Sintesi Tecnica: Leggere tra le righe: Verso un fingerprinting affidabile di LLM black-box tramite stima del gradiente di ordine zero

Definizione del problema

Lo sviluppo di Large Language Models (LLM) richiede investimenti sostanziali, rendendoli preziosi asset di proprietà intellettuale. Tuttavia, il rischio di violazione del copyright attraverso la copia non autorizzata o il furto del modello è significativo. Sebbene il fingerprinting degli LLM sia emerso come una tecnica per verificare l'origine di un modello estraendo firme uniche, esiste un divario critico di prestazioni tra i metodi white-box e quelli black-box.

• I metodi white-box (con accesso ai parametri interni) raggiungono prestazioni di auditing quasi perfette perché i pesi statici fungono da identificatori unici.
• I metodi black-box (accesso solo tramite API) si basano sul confronto degli output del modello. Gli autori sostengono che questi metodi siano inefficaci perché l'uso esteso di funzioni di attivazione non lineari (ad esempio, GELU, SiLU) nelle architetture LLM comprime progressivamente l'informazione dei parametri, portando a una significativa perdita di informazioni nell'output finale.

La domanda centrale della ricerca è: Esiste una caratteristica accessibile in condizioni black-box che preservi più informazioni sui parametri del modello rispetto all'output?

Metodologia: ZeroPrint

La soluzione proposta, ZeroPrint, è un nuovo framework di fingerprinting black-box che approssima il gradiente del modello (specificamente la matrice Jacobiana) come una firma, invece di fare affidamento sugli output grezzi. La metodologia si basa sulla Teoria dell'Informazione di Fisher ed è implementata tramite stima del gradiente di ordine zero.

1. Fondamento Teorico

Gli autori analizzano formalmente il contenuto informativo degli output del modello ($Y$) rispetto al gradiente dell'output rispetto all'input ($D = dY/dX$).

• Il collo di bottiglia della non linearità: In un'unità neurale standard $Y = f(WX + K)$, osservare $Y$ richiede di far passare $W$ attraverso una funzione non lineare $f$, che può comprimere irreversibilmente l'informazione.
• Il vantaggio del gradiente: Osservare il gradiente $D = Wf'(WX+K)$ permette di osservare il parametro $W$ in modo più diretto (scalato dalla derivata).
• Teorema 1: Utilizzando l'Informazione di Fisher, gli autori dimostrano che, per funzioni non lineari, l'Informazione di Fisher del gradiente $D$ rispetto ai parametri $W$ è strettamente maggiore di quella dell'output $Y$. Ciò stabilisce il gradiente come una caratteristica teoricamente superiore per il fingerprinting.

2. Framework ZeroPrint

Poiché i gradienti non sono direttamente accessibili in un contesto black-box, ZeroPrint approssima i loro gradienti utilizzando una stima di ordine zero adattata per il testo discreto. Il processo prevede tre fasi:

• Fase 1: Costruzione del set di query

  • Base Queries: Il sistema seleziona $n$ query base progettate per la stabilità. Gli autori utilizzano un task di completamento del codice (ad esempio, "Completa il seguente codice: [snippet]") perché la struttura del codice elicita risposte più coerenti tra diversi modelli rispetto al testo aperto o ai task di QA.
  • Perturbed Queries: Per ogni query base, vengono generate $m$ variazioni semanticamente simili utilizzando la sostituzione di parole. Un modello di embedding delle parole pre-addestrato (ad esempio, GloVe) identifica parole semanticamente simili per sostituire specifici token nella query base, creando input "perturbati" che preservano il significato ma alterano leggermente il vettore di input.

• Fase 2: Generazione del fingerprint (Stima di ordine zero)

  • Le query base e i loro corrispettivi perturbati vengono inviati al target LLM. Per mitigare la stocasticità dell'output, ogni query viene ripetuta $t$ volte e i risultati testuali vengono mediati.
  • Embedding: Tutti gli input e gli output medi vengono convertiti in vettori continui utilizzando un modello di sentence embedding (ad esempio, all-mpnet-base-v2).
  • Stima della Jacobiana: Il sistema calcola i vettori di differenza tra gli input perturbati e quelli base ($\Delta x$) e i relativi embedding di output ($\Delta y$).
  • Regressione: Una matrice Jacobiana locale $J$ viene stimata per ogni query base risolvendo un problema di regressione lineare ($\Delta y \approx J \Delta x$) utilizzando la regressione Ridge per gestire sistemi sottodeterminati. Il fingerprint finale è la media elemento per elemento di queste matrici Jacobiane attraverso tutte le query base.

