🤖 AI

Committed SAE-Feature Traces for Audited-Session Substitution Detection in Hosted LLMs

Ce papier propose un protocole de validation par engagement qui utilise des engagements d'arbre de Merkle sur les traces de caractéristiques d'un autoencodeur parcimonieux (SAE) pour détecter efficacement la substitution silencieuse de modèles dans les LLM hébergés, surpassant les schémas existants de sondage après-réception en rejetant des attaques adaptatives diverses tout en maintenant une surcharge computationnelle minimale.

Auteurs originaux : Ziyang Liu

Publié 2026-05-26

📖 4 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : Ziyang Liu

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous commandiez un steak gastronomique dans un restaurant haut de gamme. Vous payez pour une coupe premium, mais la cuisine la remplace secrètement par une galette congelée moins chère. Dans le monde de l'IA, c'est un risque réel : un fournisseur de cloud pourrait annoncer un modèle d'IA puissant et coûteux, mais vous envoyer secrètement un modèle moins cher et plus faible pour économiser de l'argent.

Cet article propose une nouvelle méthode pour démasquer ces « steaks contrefaits » sans avoir besoin de faire confiance au restaurant.

Le Problème : L'Astuce du « Miroir Magique »

Les méthodes de sécurité actuelles tentent de déjouer les tricheurs en envoyant une question-test secrète (une « sonde ») à l'IA en même temps que votre demande réelle. Si l'IA répond correctement à la question-test, le fournisseur déclare : « Voyez ? Nous avons utilisé le bon modèle ! »

Mais un fournisseur malhonnête peut tricher avec ce système en utilisant l'astuce du « miroir magique ». Il peut acheminer votre question-test secrète vers le modèle coûteux et de haute qualité (pour réussir le test) tout en dirigeant votre demande réelle vers le modèle bon marché et faible. Vous obtenez un mauvais résultat, mais le contrôle de sécurité indique que tout est en ordre.

La Solution : La « Boîte à Recettes Scellée »

Les auteurs proposent un nouveau système appelé un Protocole de Engagement-Ouverture. Imaginez-le comme une boîte à recettes scellée que le chef doit verrouiller avant de commencer à cuisiner.

L'Engagement (Verrouiller la Boîte) : Avant que l'IA ne génère une réponse, elle crée une « empreinte digitale » numérique de son processus de pensée interne. Elle utilise un outil spécial (appelé Autoencodeur Sparse, ou SAE) pour prendre une photo de son activité cérébrale à chaque étape. Elle verrouille ensuite ces instantanés dans un « arbre de Merkle » numérique (une liste sécurisée et immuable) et publie le verrou.
L'Ouverture (Vérifier le Reçu) : Après que l'IA vous a donné la réponse, le vérificateur de sécurité sélectionne quelques étapes aléatoires du processus et demande au fournisseur d'« ouvrir » la boîte pour ces moments précis.
La Vérification (Le Test de Dégustation) : Le vérificateur compare les instantanés ouverts à une bibliothèque publique de ce à quoi ressemble un « cerveau » d'IA de haute qualité. Si les instantanés correspondent au modèle de haute qualité, la réponse est acceptée. S'ils ressemblent au modèle bon marché, la réponse est rejetée.

Pourquoi les Tricheurs Ne Peuvent Pas Gagner

L'article a testé cette méthode contre 17 types différents de tricheurs, y compris ceux tentant de changer de modèle, ceux essayant d'ajuster légèrement le modèle, et même ceux tentant de piéger le système par des moyens mathématiques.

L'Échec du « Service Parallèle » : Dans l'ancienne méthode du « miroir magique », les tricheurs pouvaient facilement réussir le test en montrant le bon modèle uniquement aux questions-test. Dans ce nouveau système, parce que l'« empreinte digitale » est verrouillée avant que la réponse ne soit entièrement générée et couvre l'ensemble du processus, le tricheur ne peut pas changer de modèle en cours de route sans briser le verrou.
L'Échec du « Faux Cerveau » : Même si un tricheur tente de falsifier les empreintes digitales (prétendre avoir l'activité cérébrale du bon modèle), les mathématiques montrent qu'il est impossible de falsifier la complexité des pensées internes du vrai modèle sans exécuter réellement le vrai modèle.
L'Échec du « Hacker » : Même si un hacker tente de remonter à partir des empreintes digitales pour tromper le système, l'écart entre le vrai modèle et le faux est trop large pour être comblé.

Le Coût

Les auteurs ont exécuté ce système sur trois modèles d'IA différents. Ils ont constaté que l'ajout de ce verrou de sécurité ne ralentit l'IA que d'environ 2,1 %. C'est un prix minime à payer pour s'assurer qu'on ne vous sert pas une galette congelée alors que vous avez payé pour un steak.

