Sintesi Tecnica: Dai Parametri allo Spazio delle Caratteristiche: Task Arithmetic per la Mitigazione dei Backdoor nel Model Merging

1. Definizione del Problema

Il Model Merging (MM) è emerso come una strategia efficiente dal punto di vista dei costi per integrare molteplici modelli specializzati per task in un modello unificato, riducendo la ridondanza di archiviazione e l'overhead computazionale. Tuttavia, studi recenti rivelano che il MM introduce una vulnerabilità di sicurezza significativa: gli attacchi backdoor. In questo scenario, un avversario può compromettere un singolo componente specifico del task (ad esempio, un vettore del task) e iniettare un backdoor nel modello finale senza accedere al processo di merging complessivo.

I meccanismi di difesa esistenti, in particolare quelli basati sulla Task Arithmetic (ad esempio, la sottrazione vettoriale), operano direttamente nello spazio dei parametri. Questi approcci faticano a raggiungere un compromesso favorevole tra la rimozione dei backdoor e la preservazione delle prestazioni del task pulito. La difficoltà principale risiede nel disaggregare i parametri essenziali per la funzionalità pulita da quelli che codificano comportamenti malevoli di backdoor, poiché l'editing diretto dei parametri spesso degrada l'utilità del modello.

2. Metodologia: Linear Feature Path Minimization (LFPM)

Per affrontare i limiti dell'editing nello spazio dei parametri, gli autori propongono la Linear Feature Path Minimization (LFPM). Questo framework sposta la prospettiva della mitigazione dei backdoor dallo spazio dei parametri allo spazio delle caratteristiche (feature space), sfruttando il fenomeno della Cross-Task Linearity (CTL).

Fondamento Teorico: Cross-Task Linearity (CTL)

La CTL postula che i modelli inizializzati dallo stesso checkpoint pre-addestrato e sottoposti a fine-tuning su diversi task esibiscano un comportamento quasi lineare nelle loro rappresentazioni delle caratteristiche. Nello specifico, le caratteristiche di un modello con pesi interpolati approssimano strettamente l'interpolazione lineare delle caratteristiche dei singoli modelli. Gli autori derivano un limite di deviazione per la CTL, dimostrando che le deviazioni delle caratteristiche lungo un percorso di interpolazione sono governate dalla distanza dei parametri e dalla curvatura (Essiana) del panorama della perdita (loss landscape).

Framework Core

LFPM costruisce un vettore del task anti-backdoor da fondere con il modello compromesso, creando un modello purificato. A differenza dei metodi precedenti che modificano direttamente i parametri, LFRP ottimizza questo task anti-backdoor da una prospettiva unificata dello spazio delle caratteristiche. Il metodo si compone di due fasi primarie:

Fase 1: Estrazione delle Caratteristiche Avversarie tramite Partizionamento del Sottospazio

Invece di generare perturbazioni avversarie nello spazio di input o trigger di reverse-engineering, LFPM estrae le caratteristiche avversarie partizionando lo spazio delle caratteristiche.

• Partizionamento del Sottospazio: Lo spazio delle caratteristiche viene decomposto in due sottospazi ortogonali: un sottospazio avversario ($S$) e un sottospazio semantico pulito ($T$). Una matrice di proiezione apprendibile $P_s$ viene addestrata per isolare le componenti avversarie.
• Mining Basato su Prompt: Le perturbazioni avversarie sono codificate tramite prompt visivi apprendibili ($P$) piuttosto che modificando i pixel di input. Ciò preserva l'integrità semantica degli originali. L'obiettivo di ottimizzazione assicura che l'input aumentato dal prompt attivi le caratteristiche correlate al backdoor nel modello compromesso, preservando al contempo le caratteristiche semantiche pulite nel modello purificato.

Fase 2: Ottimizzazione del Vettore del Task Anti-Backdoor

Questa fase formula il problema della mitigazione come un'ottimizzazione simile alla Sharpness-Aware Minimization (SAM) all'interno del framework CTL.

• Riformulazione nello Spazio delle Caratteristiche: L'obiettivo è minimizzare la nitidezza (sharpness/curvatura) della perdita lungo il percorso di interpolazione delle caratteristiche tra il modello fuso compromesso e il modello anti-backdoor.
• Perturbazione dello Spazio dei Prompt: Le deviazioni delle caratteristiche indotte dalla CTL sono mappate su perturbazioni del caso peggiore nello spazio dei prompt a bassa dimensione, anziché nello spazio dei parametri ad alta dimensione.
• Accumulo del Gradiente e Loss Path-Integral: Per garantire la robustezza lungo l'intero percorso di interpolazione (non solo in un singolo punto), il metodo impiega un meccanismo di accumulo del gradiente per approssimare i gradienti dei modelli interpolati. Utilizza inoltre una procedura di loss path-integral, mediando la perdita sulla traiettoria di interpolazione per garantire una soppressione costante del backdoor.

