🤖 machine learning

When the Same Coefficients Reach Different Places: Asymmetric Realizability in Transplanting Tokenizers across Large Language Models

यह शोध पत्र बड़े भाषा मॉडलों (large language models) में टोकेनाइज़र प्रत्यारोपण (tokenizer transplantation) में एक संरचनात्मक "असममित यथार्थता" (asymmetric realizability) भेद्यता की पहचान करता है, जहाँ विशिष्ट गुणांक वेक्टरों (coefficient vectors) को "ब्रेकर टोकन" के रूप में इंजीनियर किया जा सकता है जो डोनर मॉडल में निष्क्रिय रहते हैं लेकिन बेस मॉडल में उच्च-सैलियन्स पुनर्निर्माण (high-salience reconstructions) को ट्रिगर करते हैं, जिससे वे मानक वेट-मर्जिंग जाँच और LoRA-आधारित शमन (mitigations) से बच निकलते हैं।

मूल लेखक: Xiaoze Liu, Weichen Yu, Matt Fredrikson, Xiaoqian Wang, Jing Gao

प्रकाशित 2026-05-29

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Xiaoze Liu, Weichen Yu, Matt Fredrikson, Xiaoqian Wang, Jing Gao

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

बड़ी तस्वीर: "यूनिवर्सल ट्रांसलेटर" की गड़बड़ी

कल्पना कीजिए कि आपके पास दो अलग-अलग भाषाएँ हैं: डोनर (Donor) (स्रोत मॉडल) और बेस (Base) (लक्ष्य मॉडल)। कभी-कभी, डेवलपर्स उन्हें मिलाना चाहते हैं। वे डोनर के शब्दकोश से एक ऐसा शब्द लेते हैं जो केवल डोनर के शब्दकोश में मौजूद है और उसे बेस के शब्दकोश में "ट्रांसप्लांट" करने की कोशिश करते हैं ताकि बेस उसे समझ सके।

इसे करने के लिए, वे एक ट्रांसलेटर (Translator) (जैसे mergekit जैसा टूल) का उपयोग करते हैं। ट्रांसलेटर डोनर के शब्द को देखता है और कहता है, "ठीक है, यह शब्द 10% शब्द A से, 5% शब्द B से, और 2% शब्द C से बना है।" फिर वह उन सटीक प्रतिशत (coefficients) को बेस के शब्दकोश पर लागू करता है ताकि एक नया शब्द बनाया जा सके।

पेपर की खोज: शोधकर्ताओं ने इस अनुवाद प्रक्रिया में एक छिपे हुए दोष का पता लगाया है। क्योंकि दोनों शब्दकोश (डोनर और बेस) अलग-अलग तरह से संरचित हैं, इसलिए प्रतिशत का वही सेट दो पूरी तरह से अलग चीजें अर्थ दे सकता है।

डोनर के शब्दकोश में, वे प्रतिशत एक उबाऊ, अदृश्य शब्द के रूप में जुड़ सकते हैं जिसका कोई उपयोग नहीं करता।
बेस के शब्दकोश में, वे वही सटीक प्रतिशत एक शोर मचाने वाले, ध्यान खींचने वाले शब्द के रूप में जुड़ सकते हैं जिसे मॉडल बोलना पसंद करता है।

पेपर इसे "एसिमेट्रिक रियलाइज़ेबिलिटी" (Asymmetric Realizability) कहता है। यह एक गुप्त कोड की तरह है जो एक कमरे में शांत रहता है लेकिन दूसरे कमरे में चिल्लाने लगता है।

हमला: "घोस्ट टोकन" (Ghost Token)

शोधकर्ताओं ने दिखाया कि कैसे एक हमलावर इसका फायदा उठा सकता है। उन्होंने इसे जो उन्होंने "ब्रेकर टोकन" (Breaker Token) कहा है, बनाया।

सेटअप: हमलावर डोनर मॉडल के शब्दकोश में एक नया, नकली शब्द जोड़ता है।
चाल: वे इस नकली शब्द के "सामग्री" (एम्बेडिंग वेक्टर) को बहुत सावधानी से इस तरह तैयार करते हैं कि:
- डोनर मॉडल में, सामग्री उबाऊ होती है। मॉडल इस शब्द को पूरी तरह से अनदेखा कर देता है। यह एक भूत की तरह है जो बिना कोई निशान छोड़े डोनर के दिमाग से गुजर जाता है।
- बेस मॉडल में, "अनुवाद" होने के बाद, वे ही सामग्री अचानक एक चुंबक बन जाती है। बेस मॉडल इस नकली शब्द को लगातार बोलने लगता है।

