🤖 machine learning

Unextractable Protocol Models: Collaborative Training and Inference without Weight Materialization

本論文は、モデル断片に時間変化する可逆変換を周期的に適用することにより、重みの抽出を防止しつつ、無視できる性能オーバーヘッドを維持し、結合された分割を非整合なものとして扱うことで、大規模ニューラルネットワークの協調学習および推論を可能にする分散型フレームワークである「抽出不可能プロトコルモデル（UPMs）」を導入する。

原著者： Alexander Long, Chamin Hewa Koneputugodage, Thalaiyasingam Ajanthan, Yan Zuo, Gil Avraham, Violetta Shevchenko, Hadi Mohaghegh Dolatabadi, Sameera Ramasinghe

公開日 2026-05-25

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Alexander Long, Chamin Hewa Koneputugodage, Thalaiyasingam Ajanthan, Yan Zuo, Gil Avraham, Violetta Shevchenko, Hadi Mohaghegh Dolatabadi, Sameera Ramasinghe

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

以下は、論文「Unextractable Protocol Models（抽出不可能プロトコルモデル）」を、平易な言葉と日常的な比喩を用いて解説したものです。

大きな問題：「持ち寄り料理」のジレンマ

想像してみてください。何千人もの人々が食材を持ち寄り、巨大で美味しいシチュー（強力な AI モデル）を調理する大規模なコミュニティの持ち寄り料理会です。誰もが少しだけ作業に貢献します。しかし、ここに落とし穴があります。もし誰かが完成したシチューを持ち帰れるなら、その人は自分でそれを販売でき、元の貢献者には何も残らないからです。

AI の世界では、巨大なモデルを学習させるには数百万ドルの費用がかかります。これを安く抑えるため、何千人ものボランティアが自らのコンピュータを提供する「分散型」のアプローチが望まれています。しかし、最終的なモデルの「レシピ」（重み）が全員に完全に可視化されていれば、悪意のある人物がレシピ全体を盗み、持ち寄り料理会から去り、独自に AI を販売してしまう可能性があります。これでは、そもそも人々が貢献する動機が失われてしまいます。

解決策：「魔法の動くパズル」

研究者たちは、このシチューを調理する新しい方法として、Unextractable Protocol Models（UPMs） を提案しています。

全員に静的なレシピを与える代わりに、モデルを動くパズルに変えるのです。

仕組み： 巨大な AI モデルは、多くの小さなスライス（ケーキの層のようなもの）に切り分けられます。異なるボランティアが異なるスライスを持っています。誰一人として、一度にケーキ全体を見ることはありません。
仕掛け： 数分おきに、システムは「魔法」を実行します。これらのスライスの端に、ランダムで目に見えない変換を適用するのです。パズルのピースの端を回転させるようなものだと考えてください。
- 全く同じ瞬間： ピースは完璧に組み合わさります。AI は本来の通りに機能します。
- 異なる瞬間： ピースはもう組み合わさりません。「火曜日」のスライスを「水曜日」のスライスに貼り付けようとすれば、端はギザギザで不整合になります。モデルは破綻します。

泥棒をどう防ぐか

レシピを盗もうとする泥棒を想像してみてください。

試み： 泥棒は持ち寄り料理会に参加し、しばらく待ってからいくつかのスライスを掴みます。その後、彼らは去り、後で「新しい人物」として戻り、異なるスライスを掴みます。
失敗： システムが常に端の形状（変換）を変えているため、泥棒の火曜日のスライスは水曜日のスライスと一致しません。結果として、彼らが手に入れるのは、画像を形成しない不整合なパズルピースの山になります。
修復のコスト： 泥棒は、スーパーコンピュータを使ってスライスを「再学習」させることで、無理やりピースを合わせようとするかもしれません。しかし、この論文は、それが信じられないほど高価であることを示しています。彼らが最初にゼロからモデルを構築するのに費やしたお金と時間の約**60%**を費やすことになります。それは割に合わないため、泥棒は諦めます。

「魔法」の詳細

変換： システムは、数学的な「シャッフル」（具体的には、ランダムな回転とスケーリング）を使用します。これらは可逆的であり、互いに即座に打ち消し合うため AI が混乱することはありません。しかし、データは十分に撹拌されるため、秘密鍵（すぐに破棄される）なしでは元の形状を逆算することはできません。
速度： この魔法のトリックは非常に高速に実行されます。わずかな遅延（約 3%）と、わずかな追加メモリしか必要としません。これは、本のすべてのページに小さく目に見えない透かしを入れるようなものです。本は同じように読めますが、ページをコピーして後で再構成することはできません。
学習： モデルが学習している間でも、これらのシャッフルは発生します。研究者たちは、適切な種類のシャッフル（直交行列）を使用すれば、何もない場合と同じようにモデルが学習することを発見しました。

結論

この論文は、最終製品を誰一人として盗むことができない状態で、何千人もの人々が巨大な AI を共同で構築できる方法を紹介しています。モデルのピースを常に再構成し、それらが今この瞬間にしか組み合わさらないようにすることで、システムは AI の価値をコミュニティ内にロックされたままにします。あなたは AI を利用できますが、持ち帰って販売することはできません。

重要な要点： これは、AI モデルを常に変化する形状を持つ「生きている」オブジェクトに変えることで、静的なコピーを盗むことを不可能にし、かつ盗むコストを努力に見合わないほど高くすることで、その価値を守ります。

