Riepilogo Tecnico: Nascondersi e Cercarsi nello Spazio degli Embedding

1. Definizione del Problema

I Large Language Models (LLM) impiegati in ambienti sensibili sono sempre più considerati sicuri contro l'esfiltrazione di dati se l'egresso di rete è limitato (ad esempio, tramite air-gap). Tuttavia, studi recenti (Meier et al., 2025) hanno dimostrato che gli LLM sottoposti a fine-tuning possono codificare segretamente informazioni dai prompt nei loro output testuali fluidi, creando un canale steganografico.

La vulnerabilità centrale risiede nella distribuzione di probabilità condizionale degli LLM: per un dato prompt, esistono molte continuazioni semanticamente plausibili. Questa libertà permette a un modello malevolamente sottoposto a fine-tuning di vincolare la generazione dei token per codificare informazioni ausiliarie (un segreto) mantenendo al contempo la fluidità.

Il documento identifica un difetto critico negli attacchi precedenti come TrojanStego: essi si affidano a schemi di codifica facilmente recuperabili. Nello specifico, TrojanStego utilizza la codifica ASCII per i segreti e la parità dell'ID del token (dispari/pari) per il raggruppamento (bucketing). Queste regole arbitrarie sono facilmente decodificabili tramite reverse-engineering da parte di un difensore privo della chiave segreta, con una recuperabilità del payload del 100%. Il documento sostiene che, affinché la steganografia sia una minaccia concreta, debba essere resistente al reverse-engineering (bassa recuperabilità) pur rimanendo rilevabile solo attraverso firme interne al modello, e non tramite spostamenti nella distribuzione dell'output.

2. Metodologia

A. Formalizzazione della Recuperabilità del Payload

Gli autori formalizzano la Recuperabilità del Payload ($R$) come una metrica che indica quanto sia difficile per un difensore senza chiave estrarre il segreto. La scompongono in due assi:

1. $R_{bucket}$ (Token $\to$ Bucket): La difficoltà di inferire il bit codificato (assegnazione al bucket) dal token di output osservato.
2. $R_{secret}$ (Bucket $\to$ Segreti): La difficoltà di inferire il segreto originale dalla sequenza di bit recuperati.

Uno schema è considerato "non recuperabile" se $R_{bucket} \approx 50\%$ (indovinare casualmente) e $R_{secret}$ è trascurabile.

B. Attacco a Bassa Recuperabilità (Steganografia Geometrica)

L'attacco proposto sostituisce le codifiche arbitrarie con schemi derivati dalla geometria appresa degli embedding del modello. Opera in due fasi:

1. Codifica del Segreto (Proiezione su Iperpiano):
   Inveve dell'ASCII, le lettere vengono codificate in stringhe di bit proiettando i loro embedding dei token su iperpiani casuali definiti da un seed segreto ($\sigma$).

   • Per un embedding di una lettera $e$, viene generato un vettore normale unitario $v_\sigma$ da un seed casuale.
   • Viene calcolato il punteggio di proiezione $s = e^\top v_\sigma$.
   • Utilizzando molteplici iperpiani (ad esempio, 8 per 26 lettere), ogni lettera viene assegnata a un pattern di bit unico (ad esempio, 8 bit).
   • Questo sfrutta la struttura semantica del modello, rendendo la codifica "apprendibile" dal modello ma dipendente da seed nascosti.

2. Bucketing del Vocabolario (Partizionamento dello Spazio degli Embedding):
   Invece della parità dell'ID del token, il vocabolario è partizionato in due bucket ($V_0, V_1$) basandosi sullo stesso iperpiano di proiezione.

   • Una soglia $\tau$ (ad esempio, il punteggio di proiezione mediano) divide il vocabolario.
   • I token con $e^\top v_\sigma > \tau$ sono assegnati al bucket 1; gli altri al bucket 0.
   • Durante la generazione, il modello è vincolato a selezionare token dal bucket che corrisponde al bit target del segreto.
   • Vantaggio di Sicurezza: Senza il seed $\sigma$, un difensore non può determinare l'orientamento dell'iperpiano o la soglia, rendendo l'inferenza del bucket ($R_{bucket}$) computazionalmente difficile.

C. Rilevamento tramite Interpretabilità Meccanicistica

Il documento sostiene che la steganalisi tradizionale (misurazione di perplexity o divergenza KL) sia insufficiente perché il fine-tuning sposta intrinsecamente le distribuzioni. Propongono invece un approccio di interpretabilità meccanicistica:

• Sonde Lineari (Linear Probes): Addestrare classificatori lineari (regressione logistica per i bit, regressione ridge per gli embedding) sugli stati nascosti del modello.
• Ipotesi: Anche se l'output è non recuperabile, le rappresentazioni interne di un modello sottoposto a fine-tuning steganografico conterranno un segnale del segreto più forte e più linearmente separabile rispetto a un modello base.