3. Contributi Chiave

1. Framework Anti-Backdoor nello Spazio delle Caratteristiche: Il lavoro propone una nuova prospettiva unificata nello spazio delle caratteristiche per la mitigazione dei backdoor sotto il framework CTL, supportata da analisi teorica (limiti di deviazione) e validazione empirica. Questo approccio supera i limiti degli interventi diretti nello spazio dei parametri.
2. Linear Feature Path Minimization (LFPM): Un meccanismo di difesa a due stadi che mitiga efficacemente gli effetti del backdoor preservando le prestazioni del task pulito. Elimina la necessità di sintesi di trigger nello spazio di input ed evita l'interpolazione esplicita nello spazio dei parametri durante l'addestramento, utilizzando invece un meccanismo di loss path-integral.
3. Vasta Validazione Empirica: Gli autori dimostrano che LFPM ottiene costantemente una forte robustezza contro gli attacchi backdoor sia in contesti di Full Fine-Tuning che di Parameter-Efficient Fine-Tuning (PEFT/LoRA).

4. Risultati Sperimentali

Gli autori hanno valutato LFPM su 11 dataset utilizzando un backbone CLIP-ViT-B/32, confrontandolo con baseline come IBVS (Task Arithmetic), SAU (Adversarial Unlearning), SAM e PAM.

• Performance di Difesa: Sotto l'attacco BadMerging (full fine-tuning), LFPM ha ottenuto il più basso Attack Success Rate (ASR) in tutti i task (ad esempio, ASR(T) medio dello 0,49% rispetto al 64,18% di IBVS) mantenendo al contempo la più alta Clean Accuracy (CA). Sotto gli attacchi LoBAM (PEFT/LoRA), LFPM ha ottenuto risultati simili, superando le baseline con un ASR inferiore e una CA superiore rispetto a SAM e PAM.
• Robustezza lungo il Percorso di Interpolazione: A differenza dei metodi che valutano la robustezza solo a un coefficiente di merging specifico, LFPM ha dimostrato una robustezza costante lungo l'intero percorso di interpolazione dei parametri, come evidenziato dal più basso Path-ASR (vulnerabilità cumulativa del backdoor).
• Attacchi Adattivi: Anche contro avversari adattivi che tentano di accoppiare le caratteristiche pulite e quelle del backdoor o di imporre la coerenza dell'interpolazione, LFPM ha mantenuto un basso ASR (passando solo dallo 0,49% al 2,38%), superando significativamente altre difese.
• Scalabilità e Generalità: LFPM ha mostrato prestazioni costanti attraverso diversi algoritmi di model merging (Simple Average, Ties-Merging, Della-Merging) e architetture più grandi (ViT-L/14).

5. Significato e Rivendicazioni

Il paper sostiene che LFPM fornisca una soluzione rigorosa alla vulnerabilità dei backdoor nel model merging sfruttando la Cross-Task Linearity delle caratteristiche. Spostando l'ottimizzazione dallo spazio dei parametri allo spazio delle caratteristiche, il metodo riesce a disaggregare i comportamenti di backdoor dalle funzionalità del task pulito senza il grave degrado delle prestazioni osservato nelle difese esistenti.

Gli autori sottolineano che il loro approccio offre un framework generale per mitigare gli attacchi backdoor preservando le prestazioni del task pulito in diversi setting di fine-tuning (full e PEFT). Notano che, sebbene il metodo introduca un certo overhead computazionale rispetto ai metodi leggeri basati su SAM, offre un compromesso necessario per la robustezza negli scenari di model merging. Il lavoro mira a migliorare l'affidabilità del model merging, che viene sempre più adottato come soluzione efficiente per il deployment multi-task.

Limitazioni e Lavori Futuri:
Gli autori riconoscono che, come la maggior parte dei metodi difensivi, LFPM potrebbe affrontare futuri attacchi adattivi. Affermano che sono necessarie ulteriori ricerche per valutare l'efficacia su scale più ampie e in scenari reali più diversificati. Il lavoro futuro si concentrerà sull'estensione e la validazione di LFPM attraverso diversi task e scenari per migliorarne la generalizzabilità.