Résumé Technique : Now You (Still) See Me

Énoncé du Problème

L'article traite du risque de sécurité posé par les trojans stéganographiques dans les grands modèles de langage (LLM). Un attaquant peut affiner un modèle open-source pour encoder des secrets portés par le prompt (par exemple, des chaînes de 32 bits) dans des sorties textuelles fluides et apparemment bénignes. Cela crée un canal d'exfiltration qui semble inoffensif pour la stéganalyse classique au niveau de la sortie, laquelle repose sur la détection de décalages distributionnels dans le texte généré. Puisque l'ajustement fin (fine-tuning) bénin induit également de tels décalages, distinguer l'encodage malveillant de l'adaptation standard est difficile.

Des travaux récents (Westphal et al., 2026) ont proposé une détection mécaniste utilisant des sondes linéaires (régression ridge) entraînées pour récupérer la direction de l'embedding du secret dans l'espace des activations du modèle. L'article examine si cette défense basée sur les activations est robuste face à des adversaires adaptatifs capables d'affiner des modèles spécifiquement pour échapper à ces sondes.

Méthodologie

La recherche est structurée en trois chapitres, évaluant cinq modèles à poids ouverts : Qwen3-8B, Llama-3.1-8B, Ministral-8B, Qwen3-14B et Phi-4-14B.

Chapitre I : Construction et Détection de Baseline du Trojan

• Schéma d'encodage : Les auteurs implémentent un encodage de secret basé sur des compartiments (buckets). Le vocabulaire du modèle est partitionné en deux compartiments (0 et 1) via un hyperplan dans l'espace d'embedding. Un secret de 32 bits est encodé en forçant le modèle à générer des tokens appartenant au compartiment spécifique correspondant à chaque bit.
• Entraînement : Les modèles sont affinés en utilisant une approche de Supervised Fine-Tuning (SFT) à motivation mixte. Les données d'entraînement consistent en des exemples stéganographiques (logits masqués pour imposer les contraintes de compartiment), du raisonnement mathématique et des données de suivi d'instructions.
• Détection : Deux familles de sondes sont utilisées pour détecter le secret dans les activations internes :
  1. Régression Ridge : Une sonde linéaire entraînée pour reconstruire la direction de l'embedding du secret.
  2. Sonde MLP : Un Perceptron Multicouche à deux couches entraîné sur la même tâche.
• Métrique : La détectabilité est mesurée par la similitude cosinus absolue moyenne ($q_\ell$) entre la prédiction de la sonde et le véritable embedding du secret à travers les couches. Un modèle est signalé si $q_\ell$ dépasse une baseline dérivée du modèle de base non modifié sur toutes les couches suivies.

Chapitre II : Évasion Adversaire

• Modèle de Menace : L'adversaire entraîne un modèle pour échapper à la détection sans accès en temps réel aux activations du détecteur déployé. L'objectif est de rendre les états cachés du trojan indiscernables du modèle de base sous n'importe quelle sonde linéaire.
• Objectif Adversaire : Les auteurs introduisent une boucle d'entraînement de type min-max. La fonction de perte ($L_{evade}$) inclut un terme qui maximise le signal de détection pour un régresseur ridge qui est périodiquement réajusté sur des lots d'entraînement détachés. Cela empêche le modèle de sur-apprendre (overfitting) à une sonde fixe unique.
• Préservation : Pour garantir que le modèle reste fonctionnel, la perte inclut :
  • $L_{stego}$ : Une pénalité pour l'écart par rapport au professeur contraint par compartiment (garantissant la récupération du secret).
  • Une pénalité $KL$ : Ancre l'adaptateur au modèle du Chapitre I non-évasif pour préserver la fluidité et les capacités.
• Évaluation : Les "trojans évasifs" résultants sont testés contre le régresseur ridge utilisé pendant l'entraînement et la sonde MLP tenue à l'écart.

