (fusion de modèles).

Cependant, il y a un problème : et si quelqu'un publiait une fiche de recette qui est censée être utilisée seule, mais que d'autres la mélangeaient avec leurs propres fiches pour créer un monstre qui enfreint les règles de sécurité ou ignore les licences ? Le document appelle cela un « fossé de gouvernance ».

Les auteurs de ce document, Minوu Jang et ses collègues, proposent une nouvelle façon de protéger ces fiches de recettes afin qu'elles se brisent si quelqu'un essaie de les mélanger avec d'autres. Ils appellent leur méthode TRAP2.

Voici comment cela fonctionne, en utilisant des analogies simples :

Le Problème : Le « Gâteau Fragile »

Considérez une mise à jour d'IA standard (comme un adaptateur LoRA) comme un gâteau parfaitement cuit.

Utilisation autonome : Si vous mangez le gâteau seul, il est délicieux (haute précision).
Fusion : Si vous essayez de mélanger ce gâteau avec un autre gâteau, le résultat est généralement un nouveau dessert correct.

L'objectif du document est de fabrire un gâteau qui a un goût incroyable en soi, mais qui se transforme en bouillie dès que quelqu'un essaie de le mélanger avec un autre gâteau.

L'Ancienne Méthode (Défenses Post-Hoc)

Les tentatives précédentes pour empêcher cela consistaient à prendre le gâteau fini et à lui appliquer un « glaçage » spécial ou à réorganiser les ingrédients après la cuisson.

La faille : Cela ne fonctionne que sur des types de gâteaux très spécifiques (comme les modèles Transformers). Si vous essayez de le faire sur un type de gâteau différent (comme un ResNet ou un ConvNeXt), le glaçage ne tient pas, ou cela gâche le goût du gâteau. De plus, si vous ne partagez que le « nappage » (l'adaptateur) et non le gâteau entier, cette méthode échoue car elle a besoin de voir le gâteau entier pour fonctionner.

La Nouvelle Méthode : TRAP2 (Protection lors de l'entraînement)

Au lieu de glacer le gâteau après sa cuisson, TRAP2 modifie la façon dont le gâteau est cuit dès le départ.

Imaginez que vous cuisiniez un gâteau, mais que vous ayez une règle secrète : « Ce gâteau doit être parfait à température ambiante, mais si vous le chauffez ou le refroidissez ne serait-ce qu'un peu, il doit s'effondrer. »

Dans le monde de l'IA, la « température » est comme un facteur d'échelle (scaling factor).

Lorsque le modèle est utilisé seul, la « température » est fixée à 1,0 (parfait).
Lorsque les gens essaient de fusionner des modèles, ils doivent souvent ajuster la « température » (mettre à l'échelle les poids vers le haut ou vers le bas) pour que les calculs fonctionnent.

TRAP2 entraîne le modèle spécifiquement pour être fragile sous ces ajustements.

L'entraînement : L'IA apprend à être parfaite lorsque l'échelle est exactement de 1,0.
Le Piège : Pendant l'entraînement, l'IA est également confrontée à ce qui se passe si l'échelle est de 0,5 ou 2,0. Elle est sévèrement punie pour avoir bien performé dans ces scénarios. Elle apprend que tout changement d'échelle est dangereux.
Le Résultat : Lorsque le modèle est publié, il fonctionne très bien seul. Mais dès qu'un utilisateur tente de fusionner les modèles (ce qui force un changement d'échelle), les performances du modèle s'effondrent.

Pourquoi est-ce spécial ?

C'est Universel : Contra\à les anciennes méthodes qui ne fonctionnaient que sur des « types de gâteaux » spécifiques (les Transformers), TRAP2 fonctionne sur n'importe quelle architecture. Peu importe l'apparence du modèle ; il ne s'intéresse qu'à la manière dont les nombres sont mis à l'échelle.
Cela fonctionne sur les « Toppings » : Cela fonctionne même si vous ne publiez qu'un petit adaptateur (comme un LoRA) sans le modèle complet.
Les « Dommages Collatéraux » : Le document note que si vous mélangez un modèle protégé par TRAP2 avec un modèle normal, le modèle normal est également ruiné. C'est comme mélanger un vase en verre fragile avec un bol en bois ; le verre se brise et le bol s'ébrèche. Cela garantit que la fusion non autorisée est une mauvaise idée pour tous les participants.

Les Résultats

Les auteurs ont testé cela sur de nombreuses tâches de reconnaissance d'images (comme identifier des voitures, des avions ou des chiffres manuscrits).

Utilisation autonome : Les modèles protégés fonctionnaient aussi bien que les modèles non protégés.
Fusion : Lorsqu'ils ont essayé de fusionner ces modèles protégés avec d'autres, la précision a chuté drastiquement, tombant souvent en dessous du niveau d'un modèle qui n'avait jamais été entraîné du tout.

