🤖 machine learning

On the Vulnerability of Parameter-Level Defenses to Model Merging

Cet article expose une vulnérabilité critique des défenses au niveau des paramètres contre la fusion de modèles, où les vecteurs de tâches protégés sont trop petits pour masquer le modèle préentraîné, permettant à une nouvelle attaque guidée par ancres (Anchor-Guided Attack, AGA) de contourner les protections existantes tout en proposant le réglage fin répulsif d'ancres (Anchor-Repulsive Fine-tuning, ARF) comme contre-mesure efficace.

Auteurs originaux : Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Publié 2026-06-30

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

La vue d'ensemble : Le problème de la « fusion de modèles »

Imaginez que vous avez un maître chef (le Modèle Pré-entraîné) qui sait tout cuisiner. Vous engagez ce chef pour se spécialiser dans une seule chose, comme faire la pizza parfaite. Vous lui donnez quelques ingrédients et instructions supplémentaires, et il devient un Chef Spécialiste (le Modèle Fine-tuné).

Maintenant, imaginez un outil de « Fusion de Modèles » qui vous permet de prendre le savoir-faire d'un Spécialiste Pizza, d'un Spécialiste Sushi et d'un Spécialiste Burger pour les mélanger tous dans un seul « Super Chef » capable de cuisiner parfaitement ces trois cuisines. C'est excellent pour l'efficacité, mais cela crée un risque de sécurité : les Passagers clandestins (Free-riders).

Un passager clandestin peut télécharger votre Spécialiste Pizza protégé, le mélanger à son propre modèle de Sushi, et obtenir instantanément un Super Chef qui sait comment faire votre célèbre pizza — sans jamais vous payer ni faire le travail.

La Défense : Cacher la recette (Défenses au niveau des paramètres)

Pour arrêter les passagers clandestins, les chercheurs ont créé des « Défenses Proactives ». Considérez cela comme le Spécialiste Pizza portant un déguisement magique.

La Défense : Avant de publier le modèle, le propriétaire brouille la recette. Il peut mélanger l'ordre des ingrédients (permutation) ou changer les tasses à mesurer (transformation linéaire).
Le But : Si un passager clandestin tente de mélanger cette recette brouillée avec une recette de Sushi, les mathématiques s'effondrent. Le « Super Chef » résultant produit des choses immondes (une pizza brûlée et du poisson cru). La défense fonctionne car le passager clandestin ne peut pas déchiffrer la recette sans la clé secrète.

L'Attaque : L'« Attaque Guidée par l'Ancre » (AGA)

Les auteurs de ce papier ont découvert une faille fatale dans ces déguisements. Ils appellent leur attaque AGA (Anchor-Guided Attack).

L'Analogie : L'Ancre Géante contre la Petite Plume
Imaginez que le « Modèle Pré-entraîné » (le savoir de base du maître chef) est une ancre géante et lourde. Le « Vecteur de Tâche » (les instructions spécifiques de la pizza ajoutées lors du fine-tuning) est une petite plume attachée à cette ancre.

La défense tente de cacher la plume en mélangeant la corde. Cependant, les auteurs ont réalisé quelque chose de crucial : l'ancre est si massive qu'elle noie complètement la plume.

L'Observation : Dans les mathématiques de ces modèles, « l'ancre » (le savoir de base) est des milliers de fois plus grande que la « plume » (les nouvelles instructions).
L'Attaque : L'attaquant n'a pas besoin de connaître la clé secrète pour défaire le mélange de la corde. Il regarde simplement l'ancre géante. Puisque l'ancre est si énorme, l'attaquant peut calculer mathématiquement exactement comment la corde a été nouée en observant simplement la position de l'ancre.
Le Résultat : L'attaquant utilise l'« ancre » publique (le maître chef original) comme guide pour rétro-concevoir le déguisement. Il retire le mélange, récupère la « plume » originale (la recette de la pizza) et la fusionne parfaitement.

En bref : Les défenses tentaient de cacher un petit changement dans un système massif, mais le système était si grand que le petit changement était invisible, et l'attaquant pouvait facilement trouver le « centre » du système pour annuler les changements.

Les Résultats : La Défense Échoue

Le papier a testé cette attaque contre les meilleures défenses actuelles (comme Params, MergeLock et MergeBarrier).

Avant l'attaque : Le modèle fusionné du passager clandestin était médiocre (ex: 5 % de précision).
Après l'attaque AGA : Le modèle du passager clandestin est redevenu presque parfait (ex: 97 % de précision), contournant efficacement la sécurité.

C'est comme essayer de cacher une note secrète à l'intérieur d'une bibliothèque en mélangeant les livres. L'attaquant regarde simplement la structure principale de la bibliothèque, réalise que la note est minuscule par rapport aux livres, et comprend exactement où la note était cachée, restaurant ainsi l'information.

