Fine-Tuning Integrity for Modern Neural Networks: Structured Drift Proofs via Norm, Rank, and Sparsity Certificates

1. Il Problema: Integrità del Fine-Tuning

Il fine-tuning è diventato il metodo standard per adattare grandi modelli neurali pre-addestrati a nuovi compiti o domini. Tuttavia, questo processo introduce rischi critici per l'integrità:

• Rischio di Backdoor e Manipolazione: Una parte non fidata potrebbe inserire backdoor, rimuovere moduli di sicurezza (safety alignment) o sostituire grandi porzioni del modello, spacciandole per aggiornamenti minori e innocui.
• Limiti degli Strumenti Esistenti: Gli strumenti di verifica attuali si concentrano sulla correttezza dell'inferenza o sulla provenienza completa del modello, ma non riescono a verificare se le modifiche apportate durante il fine-tuning rispettino vincoli specifici (es. "solo piccoli aggiornamenti" o "solo aggiornamenti a basso rango").
• Necessità di Garanzie: In settori ad alto rischio (finanza, moderazione contenuti), è necessario garantire che il modello distribuito rimanga all'interno di una "famiglia certificata" rispetto al modello base, senza rivelare i pesi stessi.

2. Metodologia: Fine-Tuning Integrity (FTI) e SMDP

Gli autori propongono un nuovo obiettivo di sicurezza chiamato Fine-Tuning Integrity (FTI). L'obiettivo è permettere a un prover (chi esegue il fine-tuning) di generare una prova succinta e a conoscenza zero (Zero-Knowledge Proof - ZKP) che il modello adattato ($W^*$) differisce dal modello base fidato ($W_0$) solo all'interno di una classe di deriva (drift class) definita da una politica.

Il cuore della metodologia è l'introduzione dei Succinct Model Difference Proofs (SMDP), una primitiva crittografica che certifica che la differenza $\Delta = W^* - W_0$ appartiene a una specifica classe strutturata.

Le tre classi di deriva principali supportate sono:

1. Deriva Limitata dalla Norma (Norm-bounded): La differenza dei pesi ha una norma (es. Frobenius o spettrale) inferiore a una soglia $\epsilon$.
2. Deriva a Basso Rango (Low-rank): La differenza è una matrice a basso rango (tipico di metodi come LoRA), dove $\Delta = AB$ con rango $r$ piccolo.
3. Deriva Sparsa (Sparse): Solo un numero limitato $k$ di parametri viene modificato.

3. Costruzioni Crittografiche (SMDP)

Il paper presenta tre costruzioni specifiche per ciascuna classe di deriva, tutte progettate per avere costi di verifica indipendenti dalla dimensione totale del modello, dipendendo invece dalla struttura della deriva:

• NBDP (Norm-Bounded Drift Proofs):

  • Meccanismo: Utilizza proiezioni casuali (Random Projections) basate sul fenomeno di concentrazione di misura (Johnson-Lindenstrauss).
  • Funzionamento: Il verificatore controlla un piccolo numero di proiezioni casuali del vettore di deriva. Se la norma supera la soglia, almeno una proiezione supererà una soglia calibrata con alta probabilità.
  • Efficienza: Il costo del verificatore dipende solo dalla soglia di norma e dalla precisione statistica, non dalla dimensione del modello.

• MRDP (Matrix Rank Difference Proofs):

  • Meccanismo: Codifica le matrici dei pesi come polinomi bivariati. Un aggiornamento a basso rango corrisponde a una somma di componenti separabili (prodotti di polinomi univariati).
  • Funzionamento: Utilizza impegni polinomiali (Polynomial Commitments, es. KZG). Il verificatore sceglie un punto casuale e verifica l'identità polinomiale che conferma la decomposizione a basso rango.
  • Efficienza: La complessità è $O(r)$, dove $r$ è il rango, indipendente dalle dimensioni della matrice.