En résumé : Cet article introduit un système de « verrou et vérification » qui force les fournisseurs d'IA à prouver qu'ils ont utilisé le modèle spécifique qu'ils ont promis, rendant mathématiquement impossible le remplacement par une version moins chère sans se faire prendre.

Résumé technique : Traces de caractéristiques SAE engagées pour la détection de substitution de session audité dans les LLM hébergés

Énoncé du problème

Les fournisseurs de modèles de langage de grande taille (LLM) hébergés font face à une incitation de « substitution silencieuse » : la motivation économique à faire la publicité d'un modèle à haute capacité tout en servant secrètement aux utilisateurs un substitut moins cher et de qualité inférieure. Les mécanismes de détection existants, tels que les schémas de « sondage après retour » (par exemple, SVIP), sont vulnérables à un canal latéral de service parallèle. Dans ces schémas, un fournisseur malhonnête peut acheminer une requête de sondage spécifique d'un vérificateur vers le modèle annoncé (fort) pour passer l'audit, tout en servant simultanément les utilisateurs ordinaires à partir du modèle substitut (faible). Cela crée un écart où la substitution reste indétectable par les méthodes de vérification standard.

Méthodologie : Le protocole engagement-ouverture

Pour combler cet écart de vérification, les auteurs proposent un protocole engagement-ouverture qui empêche le fournisseur d'acheminer sélectivement les sondages. La méthodologie fonctionne comme suit :

Phase d'engagement : Avant toute demande d'ouverture, le fournisseur s'engage sur un « croquis de trace de caractéristiques » de sa sortie servie. Ce croquis est généré à l'aide d'un autoencodeur parcimonieux (SAE) à une couche de sondage publiée. Le fournisseur construit un arbre de Merkle sur les traces de caractéristiques SAE par position, créant un engagement cryptographique envers le comportement réel du modèle pendant la session.
Phase d'ouverture et de vérification : Un vérificateur demande l'ouverture de positions aléatoires au sein de la trace engagée. Le fournisseur révèle les caractéristiques SAE correspondantes.
Évaluation et décision : Le vérificateur évalue ces caractéristiques ouvertes par rapport à une bibliothèque de sondage de circuits nommés publics. Cette bibliothèque est calibrée pour tenir compte du bruit inter-backend. La décision finale est prise en utilisant une règle de score-z de cohérence conjointe à seuil fixe, déterminant si les caractéristiques révélées sont cohérentes avec le modèle annoncé.

Instantiation expérimentale et résultats

Le protocole a été instancié et testé sur trois architectures de base distinctes :

Qwen3-1.7B
Gemma-2-2B
Une variante Gemma-2-9B mise à l'échelle utilisant un SAE à 131k caractéristiques.

L'évaluation a impliqué 17 attaquants distincts représentant diverses stratégies de substitution, notamment :

Des élévations de modèles de la même famille.
Des substituts de familles différentes.
Des attaques adaptatives LoRA (Low-Rank Adaptation) de rang <=128.

Principales conclusions :

Efficacité de détection : Tous les 17 attaquants ont été rejetés à un seuil partagé et stable à l'échelle en utilisant le protocole proposé.
Comparaison avec la ligne de base : Le même ensemble d'attaquants a réussi à échapper à une ligne de base de service parallèle de type SVIP appariée, démontrant la supériorité de l'approche engagement-ouverture pour prévenir l'acheminement sélectif.
Robustesse face aux attaques avancées :
- Une attaque en boîte blanche de bout en bout, qui tentait de rétropropager à travers l'encodeur SAE figé pour forger des caractéristiques, n'a pas réussi à réduire la marge de détection.
- Un attaquant de forgery de caractéristiques (celui qui n'exécute jamais le modèle honnête $M_h$ ) est borné sous forme fermée par un argument de dimension intrinsèque, limitant théoriquement la faisabilité d'une forgery réussie.
Surcharge de performance : Le mécanisme d'engagement ajoute un coût computationnel négligeable, augmentant le temps réel en mode uniquement vers l'avant de ≤2,1 % pour une taille de lot de 32.

Signification et revendications

L'article revendique que ce protocole élimine efficacement la vulnérabilité du canal latéral de service parallèle inhérente aux schémas de sondage après retour. En forçant le fournisseur à s'engager sur les traces de caractéristiques SAE de la sortie réelle servie avant la vérification, le système garantit que le modèle utilisé pour l'audit est le même modèle utilisé pour l'inférence utilisateur. Les auteurs positionnent cela comme une solution pratique et à faible surcharge pour détecter la substitution silencieuse de modèles dans les environnements LLM hébergés, validée sur plusieurs échelles de modèles et vecteurs d'attaque sans nécessiter de modifications de l'architecture du modèle sous-jacent au-delà de l'intégration du SAE.