उपमा: कल्पना कीजिए कि आपके पास केक बनाने की एक रेसिपी (डोनर) है। आप रेसिपी में "अदृश्य धूल" की एक चुटकी मिलाते हैं।

जब आप किचन A (डोनर) में केक बनाते हैं, तो वह धूल कुछ नहीं करती। केक सामान्य स्वाद का होता है।
आप रेसिपी को किचन B (बेस) भेजते हैं। क्योंकि किचन B अलग तरह के मापने वाले कप और ओवन का उपयोग करता है, इसलिए वही "अदृश्य धूल की चुटकी" केक को चमकीला लाल बना देती है और हर बार ओवन से बाहर आने पर "नमस्ते!" चिल्लाने लगती है।

हमलावर को बेस मॉडल को सीधे हैक करने की आवश्यकता नहीं है। उन्हें बस डोनर की रेसिपी को ज़हरीला बनाना है, और "अनुवाद" की प्रक्रिया बाकी काम कर देती है।

यह ब्रेकर टोकन क्या कर सकता है?

शोधकर्ताओं ने दिखाया है कि यह "घोस्ट वर्ड" (भूतिया शब्द) तीन तरीकों से परेशानी पैदा कर सकता है, यह इस पर निर्भर करता है कि हमलावर ने इसका नाम क्या रखा है:

सर्विस डिग्रेडेशन (टूटा हुआ रेडियो): यदि हमलावर टोकन का नाम ऐसा रखता है जिससे मॉडल खुद को दोहराने लगे, तो बेस मॉडल बार-बार उसी टोकन को आउटपुट करता रहेगा, और किसी भी सवाल का जवाब देने से मना कर देगा। यह एक ऐसे रेडियो की तरह है जो केवल एक ही स्टैटिक शोर पर अटक गया हो।
रेप्यूटेशन पॉइजनिंग (छिपी हुई अपमानजनक बात): हमलावर मॉडल को एक सामान्य, मददगार उत्तर के अंदर कुछ अपमानजनक (जैसे कोई अपशब्द) कहने के लिए मजबूर कर सकता है। बाकी का उत्तर ठीक दिखता है, लेकिन वह एक "घोस्ट टोकन" उस कंपनी की प्रतिष्ठा खराब कर देता है जो उस मॉडल का उपयोग कर रही है।
एडवर्सरियल वॉटरमार्किंग (अदृश्य हस्ताक्षर): हमलावर मॉडल को हर उत्तर के अंत में एक गुप्त कोड (जैसे [WM-8472]) जोड़ने के लिए मजबूर कर सकता है। इससे हमलावर बाद में यह साबित कर सकता है, "देखो, यह मॉडल मेरी चोरी की हुई शब्दावली का उपयोग कर रहा है," बिना किसी को यह बताए कि वह कोड वहां मौजूद है।

हम इसे ठीक क्यों नहीं कर सकते?

शोधकर्ताओं ने उन सामान्य तरीकों का परीक्षण किया जिनका उपयोग लोग मॉडल को मर्ज करने के बाद साफ करने के लिए करते हैं, और उन्होंने पाया कि ये तरीके इस विशिष्ट हमले के खिलाफ विफल हो जाते हैं:

