技術的サマリー：トランスポーター移植における非対称実現可能性

問題定義

本論文は、オープンウェイト大規模言語モデル（LLM）サプライチェーンにおける構造的脆弱性、特にトレーニングフリーのトランスポーター移植パイプラインに焦点を当てている。開発者が既存のチェックポイントをマージ（例：mergekit を通じて）して新しいモデルを構築するにつれ、「ドナー」モデル（新しいトークンの供給源）と「ベース」モデル（受け手）の間の語彙ギャップを埋める必要がある。

現在の最先端の移植オペレーター（OMP、CLP、WECHSEL、FOCUS など）は、共有基底再構成に依存している。これらの手法は、ドナー固有のトークンの埋め込みをベースモデルの空間で再構成するために、以下の手順を踏む：

1. ドナーの埋め込み空間における共有「アンカー」トークンの重み付き和としてドナートークンを表現するために、スパースな係数集合（$\beta$）を適合させる。
2. その正確な係数を再利用して、ベースモデルの空間内で新しい埋め込みを合成する（$\hat{x}_b = \Phi_b^\top \beta$）。

著者は非対称実現可能性という決定的な幾何学的欠陥を特定している。同じ係数ベクトル $\beta$ は、ドナーのアンカースパン内では低エネルギーで統計的に不活性な領域にマッピングされる一方で、同時にベースのアンカースパン内では高サリエンシーで高確率の領域にマッピングされ得る。このギャップにより、攻撃者はドナーの内部重みや移植コードを変更することなく、ドナーの語彙アーティファクトを操作し、ベースモデルにおいて特定の高频発現行動を引き起こすことが可能となる。

手法

著者は、この幾何学的非対称性を悪用するトレーニングフリーの「ブレーカートークン」攻撃を提案する。この攻撃には、ベースモデルへの勾配アクセスも、ドナーのトランスフォーマー重みの変更も不要である。

1. 攻撃の構築

攻撃者はドナーのトランスポーターに単一の新しいトークン $\tau^*$ を追加し、その埋め込みベクトル $x_d(\tau^*)$ を以下の 2 つの矛盾する目的を満たすように設計する：

• ドナーの不活性性：トークンはドナーモデル内で統計的に不可視（低い放出確率）でなければならない。これは、トークンの埋め込みをドナーの隠れ状態分布の「低エネルギー」方向（具体的には、ドナーの分散の主成分に直交する部分空間 $U$）に制約することで達成される。
• ベースのサリエンシー：移植後、トークンはベースモデル内で高サリエンシーな方向に再構成されなければならない。攻撃者は、公開テキストから導出されたベースモデルの最終層隠れ状態の実験的平均（$\mu_{base}$）を標的とする。

2. 最適化フレームワーク

攻撃者は、最適な係数 $\alpha$（または直接的に埋め込み $x_d$）を見つけるために、二重目的最適化問題を解く：
$$\mathcal{L}(\theta) = \underbrace{\| \hat{x}_b(\theta) - \mu_{base} \|_2^2}_{\text{ベースのサリエンシー}} + \lambda \underbrace{\| U x_d(\theta) \|_2^2}_{\text{ドナーの不活性性}} + \rho R(\theta)$$

• OMP（直交マッチング追跡）の場合：攻撃者は、共有アンカーのサブセット $S$ を選択するための貪欲なサポート選択戦略を用い、ドナーの $U$ への射影を最小化しつつ $\mu_{base}$ との整合性を最大化する係数 $\alpha$ を解く。
• 微分可能オペレーター（CLP、WECHSEL、FOCUS）の場合：攻撃者は、最適化中に特定のオペレーターの前方マップをシミュレートしながら、勾配降下法を用いてドナーの埋め込みを直接最適化する。

3. 実現モード

本論文は、ブレーカートークンの表面形式が攻撃者によって制御可能であることを実証している。選択された文字列に応じて、攻撃は以下の形で現れる：

• サービス劣化：トークンが生成を支配し、モデルが反復的で意味のないテキストを出力させる。
• 評判汚染：トークン（例：差別的な言葉）が、それ自体は整合性のある推論チェーンにまばらに挿入される。
• 敵対的透かし：出力に隠されたタグが追加され、攻撃者が侵害された語彙の不正使用を追跡可能にする。