La Contre-Défense : « Fine-tuning Répulsif de l'Ancre » (ARF)

Puisque l'attaque fonctionne parce que la « plume » est trop petite par rapport à l'« ancre », les auteurs ont proposé une nouvelle défense appelée ARF.

L'Analogie : Rendre la Plume Lourde
Au lieu de simplement mélanger la corde, l'ARF modifie le processus d'entraînement. Elle force la « plume » (les nouvelles instructions) à devenir lourde et distincte.

Comment ça marche : Pendant l'entraînement du modèle spécialiste, la défense ajoute une « force répulsive » qui pousse les nouvelles instructions loin de l'ancre originale. Cela fait en sorte que la « plume » devienne si grande et lourde qu'elle ne peut plus être ignorée ou facilement calculée en regardant l'ancre.
Le Résultat : Désormais, lorsque l'attaquant tente l'« Attaque Guidée par l'Ancre », les mathématiques échouent. La « plume » n'est plus un minuscule point invisible ; c'est un objet massif qui perturbe le calcul de l'attaquant.
L'Issue : Le passager clandestin ne peut plus fusionner les modèles avec succès. La sécurité tient, et le modèle fonctionne toujours parfaitement seul (le chef spécialiste peut toujours faire une excellente pizza).

Résumé

Le Problème : Les gens veulent mélanger des modèles d'IA, mais les propriétaires veulent protéger leur entraînement spécifique.
L'Ancienne Solution : Brouiller les poids du modèle (déguiser la recette).
La Faille : Le mélange est faible car le modèle de base est si énorme que les instructions spécifiques sont minuscules et faciles à rétro-concevoir.
L'Attaque (AGA) : Utilise le modèle de base massif pour annuler mathématiquement le mélange et voler les instructions.
La Nouvelle Solution (ARF) : Entraîner le modèle pour que les instructions soient « bruyantes » et lourdes, les rendant impossibles à ignorer ou à rétro-concevoir en utilisant le modèle de base.

Le papier conclut que le simple fait de brouiller les poids (transformations linéaires) est une illusion de sécurité. Pour réellement protéger les modèles, il faut changer la façon dont ils sont entraînés afin de rendre le savoir spécifique robuste face à ce type d'attaque mathématique.

Résumé technique : Sur la vulnérabilité des défenses au niveau des paramètres face à la fusion de modèles

Énoncé du problème
L'article traite des risques de sécurité inhérents au paradigme de la « fusion de modèles » (model merging), où plusieurs modèles experts affinés, dérivés d'un tronc commun pré-entraîné, sont fusionnés pour créer des modèles multi-tâches sans réentraînement. Bien qu'efficace, cette ouverture permet à des « passagers clandestins » non autorisés de fusionner des modèles propriétaires, enfreignant ainsi la propriété intellectuelle (PI). Des défenses proactives récentes (par exemple, Params, MergeLock, MergeBarrier) tentent d'atténuer ce risque en appliquant des transformations linéaires secrètes aux paramètres (permutations, matrices diagonales ou orthogonales) pour perturber l'arithmétique requise pour la fusion. Cependant, ces défenses dégradent souvent la performance autonome du modèle ou échouent à empêcher les tentatives de fusion sophistiquées. Les auteurs identient une lacune critique : les défenses existantes reposent sur des transformations linéaires qui préservent la structure de magnitude relative des paramètres, les laissant potentiellement vulnérables à une inversion analytique.

Méthodologie
L'article propose une analyse systématique de ces défenses, menant au développement d'un cadre d'attaque et d'une contre-mesure correspondante.

Attaque guidée par l'ancre (Anchor-Guided Attack - AGA) :
L'intuition centrale de l'AGA est l'observation que dans les modèles affinés protégés, la magnitude du vecteur de tâche protégé ( $\tau^P$ ) est de plusieurs ordres de grandeur inférieure (typiquement $10^{-2}$ à $10^{-3}$ ) à la magnitude des poids pré-entraînés protégés ( $W^P_{pre}$ ). Par conséquent, l'espace des paramètres du modèle protégé est massivement dominé par l'ancre pré-entraînée.

Mécanisme : L'AGA traite le modèle pré-entraîné public comme une référence d'ancre statique. Il formule un objectif d'alignement pour minimiser l'écart entre le modèle protégé et cette ancre.
Cadre à double solveur :
- Transformations continues (modules d'attention) : Pour les défenses utilisant des matrices inversibles, orthogonales ou diagonales (par exemple, dans les têtes d'attention), l'AGA résout un système linéaire surdéterminé par régression des moindres carrés pour dériver une matrice de récupération analytique en forme close.
- Transformations discrètes (modules MLP) : Pour les défenses utilisant des matrices de permutation pour mélanger les neurones, l'AGA reformule la récupération comme un problème d'affectation linéaire de somme. Il utilise l'algorithme hongrois avec des coûts définis par la similitude cosinus négative pour trouver l'appariement bipartite discret globalement optimal, inversant ainsi efficacement la permutation.
Garantie théorique : Les auteurs fournissent des théorèmes prouvant que l'erreur de récupération est strictement bornée par la magnitude du vecteur de tâche. Étant donné que le vecteur de tâche est négligeable par rapport aux poids pré-entraînés, l'attaque parvient à une récupération quasi parfaite.