फाइन-ट्यूनिंग (मॉडल को नई चीजें सिखाना): यदि आप बेस मॉडल को उस बुरे शब्द को बोलने से रोकने के लिए फिर से प्रशिक्षित करने की कोशिश करते हैं, तो यह केवल तभी काम करता है जब आप उसे उसी प्रकार के सवालों पर प्रशिक्षित करें जो हमले के दौरान पूछे गए थे। यदि आप उससे थोड़ा अलग सवाल पूछते हैं (जैसे कहानी के बजाय गणित का सवाल), तो मॉडल सबक भूल जाता है और फिर से बुरा शब्द बोलने लगता है।
एक साफ मॉडल के साथ मर्ज करना: यदि आप "ज़हरीले" मॉडल को एक "साफ" मॉडल के साथ मिलाते हैं ताकि बुरे हिस्सों को कम किया जा सके, तो हमला जीवित रहता है। "घोस्ट वर्ड" अनुवाद की संरचना में इतना गहराई से समाया होता है कि साफ वेट्स (weights) के साथ मिलाने से भी वह खत्म नहीं होता।
स्पेक्ट्रल फिल्टर्स (मेटल डिटेक्टर): लोग मॉडल्स को स्कैन करने के लिए टूल्स का उपयोग करते हैं ताकि "अजीब" नंबरों का पता लगाया जा सके जो हमलों की तरह दिखते हैं। शोधकर्ताओं ने पाया कि उनके "घोस्ट टोकन्स" इन स्कैनर्स के लिए बिल्कुल सामान्य दिखते हैं। वे छिपकर वार करते हैं और डोनर के शब्दकोश में एक नियमित शब्द की तरह ही दिखते हैं।

निष्कर्ष

यह पेपर यह उजागर करता है कि आज हम AI मॉडलों को मिलाने के तरीके में एक संरचनात्मक कमजोरी है। यह किसी विशिष्ट मॉडल का बग नहीं है; यह उन "अनुवाद" गणित की एक मौलिक समस्या है जिसका उपयोग मॉडलों को संयोजित करने के लिए किया जाता है।

चेतावनी: यदि आप ओपन-सोर्स मॉडलों को मिलाकर AI उत्पाद बना रहे हैं (जो आजकल एक आम प्रक्रिया है), तो आप अनजाने में "घोस्ट वर्ड्स" को आयात कर सकते हैं। ये शब्द स्रोत में शांत रहेंगे लेकिन आपके उत्पाद में सक्रिय होकर विस्फोट कर देंगे, और मानक सुरक्षा जांच उन्हें पकड़ नहीं पाएगी।

लेखक सुझाव देते हैं कि हमें इन "ट्रांसप्लांटेड" शब्दों को अपने सिस्टम में आने से पहले जांचने के लिए नए तरीकों की आवश्यकता है, क्योंकि वर्तमान "मिक्स एंड मैच" टूल्स बहुत अधिक भरोसेमंद हैं।

तकनीकी सारांश: टोकेनाइज़र ट्रांसप्लांटिंग में एसिमेट्रिक रियलाइज़ेबिलिटी (Asymmetric Realizability)

समस्या विवरण (Problem Statement)

यह शोध पत्र ओपन-वेट लार्ज लैंग्वेज मॉडल (LLM) सप्लाई चेन के भीतर एक संरचनात्मक भेद्यता (structural vulnerability) को संबोधित करता है, विशेष रूप से ट्रेनिंग-फ्री टोकेनाइज़र ट्रांसप्लांट पाइपलाइनों के संदर्भ में। जैसे-जैसे डेवलपर्स मौजूदा चेकपॉइंट्स को मर्ज करके (जैसे mergekit के माध्यम से) नए मॉडल बनाने के लिए बढ़ते जा रहे हैं, उन्हें "डोनर" मॉडल (नए टोकन का स्रोत) और "बेस" मॉडल (प्राप्तकर्ता) के बीच शब्दावली अंतराल (vocabulary gaps) को पाटना होता है।

वर्तमान अत्याधुनिक ट्रांसप्लांट ऑपरेटर्स (जैसे OMP, CLP, WECHSEL, और FOCUS) शेयर्ड-बेसिस रिकंस्ट्रक्शन (shared-basis reconstruction) पर निर्भर करते हैं। ये विधियाँ डोनर के एक्सक्लूसिव टोकन के एम्बेडिंग को बेस मॉडल के स्पेस में इस प्रकार पुनर्गठित करती हैं:

डोनर के एम्बेडिंग स्पेस में साझा "एंकर" टोकन के भारित योग (weighted sum) के रूप में डोनर टोकन का प्रतिनिधित्व करने के लिए एक स्पार्स सेट ऑफ कोएफिशिएंट्स ( $\beta$ ) को फिट करना।
उन सटीक कोएफिशिएंट्स का पुन: उपयोग करना ताकि बेस मॉडल के स्पेस में नया एम्बेडिंग सिंथेसाइज किया जा सके ( $\hat{x}_b = \Phi_b^\top \beta$ )।

