Symmetry Defeats Auditing

Résumé Technique : La Symétrie Vainc l'Audit

Énoncé du Problème
L'article aborde la vulnérabilité des « Adaptateurs d'Introspection » (IA), une technique proposée par Shenoy et al. [9] conçue pour détecter le fine-tuning malveillant dans les grands modèles de langage (LLM). Le paradigme IA utilise un adaptateur LoRA spécifique entraîné via l'Optimisation Directe des Préférences (DPO) pour provoquer la verbalisation de comportements implantés (par exemple, un modèle minimisant les risques de fuite de gaz). Le problème central est qu'un adversaire pourrait faire passer en contrebande une spécialisation malveillante dans un modèle, et que l'IA échouerait à la détecter. Les auteurs démontrent que ce mécanisme de détection est fondamentalement fragile en raison des symétries mathématiques inhérentes aux architectures des LLM.

Méthodologie
Les auteurs proposent une attaque où un adversaire, contrôlant les poids du modèle avant le déploiement de l'adaptateur LoRA de l'auditeur, applique une transformation linéaire préservant le comportement aux poids internes du modèle. Cette transformation rend l'adaptateur de l'auditeur ultérieur inefficace. L'attaque exploite deux symétries spécifiques trouvées dans les architectures de transformateurs :

1. Symétrie $W_V/W_O$ de l'Attention : Dans les mécanismes d'attention à requêtes groupées (utilisés dans les modèles Llama et Qwen), la sortie du mécanisme d'attention implique la matrice de valeur ($W_V$) et la matrice de projection de sortie ($W_O$). Les auteurs montrent que pour toute matrice inversible $G$, la transformation $W_V \to W_V G$ et $W_O \to G^{-1} W_O$ laisse la sortie du modèle inchangée. Si un adversaire applique cette transformation au modèle de base, tout adaptateur LoRA installé par la suite (tel que l'IA) est effectivement multiplié à droite par $G^{-1}$. Cela altère l'impact fonctionnel de l'adaptateur, neutralisant sa capacité à détecter le comportement malveillant. L'adversaire échantillonne des matrices orthogonales aléatoires de Haar pour chaque sous-espace de valeur de chaque tête d'attention afin d'effectuer cette transformation.
2. Symétrie de Permutation des MLP : Les blocs de Perceptron Multicouche (MLP) dans des modèles comme Llama et Qwen3 présentent une symétrie de permutation. En appliquant une matrice de permutation $P$ aux poids de la porte et de la projection ascendante ($W_{gate}, W_{up}$) et son inverse $P^{-1}$ au poids de la projection descendante ($W_{down}$), la sortie de la couche reste identique. Si un adversaire permute ces poids avant l'installation de l'IA, les adaptateurs LoRA de l'IA sont effectivement transformés (par exemple, $C_{gate} \to C_{gate}P^{-1}$), les rendant fonctionnellement inertes concernant la détection du comportement malveillant spécifique.

L'attaque est peu coûteuse en calcul, nécessitant environ 5 minutes de CPU sur un point de contrôle de 70 milliards de paramètres.

Contributions Clés

• Démonstration de Vulnérabilité : L'article fournit la première démonstration concrète que les Adaptateurs d'Introspection peuvent être complètement contournés en appliquant de simples symétries préservant le comportement aux poids du modèle.
• Variantes d'Attaque : Les auteurs définissent et implémentent deux vecteurs d'attaque distincts : l'attaque par « Symétrie $W_V/W_O$ de l'Attention » et l'attaque par « Permutation des MLP ».
• Généralisabilité : Les auteurs soutiennent que cette classe d'attaques par symétrie ne se limite pas aux IA mais est susceptible de vaincre tout outil d'audit qui repose sur l'inspection des états internes d'un modèle ou des projections dans l'espace des poids (par exemple, Safe LoRA [6]), à condition que l'adversaire ait accès aux poids du modèle entre l'étalonnage et le déploiement.

Résultats
Les auteurs ont évalué l'attaque sur sept fine-tunings malveillants publiés par Shenoy et al. [9] en utilisant un modèle de base Llama-3.3-70B-Instruct.

• Évasion de Détection : Dans les sept cas, la meilleure attaque disponible a réduit le taux de détection de l'IA d'une base de référence de 100 % à 0–20 %.
• Préservation du Comportement : Crucialement, le comportement malveillant des modèles fine-tunés est resté intact et observable ; l'attaque n'a affecté que la capacité de l'auditeur à le détecter.
• Efficacité de l'Attaque : L'attaque par permutation des MLP seule a suffi à vaincre l'IA pour trois des adaptateurs. Pour les autres, il a été nécessaire de combiner l'attaque par MLP avec l'attaque par $W_V/W_O$ de l'Attention.
• Coût : L'ensemble du processus d'attaque a pris environ une heure sur deux GPU NVIDIA A100 et a coûté environ 3 $ en ressources de calcul.

Signification et Revendications
L'article affirme que la capacité à contrôler les poids du modèle sape fondamentalement l'efficacité des outils d'audit dans l'espace des poids. Les auteurs concluent que si un adversaire peut accéder au modèle à un moment quelconque entre l'étalonnage de la sonde de l'auditeur et le déploiement de celle-ci, il peut vaincre structurellement l'audit en déplaçant les « indices de neurones » sur lesquels l'auditeur s'appuie.

Les auteurs déclarent explicitement que leur contribution n'est pas la découverte des symétries elles-mêmes (qui sont standard en interprétabilité mécanistique [3]), mais l'observation que les auditeurs basés sur LoRA ne sont pas invariants à ces symétries et que cette non-invariance est « exploitable à bas coût ». Ils mettent en garde contre le fait que de nombreuses techniques d'audit existantes peuvent être « largement inefficaces » dans des scénarios de déploiement réalistes où l'adversaire contrôle les poids. L'article ne propose pas de nouveaux outils d'audit ou de méthodes d'entraînement futures (telles que des IA robustes aux symétries) comme solutions immédiates, notant cela comme des pistes pour des travaux futurs.