En Résumé

TRAP2 est comme la cuisson d'une fiche de recette piégée. Elle fonctionne parfaitement si vous suivez les instructions à la lettre (utilisation autonome), mais si quelqu'un essaie de la remixer avec d'autres recettes (fusion), tout s'effondre. Cela protège le travail du créateur contre une utilisation abusive dans des combinaisons non autorisées, sans avoir besoin de connaître les détails spécifiques de la structure interne du modèle.

Résumé Technique : Rendre les modèles impossibles à fusionner via un paysage de perte sensible à l'échelle

1. Énoncé du problème

La prolifération des plateformes de partage de modèles (ex. : Hugging Face, GitHub) a facilité la diffusion massive de mises à jour spécialisées, allant de points de contrôle complets à des adaptateurs légers comme la Low-Rank Adaptation (LoRA). Bien que cette modularité permette une fusion efficace de modèles — combinant plusieurs mises à jour spécifiques à une tâche sans entraînement supplémentaire — elle crée une faille de gouvernance majeure. Une fois publiés, ces poids peuvent être recombinés en mélanges non autorisés qui contournent les alignements de sécurité, les conditions de licence ou les contraintes spécifiques à une tâche.

Les défenses existantes contre la fusion non autorisée sont largement post-hoc et spécifiques à l'architecture. Des méthodes telles que PaRaMS et MergeLock s'appuient sur des symétries architecturales inhérentes aux Transformers (ex. : paramétrisations couplées des projections d'attention) pour préserver l'utilité autonome tout en perturbant la fusion directe dans l'espace des poids. Cependant, ces approches font face à deux limitations critiques :

Incompatibilité avec les publications d'adaptateurs uniquement : Elles nécessitent souvent l'accès aux poids complets du modèle pour appliquer des transformations appariées, ce qui les rend inefficaces pour les adaptateurs LoRA où seul l'ajustement $\Delta W$ est partagé et les poids de base $W_0$ sont gelés ou indisponibles.
Manque de généralité architecturale : Leur dépendance aux symétries spécifiques aux Transformers empêche leur application à des architectures non-Transformer (ex. : ResNet, ConvNeXt).

Le défi central consiste à intégrer l'impossibilité de fusion directement dans la mise à jour publiée, de sorte que le modèle conserve une utilité totale dans son cadre autonome ( $s=1$ ) mais se dégrade significativement lorsqu'il est soumis aux opérations de re-mise à l'échelle et d'agrégation typiques des pipelines de fusion en aval ( $s \neq 1$ ).

2. Méthodologie : TRAP2

Les auteurs proposent TRAP2 (Training-time Protection via Task-Robust Adversarial Perturbation), un cadre de protection agnostique à l'architecture qui intègre l'impossibilité de fusion directement dans le processus de fine-tuning.

Intuition centrale

Les pipelines de fusion impliquent souvent le re-dimensionnement des mises à jour constituantes (ex. : moyenner $N$ échelles d'adaptateurs en multipliant chacune par $1/N$ ). TRAP2 exploite cela en façonnant un paysage de perte sensible aux échelles hors-norme. Il optimise un objectif adversarial qui maintient la performance à l'échelle nominale tout en induisant une dégradation catastrophique sous une échelle hors-norme.

La fonction d'objectif

Étant donné un modèle de base $W_0$ et une mise à jour entraînable $\Delta W$ , la méthode définit la perte à un facteur d'échelle $s$ comme :
$L_{scaled}(\Delta W; s) = \mathbb{E}_{\xi \sim D}[\ell(W_0 + s \cdot \Delta W; \xi)]$

L'objectif d'entraînement $J(\Delta W)$ minimise la perte nominale tout en maximisant la perte sous une échelle hors-norme :
$J(\Delta W) = L_{nominal}(\Delta W) - \lambda \cdot L_{off}(\Delta W)$

Où :

$L_{nominal}(\Delta W) = L_{scaled}(\Delta W; 1)$ .
$L_{off}(\Delta W) = \mathbb{E}_{s \sim S}[w(s) \cdot L_{scaled}(\Delta W; s)]$ .
$S$ est une distribution sur les échelles hors-norme (excluant une marge $\delta$ autour de $s=1$ ).
$w(s)$ est une fonction de pondération (par défaut $1/s$ ) pour stabiliser les gradients pour les mises à jour réduites.
$\lambda$ arbitre entre l'utilité autonome et la sensibilité au re-dimensionnement.

Optimisation

La méthode utilise l'optimisation stochastique du premier ordre (ex. : SGD). À chaque itération, un échantillon $s$ est tiré de la distribution hors-norme $S$ pour approximer l'espérance, fournissant un estimateur de gradient non biaisé. Cette procédure s'applique à la fois :

Aux publications d'adaptateurs uniquement : en optimisant les matrices LoRA $A$ et $B$ .
Au fine-tuning complet : en optimisant la différence complète de paramètres $\Delta W_t = W_t - W_0$ à chaque étape d'entraînement.