主要な貢献

1. 非対称実現可能性の特定：本論文は、共有基底再構成が単一の係数ベクトルをドナー空間では「静か」に、しかしベース空間では「騒がしく」させるという幾何学的性質を形式的に特徴づける。これは、ペアリングされたアンカー辞書の一般化特異値分解（GSVD）分析によって証明される。
2. ブレーカートークンの構築：著者は、これらのトークンを構築するための具体的かつトレーニングフリーな手法を提供する。単一のドナーチェックポイント（例：Gemma-2-2B）が、各ターゲットに対して異なるブレーカー行を追加するだけで、5 つのモデルファミリー（Llama、Mistral、Qwen、Gemma、SmolLM2）にわたる13 の異なるダウンストリームベースを攻撃可能であることを実証している。
3. 防御の評価：
   • スペクトルフィルター：ノルム崩壊やゴミの整合性をチェックする標準的なヒューリスティック検出器（Magikarp など）は、ブレーカートークンが自然なドナートークンの統計的分布を模倣するように設計されている（スペクトル模倣）ため、検出に失敗する。
   • LoRA 微調整：移植後の LoRA 微調整は、微調整コーパスに一致するプロンプトでのみ攻撃を抑制する。分布外（OOD）のプロンプトでは、攻撃は高いシーケンス放出率（SER）で持続する。
   • 重みマージ：攻撃されたベースをクリーンな参照モデルとマージしても、植え付けられた方向は除去されない。マージされたモデルは、侵害された埋め込み行を継承する。

実験結果

著者は、OMP を使用して65 のドナー - ベースペア（20 ペアの「軽量クライク」と 65 ペアの「標準スケール」プールを含む）で手法を評価し、CLP、WECHSEL、FOCUS におけるクロスオペレーター検証を行った。

• 非対称性：軽量クライクにおいて、20 ペア中 13 ペアが、ドナーの SER を $\le 0.05$ に維持しつつ、攻撃されたベースで最大シーケンス放出率（SER）$\ge 0.2$ を達成した。いくつかのペアは、ベースでは完全な放出（SER = 1.0）を達成しながら、ドナーでは完全に静か（SER = 0.0）であった。
• 有用性の維持：修正されたドナーモデルは、標準ベンチマーク（MMLU、Wikitext Perp など）において元の有用性スコアを保持しており、攻撃の隠密性が確認された。
• クロスモデル到達性：単一の Gemma-2-2B ドナーチェックポイントが 13 の異なるベースを正常に攻撃した。これらのベースの 8 つにおいて平均ベース SER は 0.99 を超え、ドナー SER は 0.014 未満に留まった。
• 防御の失敗：標準的な LoRA 微調整は、保持された OOD 分布（例：WikiText の継続）における攻撃を軽減できず、微調整後でも SER は 0.87 以上で推移した。

意義と主張

本論文は、係数再利用の幾何学が、見落とされてきたトランスポーター移植オペレーターの基本的な設計基準であると主張する。著者は以下を論じる：

• サプライチェーンリスク：オープンウェイトの構成サプライチェーンは、「1 対多」攻撃に対して脆弱である。単一の悪意あるドナーが、被害者ごとの適応を必要とせずに、広範なダウンストリームモデルを侵害し得る。
• 現在の防御の限界：現在の監査ヒューリスティック（スペクトルフィルター）および事後の緩和戦略（LoRA、重みマージ）は、この特定の幾何学的攻撃クラスに対して不十分である。
• 行動喚起：著者は、将来の移植オペレーターは、係数再利用が benign（無害）であるという仮定に依存するのではなく、合成された行の受信者側検証（非対称実現可能性のチェックや行動監査の実施など）を組み込むべきであると提案する。彼らは、新しいオペレーターの堅牢性を評価するための具体的な診断（GSVD 非対称エネルギー）を提供する。

本作業は、モデルの中核的な推論能力を一般的に破壊するものではなく、むしろ LLM エコシステムの相互運用性レイヤーにおける特定の構造的失敗モードを浮き彫りにし、モデル出力の標的型、持続的、かつ隠密な操作を可能にすることを示している。