लेखक एक महत्वपूर्ण ज्यामितीय दोष की पहचान करते हैं: एसिमेट्रिक रियलाइज़ेबिलिटी (Asymmetric Realizability)। समान कोएफिशिएंट वेक्टर $\beta$ , डोनर के एंकर स्पैन में एक लो-एनर्जी, सांख्यिकीय रूप से निष्क्रिय क्षेत्र में मैप हो सकता है, जबकि साथ ही वह बेस के एंकर स्पैन में एक हाई-सेलिएन्स (high-salience), हाई-प्रोबेबिलिटी क्षेत्र में भी मैप हो सकता है। यह अंतर एक हमलावर को डोनर के वोकैबुलरी आर्टिफैक्ट्स को मैनिपुलेट करने की अनुमति देता है ताकि डोनर के आंतरिक वेट्स या ट्रांसप्लांट कोड को बदले बिना बेस मॉडल में विशिष्ट, हाई-फ्रीक्वेंसी व्यवहार उत्पन्न किया जा सके।

कार्यप्रणाली (Methodology)

लेखक एक ट्रेनिंग-फ्री "ब्रेकर टोकन" अटैक का प्रस्ताव करते हैं जो इस ज्यामितीय विषमता (geometric asymmetry) का फायदा उठाता है। इस हमले के लिए बेस मॉडल के ग्रेडिएंट एक्सेस की आवश्यकता नहीं है और न ही डोनर के ट्रांसफॉर्मर वेट्स में किसी संशोधन की।

1. हमला निर्माण (Attack Construction)

हमलावर डोनर टोकेनाइज़र में एक नया टोकन $\tau^*$ जोड़ता है और इसके एम्बेडिंग वेक्टर $x_d(\tau^*)$ को दो विरोधाभासी उद्देश्यों को पूरा करने के लिए तैयार करता है:

डोनर इनर्टनेस (Donor Inertness): टोकन डोनर मॉडल में सांख्यिकीय रूप से अदृश्य (कम उत्सर्जन संभावना) रहना चाहिए। इसे डोनर के हिडन स्टेट डिस्ट्रीब्यूशन के "लो-एनर्जी" दिशाओं (विशेष रूप से, डोनर वेरिएशन के प्रिंसिपल कंपोनेंट्स के ऑर्थोगोनल सबस्पेस $U$ ) में टोकन के एम्बेडिंग को सीमित करके प्राप्त किया जाता है।
बेस सेलिएन्स (Base Salience): ट्रांसप्लांट होने पर, इसे बेस मॉडल के हाई-सेलिएन्स दिशा में पुनर्गठित होना चाहिए। हमलावर सार्वजनिक टेक्स्ट से प्राप्त बेस मॉडल के अंतिम-लेयर हिडन स्टेट्स के एम्पिरिकल मीन ( $\mu_{base}$ ) को लक्षित करता है।

2. ऑप्टिमाइज़ेशन फ्रेमवर्क (Optimization Framework)

हमलावर इष्टतम कोएफिशिएंट्स $\alpha$ (या सीधे एम्बेडिंग $x_d$ ) खोजने के लिए एक ड्यूल-ऑब्जेक्टिव ऑप्टिमाइज़ेशन समस्या को हल करता है:
$\mathcal{L}(\theta) = \underbrace{\| \hat{x}_b(\theta) - \mu_{base} \|_2^2}_{\text{Base Salience}} + \lambda \underbrace{\| U x_d(\theta) \|_2^2}_{\text{Donor Inertness}} + \rho R(\theta)$

OMP (Orthogonal Matching Pursuit) के लिए: हमलावर एक साझा एंकर्स के उपसमूह $S$ को चुनने के लिए एक ग्रीडी सपोर्ट सिलेक्शन रणनीति का उपयोग करता है और उन कोएफिशिएंट्स $\alpha$ के लिए समाधान निकालता है जो डोनर के $U$ पर प्रोजेक्शन को मिनिमाइज करते हुए $\mu_{base}$ के साथ एलाइनमेंट को मैक्सिमाइज करते हैं।
डिफरेंशिएबल ऑपरेटर्स (CLP, WECHSEL, FOCUS) के लिए: हमलावर ग्रेडिएंट डिसेंट का उपयोग करके डोनर एम्बेडिंग को सीधे ऑप्टिमाइज़ करता है, जो ऑप्टिमाइज़ेशन के दौरान विशिष्ट ऑपरेटर के फॉरवर्ड मैप का अनुकरण (simulate) करता है।