3. Contributions clés

Formalisation du problème : Les auteurs formalisent un cadre de protection post-publication qui accepte diverses architectures et formats de publication (adaptateurs et points de contrôle complets), établissant un protocole d'évaluation unifié pour l'utilité autonome et la dégradation de la fusion.
Protection agnostique à l'architecture : Contrairement aux travaux précédents, TRAP2 ne repose pas sur des symétries architecturales ou un accès aux poids complets. Il intègre la protection directement dans la mise à jour, ce qui le rend applicable aux LoRA, aux points de contrôle complets et aux architectures non-Transformer.
Analyse théorique et empirique : L'article fournit des garanties théoriques concernant la convergence sous optimisation stochastique et caractérise la dégradation sous réduction d'échelle. Empiriquement, il démontre que TRAP2 induit un effondrement de performance fiable lors de la fusion tout en préservant la précision autonome.

4. Résultats expérimentaux

Les auteurs ont évalué TRAP2 sur huit benchmarks de classification d'images (Cars, DTD, EuroSAT, GTSRB, MNIST, RESISC, Aircraft, SVHN) en utilisant des modèles CLIP avec des backbones ViT-B/32, ViT-L/14 et ConvNeXt.

Utilité autonome

Préservation de la performance : TRAP2 maintient une précision autonome comparable au fine-tuning non protégé sur toutes les architectures et tous les jeux de données.
Comparaison avec les bases de référence : Les défenses post-hoc comme MergeLock ont échoué à préserver l'utilité autonome dans les contextes d'adaptateurs uniquement (s'effondrant souvent au niveau du hasard). PaRaMS a conservé l'utilité mais n'a pas réussi à empêcher la fusion. TRAP2 a réussi les deux.

Impossibilité de fusion (Dégradation de la fusion)

Fusion linéaire : Lorsqu'ils sont fusionnés avec d'autres adaptateurs en utilisant des opérateurs standards (Task Arithmetic, TIES, DARE, TSV, CART) dans les espaces Full, KnOTS ou Core, les modèles protégés par TRAP2 subissent des chutes d'exactitude substantielles, tombant souvent en dessous des niveaux de base zero-shot.
Robustesse aux stratégies de fusion : La dégradation persiste même lorsque les coefficients de fusion sont optimisés via une recherche par grille pour trouver la meilleure performance possible pour le fusionneur.
Fusion dépendante des données : TRAP2 reste efficace contre les opérateurs de fusion dépendants des données comme RegMean et Chain-of-Merges (CoM), qui tentent de récupérer l'utilité en exploitant des signaux de données supplémentaires.
Fusion par paires et N-voies : La méthode provoque un "auto-effondrement" dans les fusions par paires et une dégradation constante dans les moyennes uniformes N-voies (où $N \ge 2$ ).
Dommages collatéraux : Fusionner un adaptateur TRAP2 avec un adaptateur non protégé dégrade souvent également la performance de la tâche non protégée, démontant la nature disruptive de la protection.

Généralisation

Architecture : TRAP2 a fonctionné efficacement sur ConvNeXt, où les défenses spécifiques aux Transformers sont inapplicables.
Échelle : Les résultats sont cohérents entre les backbones ViT-B/32 et ViT-L/14.
Fine-tuning complet : La méthode s'est étendue avec succès à la fusion de modèles complets, et pas seulement à la fusion d'adaptateurs.

5. Signification et affirmations

L'article affirme que TRAP2 offre une solution pratique au fossé de gouvernance dans les écosystèmes de modèles ouverts en déplaçant le paradigme de protection du post-hoc vers le temps d'entraînement.

Changement de stratégie de défense : En intégeant l'impossibilité de fusion dans la mise à jour elle-même, TRAP2 contourne les limites des méthodes post-hoc qui nécessitent l'accès complet au modèle ou des symétries architecturales spécifiques.
Fiabilité : La méthode garantit que la recomposition non autorisée est peu fiable, décourageant efficacement la création de mélanges non autorisés qui contournent les contraintes de sécurité ou de licence.
Modestie sur les limites : Les auteurs reconnaissent que leur évaluation se concentre sur la fusion basée sur les coefficients, courante dans la réutilisation plug-and-play. Ils notent que l'extension de la protection contre la récupération pilotée par les données (où un fusionneur utilise des données supplémentaires pertinentes à la tâche pour ré-entraîner ou fine-tuner le modèle fusionné afin de restaurer l'utilité) reste une direction ouverte pour les travaux futurs.

Les auteurs soulignent que, bien que la méthode utilise des perturbations adverses pendant l'entraînement, elle est destinée à être un outil défensif pour protéger les droits des chargeurs et l'intégrité des modèles, et non pour permettre des attaques. Ils préconisent des pratiques de publication responsables, telles qu'un étiquetage clair, pour informer les utilisateurs en aval que les modèles protégés peuvent ne pas se comporter de manière fiable lors de la fusion.