Dummy Backdoor as a Defense: Removing Unknown Backdoors via Shared Internal Mechanisms for Generative LLMs

Sintesi Tecnica: Dummy Backdoor come Difesa per i Modelli Generativi LLM

Problematica
Gli attacchi backdoor rappresentano una minaccia significativa per la sicurezza e l'affidabilità dei Large Language Models (LLM). In questi attacchi, gli avversari avvelenano i dati di addestramento in modo che il modello si comporti normalmente con input puliti, ma generi risposte specificate dall'attaccante in presenza di un trigger specifico e nascosto. Rimuovere tali backdoor "sconosciute" è particolarmente difficile perché i difensori solitamente non hanno conoscenza della forma del trigger (ad es. parole specifiche, stili testuali o pattern sintattici) e non hanno controllo diretto sui meccanismi interni formati durante il processo di addestramento della backdoor. Le difese esistenti spesso non riescono a sopprimere sufficientemente queste backdoor senza degradare significativamente l'utilità generale del modello.

Metodologia
Gli autori propongono una nuova strategia di difesa che sfrutta i "meccanismi interni condivisi" tra diverse backdoor. L'intuizione fondamentale è che diverse backdoor che mirano allo stesso obiettivo (ad es. il jailbreaking) si affidano a percorsi di attivazione interna simili all'interno del modello, anche se i loro trigger a livello superficiale differiscono.

Il metodo proposto, denominato Dummy Backdoor Defense, opera in due fasi:

1. Inserimento di una Dummy Backdoor: Il difensore inserisce intenzionalmente una "dummy backdoor" nel modello utilizzando un trigger noto ($t_d$) e un comportamento target (ad es. la generazione di risposte dannose). Ciò crea una backdoor controllabile ($D_{dummy}$) all'interno del modello.

   • Impostazione durante l'addestramento (Training-time): Il difensore mescola il dataset dummy con i dati di addestramento raccolti (potenzialmente avvelenati).
   • Impostazione post-addestramento (Post-training): Il difensore effettua il fine-tuning di un modello già avvelenato con il dataset dummy.

2. Rimozione della Dummy Backdoor: Il difensore esegue quindi un ulteriore fine-tuning utilizzando un "dataset di rimozione" ($D_{removal}$). In questo dataset, gli input contenenti il trigger dummy sono accoppiati con risposte pulite, sicure o utili (ad es. il rifiuto di richieste dannose).

   • L'ipotesi è che, rimuovendo la dummy backdoor, il modello aggiorni i meccanismi interni condivisi su cui si affidano sia la dummy che la backdoor sconosciuta. Di conseguenza, anche la backdoor sconosciuta viene soppressa.

Contributi Chiave e Analisi

• Analisi della Similarità dei Meccanismi: Gli autori dimostrano innanzitutto che diverse backdoor inducono cambiamenti simili nelle attivazioni degli strati interni del modello, definiti "Trigger-Activated Changes" (TACs). Utilizzando la similarità del coseno, mostrano che le backdoor con lo stesso obiettivo di attacco (anche con diversi tipi di trigger come BadNets, Style o Syntax) esibiscono un'elevata similarità nei cambiamenti di attivazione, in particolare negli strati medi e successivi del modello. Ciò conferma che diverse backdoor condividono meccanismi interni.
• Applicabilità Duale: Il metodo è progettato per funzionare sia come difesa durante l'addestramento (dove il difensore addestra il modello) sia come difesa post-addestramento (dove il difensore riceve un modello pre-addestrato).
• Proxy Controllabile: Il documento introduce il concetto di utilizzare una backdoor controllabile dal difensore come proxy per mitigare indirettamente le minacce sconosciute, bypassando la necessità di identificare il trigger sconosciuto.

Risultati Sperimentali
Il metodo è stato valutato su più famiglie di modelli (Llama-3.1-8B, Qwen2.5-7B, Mistral-7B) e tre tipi di attacco (BadNets, Style, Syntax) sul compito di jailbreak.

• Riduzione dell'Attack Success Rate (ASR): Il metodo proposto ha ridotto sostanzialmente l'ASR delle backdoor sconosciute. In molti casi, l'ASR è sceso a livelli vicini allo zero (ad es. ~1,01% o 0,00%) dopo la fase di rimozione, nonostante il fine-tuning sia stato eseguito solo sul trigger dummy.
• Preservazione dell'Utilità: A differenza di alcune difese esistenti che degradano severamente le prestazioni del modello, il metodo proposto ha preservato o addirittura migliorato leggermente i punteggi di utilità del modello (misurati tramite MT-Bench).
• Confronto con le Difese Esistenti: Confrontato con cinque metodi di difesa esistenti (inclusi Fine-Tuning, Pruning, Quantization, CROW e BEEAR), il metodo proposto ha superato entrambi in termini di efficacia di rimozione della backdoor e preservazione dell'utilità. Ad esempio, mentre BEEAR riduceva l'ASR per BadNets, causava un calo catastrofico dei punteggi di utilità (fino a 1,59) e falliva contro le backdoor basate su Style.
• Robustezza: Il metodo è rimasto efficace in varie condizioni:
  • Molteplici Backdoor Sconosciute: Ha soppresso con successo molteplici backdoor sconosciute simultanee (BadNets, Style e Syntax).
  • Diversi Compiti: È stato efficace nel compito NegSentiment, dimostrando applicabilità oltre gli scenari di jailbreak.
  • Algoritmi di Fine-tuning: Ha funzionato sia con LoRA che con il fine-tuning a tutti i parametri.

Significatività e Rivendicazioni
Il documento afferma che una backdoor controllabile dal difensore può servire come efficace proxy per mitigare le backdoor sconosciute nei modelli generativi LLM. La significatività risiede nello spostamento del paradigma di difesa dall' "identificare e rimuovere trigger sconosciuti" al "manipolare i meccanismi interni condivisi tramite un trigger noto e controllabile".

Gli autori osservano che il loro approccio si basa sull'assunto che la dummy e la backdoor sconosciuta condividano i meccanismi associati allo stesso compito. Riconoscono un limite: se l'obiettivo dell'attacco è completamente sconosciuto (ad es. una dummy backdoor per il jailbreaking potrebbe non rimuovere una backdoor progettata per la manipolazione del sentiment), il metodo potrebbe essere meno efficace. Pertanto, la difesa richiede la conoscenza preventiva dell'obiettivo dell'attacco (ad es. sapere che l'attacco mira al jailbreaking), ma non richiede la conoscenza del trigger specifico.

Il lavoro conclude che questo semplice approccio in due fasi offre una soluzione robusta e che preserva l'utilità per proteggere gli LLM contro diverse minacce di backdoor sconosciute.