3. रियलाइजेशन मोड्स (Realization Modes)

शोध पत्र प्रदर्शित करता है कि ब्रेकर टोकन का सतही रूप हमलावर द्वारा नियंत्रित होता है। चुने गए स्ट्रिंग के आधार पर, हमला निम्नलिखित रूप ले सकता है:

सर्विस डिग्रेडेशन (Service Degradation): टोकन जनरेशन पर हावी हो जाता है, जिससे मॉडल बार-बार दोहराव वाला, निरर्थक टेक्स्ट आउटपुट करने लगता है।
रेप्यूटेशन पॉइजनिंग (Reputation Poisoning): टोकन (जैसे कि कोई अपशब्द/slur) को सुसंगत रीजनिंग चेन्स के बीच बिखरे हुए रूप में डाला जाता है।
एडवर्सरियल वॉटरमार्किंग (Adversarial Watermarking): एक गुप्त टैग आउटपुट के साथ जोड़ा जाता है, जिससे हमलावर समझौता किए गए वोकैबुलरी के अनधिकृत उपयोग को ट्रैक कर सकता है।

मुख्य योगदान (Key Contributions)

एसिमेट्रिक रियलाइज़ेबिलिटी की पहचान: शोध पत्र औपचारिक रूप से उस ज्यामितीय गुण को परिभाषित करता है जहाँ शेयर्ड-बेसिस रिकंस्ट्रक्शन एक ही कोएफिशिएंट वेक्टर को डोनर स्पेस में "शांत" लेकिन बेस स्पेस में "मुखर" बना सकता है। इसे पेयर्ड एंकर डिक्शनरीज के GSVD विश्लेषण के माध्यम से सिद्ध किया गया है।
ब्रेकर टोकन निर्माण: लेखक इन टोकन को बनाने के लिए एक ठोस, ट्रेनिंग-फ्री विधि प्रदान करते हैं। वे प्रदर्शित करते हैं कि एक एकल डोनर चेकपॉइंट (जैसे Gemma-2-2B) पांच मॉडल परिवारों (Llama, Mistral, Qwen, Gemma, SmolLM2) के 13 अलग-अलग डाउनस्ट्रीम बेसेस पर अलग-अलग ब्रेकर रोज़ जोड़कर हमला कर सकता है।
रक्षा मूल्यांकन (Evaluation of Defenses):
- स्पेक्ट्रल फिल्टर्स (Spectral Filters): मानक ह्यूरिस्टिक डिटेक्टर (जैसे Magikarp, जो नॉर्म कोलैप्स या गारबेज एलाइनमेंट की जांच करता है) ब्रेकर टोकन का पता लगाने में विफल रहते हैं क्योंकि टोकन को प्राकृतिक डोनर टोकन के सांख्यिकीय वितरण की नकल करने के लिए डिज़ाइन किया गया है (स्पेक्ट्रल मिमिक्री)।
- LoRA फाइन-ट्यूनिंग: ट्रांसप्लांट के बाद की LoRA फाइन-ट्यूनिंग केवल उन प्रॉम्प्ट्स पर हमले को दबाती है जो फाइन-ट्यूनिंग कॉर्पस से मेल खाते हैं। आउट-ऑफ-डिस्ट्रीब्यूशन (OOD) प्रॉम्प्ट्स पर, हमला उच्च सीक्वेंस एमिशन रेट (SER) के साथ बना रहता है।
- वेट मर्जिंग (Weight Merging): अटैक्ड बेस को क्लीन रेफरेंस मॉडल के साथ मर्ज करने से प्लांटेड दिशा (planted direction) दूर नहीं होती है; मर्ज किया गया मॉडल समझौता किए गए एम्बेडिंग रो (row) को विरासत में प्राप्त करता है।