• SDIP (Sparse Drift Interactive Proofs):

  • Meccanismo: Combina sketch lineari (linear sketching) con controlli di somma a conoscenza zero.
  • Funzionamento: Il prover dichiara l'insieme di supporto (indici non nulli) e i valori. Il verificatore esegue controlli lineari casuali per assicurarsi che non esistano derive non dichiarate al di fuori dell'insieme dichiarato.
  • Efficienza: Il costo dipende dal numero di parametri modificati ($k$) e non dalla dimensione totale $n$.

4. Risultati Teorici e Sperimentali

Risultati Teorici:

• Limite Inferiore (Lower Bound): Gli autori dimostrano un limite inferiore informativo-teorico: senza vincoli strutturali sulla deriva (norma, rango, sparsità), qualsiasi prova non interattiva con errore di soundness trascurabile deve avere dimensione $\Omega(n)$ (lineare nel numero di parametri). Questo giustifica la necessità di assumere strutture specifiche per ottenere prove succinte.
• Sicurezza: Le costruzioni soddisfano completezza, soundness (nessun adversario può ingannare il verificatore se la politica è violata) e zero-knowledge (il verificatore non apprende nulla sui pesi oltre alla validità della politica).

Risultati Sperimentali (Implementazione):
È stato implementato un prototipo che integra commitment vettoriali (Merkle tree) e polinomiali (KZG su curve BLS12-381).

• Scalabilità: Su un modello Transformer da 7 miliardi di parametri (stile LLaMA):
  • La dimensione della prova aggregata è di circa 3.8 MB (contro >1 GB per un zk-SNARK che codifica l'intera differenza senza struttura).
  • Il tempo di verifica è di circa 310 ms per l'intero modello.
  • Il tempo di generazione della prova (prover) è di circa 8.2 minuti su una GPU NVIDIA A100.
• Rilevamento: Il sistema rileva con probabilità >99.999% le violazioni (es. rank superiore al limite, sparsità superata, norma eccessiva).
• Architetture: Il sistema è stato testato con successo su Transformer, CNN (ResNet-50) e MLP, dimostrando adattabilità a diverse decomposizioni di blocchi.

5. Contributi Chiave

1. Definizione di FTI: Formalizzazione dell'integrità del fine-tuning come obiettivo crittografico per l'evoluzione controllata dei modelli.
2. Primitiva SMDP: Introduzione di prove succinte per differenze di modello basate su vincoli strutturali (norma, rango, sparsità).
3. Costruzioni Efficienti: Sviluppo di protocolli specifici (NBDP, MRDP, SDIP) che riducono la complessità di verifica da lineare nella dimensione del modello a logaritmica o costante rispetto alla struttura della deriva.
4. Lower Bound: Dimostrazione che la struttura è necessaria per la succintezza in contesti statistici.
5. Sistema End-to-End: Integrazione in un flusso di lavoro completo che supporta la composizione di prove a livello di blocco per modelli complessi.

6. Significato e Impatto

Questo lavoro colma un vuoto critico nella sicurezza dell'IA: la capacità di verificare come un modello è stato modificato senza dover rieseguire o provare l'intero calcolo.

• Sicurezza: Permette di rilevare tentativi di inserimento di backdoor o rimozione di allineamenti di sicurezza che richiederebbero modifiche strutturali ampie (es. alto rango o grande norma).
• Governance: Abilita audit crittografici per modelli distribuiti da fornitori cloud, garantendo che le modifiche rispettino i contratti di servizio (SLA) o le normative.
• Praticità: Dimostra che è possibile ottenere garanzie di integrità forti con costi computazionali e di comunicazione fattibili anche per modelli su larga scala, rendendo il controllo dell'evoluzione dei modelli un processo scalabile.

In sintesi, il paper propone un framework matematico e crittografico per trasformare il fine-tuning da un "processo opaco" a un'operazione verificabile e controllata, fondamentale per l'adozione sicura dei modelli di intelligenza artificiale in ambienti regolamentati.