Sintesi Tecnica: PROTOPURIFY

Problematica

I Large Language Models (LLM) sono sempre più impiegati in applicazioni sensibili alla sicurezza, ma rimangono vulnerabili agli attacchi backdoor, in cui gli avversari implementano funzionalità malevole che attivano output predefiniti all'esposizione di specifici trigger. Sebbene la Backdoor Defense-as-a-Service (BDaaS) sia un paradigma emergente per la purificazione post-hoc dei modelli, gli attuali meccanismi di difesa affrontano barriere operative significative:

1. Assunzioni Irrealistiche: Molte difese richiedono l'accesso a dati puliti a valle, la conoscenza di specifici trigger/target o la conoscenza di domini di task specifici, che spesso non sono disponibili o sono sensibili in un contesto orientato al servizio.
2. Mancanza di Riutilizzabilità: Gli approcci attuali tipicamente purificano i modelli in modo indipendente, mancando di meccanismi per trasferire intuizioni o componenti tra diversi modelli backdoored, limitando la scalabilità.
3. Trade-off: Gli approcci esistenti soffrono spesso di un elevato overhead computazionale (che richiede il training per ogni modello) o causano una significativa degradazione dell'utilità del modello benigno (Clean Data Accuracy, CDA).

Il documento identifica la necessità di un framework di purificazione che sia riutilizzabile, personalizzabile, interpretabile e efficiente a runtime, operando con assunzioni minime riguardo all'attacco o al task downstream del modello target.

Metodologia: PROTOPURIFY

PROTOPURIFY è un framework di purificazione delle backdoor basato su prototipi, progettato per operare nello spazio dei pesi. Sfrutta l'osservazione che diversi attacchi backdoor inducono spostamenti di parametri correlati, suggerendo un "prototipo di backdoor" condiviso. Il framework si compone di quattro fasi:

1. Simulazione della Backdoor (Costruzione del Vector Pool)

Per catturare diversi comportamenti di backdoor senza accesso ai dati di attacco originali, il difensore simula vari scenari di attacco offline utilizzando dataset pubblici ausiliari e strategie di attacco note (es. single-trigger, multi-trigger, triggerless).

• Processo: Per ogni scenario, un "modello backdoored" ($M_b$) e un "modello pulito" ($M_c$) vengono addestrati dallo stesso modello base ($M_{base}$) utilizzando gli stessi iperparametri, differendo solo per la presenza di dati avvelenati o manipolazione dei pesi.
• Vettore di Backdoor: Il vettore di backdoor $v$ è calcolato come la differenza tra i parametri dei modelli backdoored e puliti: $v = \vartheta(M_b) - \vartheta(M_c)$. Questa sottrazione rimuove i segnali di apprendimento specifici del task, isolando gli aggiornamenti malevoli.
• Output: Un pool di vettori di backdoor $\mathcal{V}$ che rappresentano diversi comportamenti di attacco.

2. Costruzione del Prototipo

Il sistema aggrega il pool di vettori di backdoor per distillare una rappresentazione malevole condivisa.

• Aggregazione: Il documento valuta due strategie di aggregazione: Media Aritmetica (AM) e Analisi delle Componenti Principali (PCA). Gli esperimenti dimostrano che AM è superiore poiché rinforza i cambiamenti di parametri coerenti, mentre PCA può amplificare il rumore o le variazioni irrilevanti.
• Selezione: Per un modello target backdoord $M'$, il sistema calcola il suo vettore di aggiornamento dei pesi $w = \vartheta(M') - \vartheta(M_{base})$. Successivamente, seleziona il candidato prototipo più allineato $p^*$ dal set costruito massimizzando la similarità del coseno: $p^* = \arg\max_{p \in \mathcal{P}} \text{CosSim}(w, p)$.

3. Rilevamento dello Strato di Confine (Boundary Layer Detection)

Per prevenire la degradazione dell'utilità, PROTOPURIFY evita di modificare l'intero modello. Identifica uno "strato di confine" che partiziona il modello in strati inferiori protetti e strati superiori candidati alla purificazione.

• Meccanismo: Il sistema calcola punteggi di allineamento layer-wise tra l'aggiornamento del modello target e il prototipo selezionato. Empiricamente, i punteggi di allineamento sono stabili negli strati inferiori ma mostrano un aumento netto negli strati più profondi, dove vengono codificati i comportamenti semantici della backdoor.
• Criteri: Lo strato di confine $l^*$ viene selezionato in base alla Significatività della Magnitudo (il punteggio supera una soglia basata sulle statistiche degli strati inferiori) e alla Significatività dell'Incremento (il tasso di aumento è più ripido rispetto alla baseline).