प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने OMP का उपयोग करते हुए 65 डोनर-बेस पेयर्स (जिसमें एक 20-पेयर "लाइटवेट क्लिक" और एक 65-पेयर "स्टैंडर्ड-स्केल" पूल शामिल है) का मूल्यांकन किया, और CLP, WECHSEL, और FOCUS पर क्रॉस-ऑपरेटर वैलिडेशन किया।

एसिमेट्री (Asymmetry): लाइटवेट क्लिक में, 20 में से 13 पेयर्स ने अटैक्ड बेस में $\ge 0.2$ का अधिकतम सीक्वेंस एमिशन रेट (SER) प्राप्त किया, जबकि डोनर में डोनर SER $\le 0.05$ बनाए रखा। कई पेयर्स ने बेस में परफेक्ट एमिशन (SER = 1.0) प्राप्त किया जबकि डोनर में पूरी तरह से शांत (SER = 0.0) रहे।
उपयोगिता संरक्षण (Utility Preservation): पैच किए गए डोनर मॉडल्स ने मानक बेंचमार्क पर अपने मूल उपयोगिता स्कोर (जैसे MMLU, Wikitext perplexity) को बनाए रखा, जो हमले की गोपनीयता (stealth) की पुष्टि करता है।
क्रॉस-मॉडल रीच (Cross-Model Reach): एक एकल Gemma-2-2B डोनर चेकपॉइंट ने 13 अलग-अलग बेसेस पर सफलतापूर्वक हमला किया। 8 बेसेस पर औसत बेस SER 0.99 से अधिक था, जबकि डोनर SER 0.014 से नीचे रहा।
डिफेंस फेलियर (Defense Failure): मानक LoRA फाइन-ट्यूनिंग होल्ड-आउट OOD डिस्ट्रीब्यूशन (जैसे WikiText कंटीन्यूएशन) पर हमले को कम करने में विफल रही, जहाँ फाइन-ट्यूनिंग के बाद भी SER 0.87 से ऊपर रहा।

महत्व और दावे (Significance and Claims)

शोध पत्र का दावा है कि कोएफिशिएंट-रियूज ज्योमेट्री (coefficient-reuse geometry) एक मौलिक डिज़ाइन मानदंड है जिसे वर्तमान में अनदेखा किया गया है। लेखक तर्क देते हैं कि:

सप्लाई चेन रिस्क: ओपन-वेट कंपोजिशन सप्लाई चेन "वन-टू-मेनी" हमलों के प्रति संवेदनशील है, जहाँ एक एकल दुर्भावनापूर्ण डोनर बिना किसी प्रति-पीड़ (per-victim) अनुकूलन की आवश्यकता के, कई डाउनस्ट्रीम मॉडल्स को समझौता कर सकता है।
वर्तमान सुरक्षा की सीमाएं: वर्तमान ऑडिटिंग ह्यूरिस्टिक्स (स्पेक्ट्रल फिल्टर्स) और पोस्ट-हॉक मिटिगेशन रणनीतियां (LoRA, वेट मर्जिंग) इस विशिष्ट प्रकार के ज्यामितीय हमलों के खिलाफ अपर्याप्त हैं।
कार्रवाई का आह्वान: लेखक प्रस्तावित करते हैं कि भविष्य के ट्रांसप्लांट ऑपरेटर्स को केवल इस धारणा पर निर्भर रहने के बजाय (कि कोएफिशिएंट रियूज हानिरहित है) प्राप्तकर्ता-पक्ष सत्यापन (जैसे कि एसिमेट्रिक रियलाइज़ेबिलिटी की जांच या व्यवहार संबंधी ऑडिटिंग) को शामिल करना चाहिए। वे नए ऑपरेटर्स की मजबूती का मूल्यांकन करने के लिए एक ठोस डायग्नोस्टिक (GSVD असिमेट्री एनर्जी) प्रदान करते हैं।

यह कार्य यह दावा नहीं करता कि यह मॉडल्स की मूल तर्क क्षमताओं को सामान्य रूप से तोड़ता है, बल्कि यह इंटरऑपरेबिलिटी लेयर (interoperability layer) में एक विशिष्ट, संरचनात्मक विफलता मोड को उजागर करता है जो लक्षित, निरंतर और गुप्त रूप से मॉडल के आउटपुट को मैनिपुलेट करने की अनुमति देता है।