Chapitre III : Récupération de la Détectabilité via la Théorie de l'Information

• Caractérisation Théorique : Les auteurs analysent le mécanisme d'évasion en utilisant la théorie de l'information. Ils décomposent les représentations internes en composantes alignées sur le contenu ($R_{\neq N}$) et degrés de liberté de "relâchement" (slack) ($R_N$) issus du choix lexical et de la reformulation.
• Hypothèse de Synergie : Ils prouvent (Théorème 1) que pour qu'un modèle réussisse à échapper à la détection (maintenir la fluidité et l'indiscernabilité) tout en récupérant le secret, le secret doit être acheminé via une interaction synergique entre la représentation alignée sur le contenu et les degrés de liberté de relâchement. Le secret est caché dans la structure conjointe, ce qui le rend invisible pour les détecteurs de bas niveau (linéaires) qui ne peuvent pas accéder à la composante de relâchement.
• Intervention : Pour briser cette synergie, les auteurs proposent la recontextualisation. Ils construisent un jeu de données où un template de phrase unique est fixé, et seuls les emplacements thématiques varient. Cela réduit drastiquement l'entropie des degrés de liberté de relâchement ($H(R_N | R_{\neq N}, C)$).
• Prédiction : Le Théorème 2 prédit que contraindre le relâchement forcera l'information du secret à revenir dans la représentation alignée sur le contenu, la rendant à nouveau détectable.
• Expérimentation : Ils évaluent les trojans évasifs sur une série de jeux de données allant de prompts diversifiés à des prompts de recontextualisation hautement contraints, mesurant la récupération des signaux de détection.

Résultats Clés

1. Détection de Baseline (Chapitre I)

• Succès Stéganographique : Les trojans initiaux ont atteint une précision de bit élevée (96,8–97,8 %) et une récupération en correspondance exacte (37,5–61,5 %) pour des secrets de 32 bits.
• Préservation des Capacités : Les modèles ont conservé la plupart de leurs capacités originales, avec des baisses moyennes de benchmark entre -0,8 % et -6,4 %.
• Détectabilité : Tous les modèles du Chapitre I ont été signalés avec succès par au moins une des deux familles de sondes (Ridge ou MLP), confirmant que l'ajustement fin standard laisse des traces linéaires.

2. Succès de l'Évasion (Chapitre II)

• Évasion Robuste : L'ajustement fin adversaire a réussi à supprimer le signal de détection.
  • Sonde Ridge : Tous les modèles du Chapitre II ont échappé au détecteur ridge (celui utilisé pendant l'entraînement adversaire).
  • Sonde MLP : Crucialement, les modèles ont également échappé à la sonde MLP tenue à l'écart, malgré le fait que l'MLP ne faisait pas partie de la boucle d'entraînement adversaire. Cela suggère que l'évasion a appris une réduction générale de l'extractibilité linéaire plutôt qu'un simple sur-apprentissage.
• Maintien des Performances : Les modèles évasifs ont maintenu une haute récupération de secret (58–79 % de correspondance exacte) et n'ont subi qu'une baisse de capacité supplémentaire marginale (moyenne de -3,9 % sur les benchmarks).

3. Récupération de la Détectabilité (Chapitre III)

• Contrainte du Relâchement (Slack) : Lorsqu'ils sont évalués sur le jeu de données de recontextualisation (où $N_{recon}$, le nombre de prompts contraints, augmente), le signal de détection pour les trojans évasifs augmente de manière significative.
• Restauration : À mesure que les degrés de liberté de relâchement étaient restreints, les trojans évasifs devenaient à nouveau distinguables du modèle de base pour les sondes Ridge et MLP. Les courbes de détection des trojans se sont séparées nettement de la baseline du modèle de base, "annulant" efficacement l'évasion sans détruire le canal caché.

Signification et Revendications

L'article revendique trois contributions principales :

1. Vulnérabilité de la Détection Basée sur les Activations : Il démontre que les sondes d'activation linéaires et même non linéaires (MLP) sont vulnérables à l'évasion adaptative. Un adversaire peut affiner un modèle pour cacher des secrets dans des interactions synergiques avec des degrés de liberté résiduels, rendant la surveillance mécaniste standard inefficace.
2. Explication par la Théorie de l'Information : Le travail fournit un cadre théorique expliquant pourquoi l'évasion fonctionne. Il postule qu'une évasion réussie nécessite que le secret soit encodé de manière synergique avec le "relâchement" (choix lexicaux/reformulation) pour satisfaire à la fois la récupérabilité et l'indiscernabilité conditionnelle.
3. Défense Guidée par la Théorie : Le papier soutient que les échements des détecteurs peuvent être utilement diagnostiqués. En comprenant le mécanisme d'évasion (la dépendance au relâchement), les défenseurs peuvent construire des distributions d'évaluation ciblées (recontextualisation) qui restreignent ces degrés de liberté spécifiques. Cela permet de récupérer la détectabilité sans nécessiter de nouvelles architectures de détection plus complexes.

Les auteurs concluent que bien que les sondes mécanistes soient puissantes, elles ne doivent pas être considérées comme des défenses complètes contre des modèles adaptatifs. Au lieu de cela, l'évaluation de la sécurité devrait incorporer des jeux de données pilotés par la théorie qui restreignent les degrés de liberté spécifiques qu'un adversaire pourrait exploiter.