3. Contributi Chiave

Contributi all'Attacco

• Metrica di Recuperabilità: Definiti $R_{bucket}$ e $R_{secret}$ per quantificare la difficoltà di reverse-engineering dei canali steganografici senza chiavi.
• Steganografia Geometrica: Introdotto un canale durante il tempo di addestramento utilizzando proiezioni di iperpiani casuali nello spazio degli embedding. Questo sostituisce le regole arbitrarie con partizioni geometriche dipendenti dal seed.
• Migliore Generalizzazione e Riduzione della Recuperabilità: Dimostrato che gli schemi geometrici mantengono un'alta accuratezza di codifica riducendo significativamente la recuperabilità rispetto ai baseline.

Contributi al Rilevamento

• Limiti dell'Analisi a Livello di Output: Dimostrato teoricamente ed empiricamente che payload elevati possono essere nascosti mantenendo la perplexity e la divergenza KL entro i range tipici del fine-tuning, rendendo inefficace la steganalisi standard.
• Segnale di Rilevamento Meccanicistico: Mostrato che le sonde lineari sugli attivazioni degli strati tardivi possono rilevare i segreti con un'accuratezza significativamente maggiore nei modelli sottoposti a fine-tuning rispetto ai modelli base, anche quando il payload di output è non recuperabile.

4. Risultati Sperimentali

Modelli e Impostazioni

Gli esperimenti sono stati condotti su Llama-3.1-8B, Ministral-8B e Llama-3.3-70B utilizzando sia il full fine-tuning che LoRA. I dati di addestramento includevano WikiText-103 e prompt in stile TrojanStego.

Prestazioni dell'Attacco

• Tasso di Corrispondenza Esatta (Exact Match Rate): Gli schemi geometrici (specificamente ASCII+Embedding e Embedding+Embedding) hanno ottenuto tassi di recupero del segreto esatto superiori rispetto al baseline ASCII+Parity.
  • Llama-8B (LoRA): Il recupero è migliorato dal 17% al 30% (+78%).
  • Ministral-8B (LoRA): Il recupero è migliorato dal 24% al 43% (+80%).
  • Llama-70B (LoRA): Il recupero è migliorato dal 9% al 19% (+123%).
• Riduzione della Recuperabilità:
  • Il bucketing geometrico proposto ha ridotto significativamente $R_{bucket}$ e $R_{secret}$.
  • Nell'impostazione "non recuperabile" (utilizzando la maschera XOR per prevenire la decodifica dell'output), l'attacco ha comunque codificato con successo il segreto internamente, provando che il canale esiste anche se l'output è indecifrabile.

Qualità del Testo e Capacità

• Fluidità: La perplexity e la divergenza KL sono aumentate ma sono rimaste entro i range tipici di un fine-tuning intenso.
• Degradazione delle Capacità: Il fine-tuning steganografico puro ha causato cali significativi nei benchmark downstream (MMLU, ARC, ecc.), specialmente per il full fine-tuning.
• Addestramento a Motivazione Mista (Mixed-Motive Training): Combinare gli obiettivi steganografici con dati di instruction-tuning standard (mix 75/25) ha recuperato sostanzialmente le capacità del modello (ad esempio, riducendo la degradazione da ~30pp a ~3-5pp per LoRA) mantenendo il canale occulto.

Prestazioni del Rilevamento

• Sonde Lineari:
  • Classificazione dei Bit: Le sonde addestrate sugli ultimi strati dei modelli sottoposti a fine-tuning hanno raggiunto un'accuratezza del 95–100% nel predire i bit codificati, rispetto a circa il 60% per i modelli base.
  • Recupero degli Embedding: Le sonde potevano recuperare l'embedding del segreto con un'alta similarità del coseno nei modelli sottoposti a fine-tuning, anche senza la conoscenza dello schema di codifica.
  • Robustezza: Questo segnale di rilevamento è persistito nell'addestramento a motivazione mista e persino nell'impostazione di controllo "XOR-masking" dove l'output era matematicamente impossibile da decodificare.

5. Significato e Rivendicazioni

Il documento afferma che:

1. Evoluzione della Minaccia: Gli attacchi steganografici negli LLM possono essere resi significativamente più difficili da sottoporre a reverse-engineering passando da regole arbitrarie alla geometria dello spazio degli embedding, riducendo efficacementamente la recuperabilità del payload a livelli quasi casuali per gli analisti senza chiave.
2. Limiti della Difesa: La steganalisi tradizionale basata su spostamenti distribuzionali (perplexity/KL) è insufficiente per rilevare la steganografia basata su fine-tuning, poiché gli spostamenti sono indistinguibili dal normale comportamento di fine-tuning.
3. Nuovo Paradigma di Difesa: Il rilevamento deve fare affidamento sull'interpretabilità meccanicistica. Le firme interne del fine-tuning steganografico sono distinte e rilevabili tramite sonde lineari sugli stati nascosti, anche quando l'output esterno è sicuro.
4. Praticità: Sebbene il fine-tuning steganografico puro degradi l'utilità del modello, l'addestramento a motivazione mista consente di mantenere i canali occulti con un impatto minimo sulle capacità downstream, rendendo la minaccia più realistica.

Gli autori concludono che, sebbene gli attacchi possano essere induriti contro l'analisi dell'output, essi lasciano tracce interne azionabili, suggerendo che le difese future debbano concentrarsi sull'ispezione degli interni del modello piuttosto che sul semplice monitoraggio delle distribuzioni di output.