4. Purificazione del Modello

La purificazione mirata viene eseguita solo sugli strati $l \geq l^*$.

• Decomposizione: Per ogni matrice di pesi addestrabile $\Delta W$ nei layer target, viene applicata la Decomposizione ai Valori Singolari (SVD): $\Delta W = \sum \lambda_i a_i b_i^\top$.
• Identificazione del Segnale: Ogni componente di rango-1 viene proiettata sulla corrispondente matrice prototipo $\Delta P$ per calcolare un punteggio di segnale di backdoor $c_i$.
• Soppressione: Le componenti con punteggi superiori a una soglia adattiva vengono identificate come malevole. I loro valori singolari $\lambda_i$ vengono scalati verso il basso da un fattore $(1-\alpha)$, dove $\alpha$ è una forza di purificazione controllabile. Ciò consente un trade-off tra mitigazione e preservazione dell'utilità.

Contributi Chiave

1. Purificazione Basata su Prototipi: Il documento propone PROTOPURIFY, un metodo che costruisce un prototipo di backdoor riutilizzabile dai modelli simulati, consentendo la purificazione senza accesso ai dati downstream puliti o alla conoscenza del trigger.
2. Pipeline End-to-End nello Spazio dei Pesi: Gli autori sviluppano una pipeline che comprende l'estrazione del vettore di backdoor, l'aggregazione del prototipo, il rilevamento del confine layer-wise e la soppressione controllata delle componenti.
3. Pronto per la BDaaS: Il framework è esplicitamente progettato per soddisfare quattro desiderata chiave per il deployment di servizi: Riutilizzabilità (la costruzione offline dei prototipi è riutilizzata per più modelli), Personalizzabilità (adattabile a famiglie di attacco o task noti), Interpretabilità (rivela le posizioni di codifica della backdoor tramite l'analisi del segnale) e Efficienza a Runtime (editing one-shot, senza training).

Risultati Sperimentali

Gli autori hanno valutato PROTOPURIFY su Llama3-8B e Mistral-7B attraverso compiti di classificazione (SST-2, CoLA, QQP, MNLI, Emotion) e di generazione (CHAT-BACKDOOR).

• Performance vs Baselines: PROTOPURIFY è stato confrontato con sei difese allo stato dell'arte (Wanda, Fine-Tuning, NAD, BEEAR, CROW, LETHE).
  • Mitigazione: Ha costantemente ridotto l'Attack Success Rate (ASR) sotto il 10% (spesso fino al 1,6%) in attacchi single-trigger, multi-trigger e triggerless.
  • Utilità: Ha mantenuto un'alta Clean Data Accuracy (CDA), subendo una perdita di utilità benigna inferiore al 3% nella maggior parte dei casi.
  • Confronto: In scenari in cui le baseline come il Fine-Tuning causavano una significativa perdita di utilità (es. CDA che scende a ~58%) o fallivano nel sopprimere l'ASR (es. rimanendo >40%), PROTOPURIFY ha ottenuto trade-off superiori (es. ASR 4,4% con CDA 91,3% su SST-2).
• Trasferibilità: I prototipi costruiti su compiti di classificazione hanno purificato con successo modelli su compiti di generazione, dimostrando l'efficacia cross-domain.
• Robustezza: Il metodo è rimasto efficace contro avversari adattivi che hanno tentato di amplificare i segnali di backdoor, e ha causato una degradazione trascurabile delle prestazioni sui modelli non backdoored (puliti).
• Efficienza: Il tempo di esecuzione per modello è di 5–10 minuti (senza training), significativamente più veloce delle baseline basate su gradiente che richiedono centinaia di minuti.

Significato e Rivendicazioni

Il documento afferma che PROTOPURIFY affronta una lacuna critica nella sicurezza degli LLM fornendo un primitivo pratico e pronto per il servizio per la Backdoor Defense-as-a-Service. La sua importanza risiede in:

• Viabilità Operativa: Rimuovendo la necessità di dati target puliti o conoscenza del trigger, rende la purificazione delle backdoor fattibile per piattaforme commerciali di BDaaS.
• Scalabilità: La costruzione offline di prototipi riutilizzabili ammortizza i costi computazionali, permettendo la purificazione ad alto throughput di diversi modelli.
• Precisione: La strategia di soppressione layer-wise e component-wise minimizza i danni collaterali alle capacità benigne del modello, un punto di fallimento comune nelle difese di pruning o fine-tuning esistenti.

Gli autori sottolineano che, sebbene il metodo sia robusto, non è un sostituto per una sicurezza più ampia della supply-chain (es. verifica dei dataset) ed è progettato per essere trasparente e interpretabile per aiutare nella diagnosi di modelli compromessi.