• Fase 3: Confronto del fingerprint

  • La somiglianza tra il fingerprint del modello sorgente ($J_o$) e quello del modello sospetto ($J_s$) viene calcolata utilizzando il coefficiente di correlazione di Pearson. Un alto punteggio di somiglianza indica che il modello sospetto è probabilmente un derivato della sorgente.

Contributi Chiave

1. Insight Teorico: Il paper fornisce una prova formale basata sulla Teoria dell'Informazione di Fisher dimostrando che i gradienti del modello contengono più informazioni sui parametri del modello rispetto agli output del modello, sfidando l'affidamento su sole caratteristiche di output nel fingerprinting black-box.
2. Algoritmo ZeroPrint: Gli autori introducono un metodo per stimare questi gradienti ricchi di informazioni in un dominio di testo discreto. Ciò è ottenuto simulando perturbazioni continue tramite sostituzioni di parole che preservano la semantica e applicando principi di ottimizzazione di ordine zero.
3. Validazione Empirica: Esperimenti estesi su LeaFBench (un benchmark con 149 istanze di modelli) dimostrano che ZeroPrint raggiunge prestazioni state-of-the-art (SOTA) tra i metodi black-box, superando significativamente gli approcci esistenti non mirati e mirati.

Risultati Sperimentali

Valutato sul benchmark LeaFBench con un limite rigoroso di 200 query per modello:

• Performance: ZeroPrint ha raggiunto un AUC di 0,720 e un pAUC di 0,683, superando le attuali baseline black-box (ad esempio, LLMmap, MET, SEF, TRAP).
• Confronto con White-box: Sebbene ZeroPrint superi tutte le baseline black-box, rimane al di sotto delle prestazioni del metodo white-box REEF (AUC 0,896), che ha accesso diretto agli interni del modello.
• Studi di Ablazione:
  • Perturbed Queries ($m$): Le prestazioni migliorano significativamente all'aumentare del numero di query perturbate, con un picco a $m=14$.
  • Ripetizioni ($t$): L'aumento delle ripetizioni per query stabilizza l'embedding dell'output, con le prestazioni che si stabilizzano intorno a $t=20$.
  • Tipo di Query: Le query di completamento del codice (HumanEval) hanno prodotto risultati superiori rispetto ai dataset di QA o di completamento del testo generale, grazie alla natura strutturata del codice che elicita un comportamento del modello più uniforme.
  • Dimensione dell'Embedding: Esiste un compromesso; dimensioni maggiori catturano più semantica ma richiedono più query per stimare accuratamente la matrice Jacobiana più grande.
• Robustezza: ZeroPrint ha dimostrato resilienza contro gli attacchi di parafrasi dell'input (utilizzando LLM più piccoli per riscrivere le query) e gli attacchi di perturbazione dell'output (aggiungendo rumore Gaussiano), mantenendo alti punteggi di somiglianza.
• Efficienza: Il metodo richiede circa 425 secondi per modello, il che è computazionalmente pratico e più veloce di diverse baseline black-box come MET e SEF.

Significato e Rivendicazioni

Il paper sostiene che ZeroPrint rappresenti un passo avanti significativo verso meccanismi affidabili e sicuri per l'auditing del copyright degli LLM. Spostando l'attenzione dagli output del modello agli stimati gradienti, il metodo supera la perdita di informazione inerente alle architetture LLM non lineari. Gli autori posizionano ZeroPrint come una soluzione pratica e non invasiva che non richiede il fine-tuning del modello e può essere applicata a modelli già distribuiti, affrontando un divario critico nella protezione della proprietà intellettuale nell'ecosistema dell'IA. Il lavoro suggerisce che le caratteristiche basate sul gradiente siano la chiave per colmare il divario di prestazioni tra il fingerprinting white-box e quello black-box.