Affinage répulsif de l'ancre (Anchor-Repulsive Fine-tuning - ARF) :
Pour contrer l'AGA, les auteurs proposent une défense qui modifie fondamentalement la disparité de magnitude exploitée par l'attaque.

Mécanisme : L'ARF introduit un terme de répulsion basé sur la distance spécifiquement pendant la phase d'affinage, appliqué exclusivement aux matrices de projection d'attention ( $W_Q, W_K, W_V, W_O$ ).
Objectif : Ce terme repousse activement les poids d'attention affinés loin de leurs ancres pré-entraînées jusqu'à ce qu'ils atteignent une marge de sécurité prédéfinie ( $\rho$ ). En élargissant artificiellement la magnitude du vecteur de tâche dans ces modules spécifiques, l'ARF viole l'hypothèse selon laquelle l'ancre pré-entraînée domine l'espace des paramètres, neutralisant ainsi la vulnérabilité géométrique sur laquelle repose l'AGA.

Principales contributions

Analyse systématique de la vulnérabilité : L'article révèle que les vecteurs de tâche protégés sont intrinsèquement de faible magnitude par rapport aux poids pré-entraînés, ce qui fait que l'espace des paramètres reste dominé par le squelette pré-entraîné, quelle que soit la transformation linéaire appliquée.
Cadre d'attaque universel (AGA) : Les auteurs proposent l'AGA, le premier cadre capable de récupérer analytiquement les poids protégés en les alignant avec l'ancre pré-entraînée. Il contourne avec succès les défenses individuelles et composites de pointe (Params, Params-D, MergeLock, MergeBarrier) sur les modèles de vision et de langage.
Défense adaptative (ARF) : L'article introduit l'ARF, une stratégie de défense qui élargit proactivement la magnitude du vecteur de tâche au sein des modules d'attention. Cette approche empêche efficacement la fusion non autorisée tout en préservant l'utilité autonome du modèle.

Résultats expérimentaux
Les auteurs ont évalué leurs méthodes à travers des tâches de vision par ordinateur (ViT-B/32, ViT-L/14) et de traitement/génération du langage naturel (GPT-2, Qwen2-7B).

Efficacité de l'attaque : L'AGA a systématiquement contourné les défenses. Par exemple, sous la stratégie de fusion LOT avec la protection MergeLock, la performance de la tâche protégée est tombée à 4,85 % ; l'AGA l'a restaurée à 78,36 % (soit un écart de moins de 1 % par rapport à la base non protégée). Des récupérations de haute fidélité similaires (jusqu'à 97 % de la performance non protégée) ont été observées à travers divers paradigmes de fusion (Task Arithmetic, CAT, LOT) et modalités.
Efficacité de la défense : L'ARF a réussi à atténuer la menace. Lorsqu' l'ARF était appliqué, les performances des modèles fusionnés non autorisés sous l'attaque AGA étaient réduites à des niveaux proches du hasard (par exemple, 0,28 % sur ViT-B/32), surpassant nettement les défenses existantes comme MergeGuard.
Utilité autonome : Crucialement, l'ARF a maintenu la performance autonome des modèles. Sur ViT-B/32, l'ARF a atteint une précision moyenne de 88,11 %, presque identique à la base non protégée (88,81 %) et supérieure à MergeGuard (86,31 %), démontrant que la défense ne dégrade pas les capacités de tâche originales du modèle.

Signification
L'article affirme que les transformations linéaires de poids n'offrent qu'une « illusion de sécurité » face à la fusion de modèles. En exposant la vulnérabilité géométrique où l'ancre pré-entraînée domine l'espace des paramètres, ce travail démontre que les défenses actuelles au niveau des paramètres sont fondamentalement défectueuses. Le succès de l'AGA souligne la nécessité de paradigmes plus robustes, tenant compte de l'entraînement, qui ne reposent pas sur l'hypothèse que de petits vecteurs de tâche peuvent être obscurcis en toute sécurité par des transformations linéaires. La proposition de l'ARF offre une voie pratique en exploitant le processus d'affinage pour modifier structurellement le paysage des paramètres, garantissant que la fusion non autorisée reste inefficace sans sacrifier l'utilité du modèle.