技術的概要：抽出不可能プロトコルモデル（UPMs）

1. 問題定義

本論文は、大規模基盤モデルの分散学習における経済的・セキュリティ上の課題に取り組んでいる。分散システムは、分散コンピューティングリソースをプールして巨大なモデルを学習することを可能にするが、重要な「 Appropriability（回収可能性）問題」に直面している。もし完全なモデル重みが参加者にアクセス可能であれば、貢献者はモデルがプロトコル外で抽出・利用される可能性があるため、学習コストを回収できない。

現在の分散アプローチ（例：データ並列化や標準的なパイプライン並列化）は、参加者が完全なモデルレプリカを保持するか、時間の経過とともに完全な重みの再構築を可能にする場合が多い。これにより重みの具体化（weight materialization）が発生し、攻撃者（または連合）が異なる時間ステップにわたるすべてのモデルシャードに最終的にアクセスして、機能的で抽出可能なモデルを再構築できるようになる。本論文は、分散学習を経済的に実行可能にするためには、モデルが抽出不可能でなければならないと主張している。つまり、単一の参加者が一度に完全な重みセットを所有することなく、また異なる時間に収集された重みを連結して一貫したモデルを形成することができないようにする必要がある。

2. 手法：抽出不可能プロトコルモデル（UPMs）

著者は、重い暗号プリミティブに依存することなくパイプライン並列化（PP）を活用して重みの抽出不可能性を強制するフレームワークである抽出不可能プロトコルモデル（UPMs）を提案する。

中核メカニズム：時間変化する可逆変換

中核的な革新は、パイプラインステージ間の境界にランダムで可逆な変換を周期的に注入することである。

セットアップ: モデルは $S$ 個の連続するパイプラインステージにシャードされる。参加者は一度に 1 つのステージのみを保持・処理する。
モーフィング: 特定の時間ステップにおいて、プロトコルは隣接するステージ $f_i$ $f_{i}$ と $f_{i+1}$ $f_{i + 1}$ の間に、ランダムな変換 $T$ $T$ とその逆変換 $T^{-1}$ $T^{- 1}$ に分解された恒等関数を導入する。
- 変換 $T$ はステージ $i$ の出力重みに折り込まれる（ $V_i \leftarrow V_i T$ ）。
- 逆変換 $T^{-1}$ はステージ $i+1$ の入力重みに折り込まれる（ $U_{i+1} \leftarrow T^{-1} U_{i+1}$ ）。
一時的性質: 変換は折り込まれた直後に破棄される。これらは重み内でのみ存在する。
非互換性: 任意の単一の時間ステップ $t$ においてエンドツーエンドのネットワーク関数は数学的に同一のままだが、異なる時間ステップ（ $t$ と $t'$ ）で収集された重みは非互換となる。 $f_i(t)$ と $f_{i+1}(t')$ を連結しても失敗する。なぜなら、中間活性化空間は $T(t)$ によって変換されているが、後続のステージは $T(t')$ によって変換された空間を期待しているからである。モデルを再構築するには、すべての中間変換の「ブリッジ行列」を推測する必要があるが、これは計算的に不可能である。

構造コンポーネントの処理

本論文は、機能を維持しながらこれらの変換をさまざまなニューラルネットワークコンポーネントに適用する方法を詳述している。

有効な部分関数: この手法は $g(X) = \Phi(XU)V$ の形式の部分関数に適用される。変換は $U$ と $V$ に適用される。
スキップ接続: トランスフォーマーにおいて、スキップ接続は自然に完全な非互換性を強制する。スキップ接続に適用される変換は、入力側と出力側の境界変換の両方に依存するため、攻撃者がステージを独立した重みの集合に分割することを防ぎます。
正規化レイヤー（RMSNorm）: 正規化は非線形であるため、標準的な折り込みは困難である。著者は、正規化レイヤーに累積行列 $Q$ を導入し、スケーリング重みを後続の線形レイヤーに吸収することを提案する。これにより、初期の $Q$ の直交性により RMSNorm の性質を維持しつつ、変換を $Q$ と線形重みに折り込むことができる。
変換クラス: 数値的安定性とブルートフォース攻撃への耐性を確保するため、著者は以下のものを利用する。
- ハール直交行列: 特異値が 1、数値誤差が最小、一様ランダム性。
- 低条件数行列: 制御された特異値を持つ $UDV^T$ 形式の行列で、高周波の摂動を導入しながら浮動小数点誤差を制限する。

学習と推論の調整

学習: このフレームワークは勾配の特別な処理を必要とする。重みが $W(T) = WT $として変換される場合、勾配は$ G(T) = GT^{-T}$ として変換される。著者は勾配の 1 次モーメントのみを利用するMuon オプティマイザーを使用しており、直交変換を使用する場合、更新ステップは変換されていないモデルと整合性を保つ。
推論: 繰り返し変換を折り込むことによる浮動小数点誤差の蓄積を軽減するため、システムは高精度（FP64）の重みをディスクに保存する。各モーフィングステップで、変換を高精度のコピーに適用し、低精度（例：FP16/BF16）に変換してから GPU VRAM に読み込む。

3. 主要な貢献

フレームワークの導入: どの参加者も完全な重みセットを抽出できないようにしながら、協調的なモデルサービングを可能にする学習および推論フレームワークである UPMs の提案。
理論的分析: どのアーキテクチャ（トランスフォーマー、MLP、RNN）が UPMs をサポートするか、変換の要件（ランダム性、可逆性、条件数）の分析、およびこれらの変換が時間を超えたアセンブリを不整合にするための数学的証明。
攻撃耐性:
- 直接抽出: 攻撃者が短い時間窓内ですべてのステージにアクセスする確率は、特に「完全な非互換性」（スキップ接続）がある場合、無視できるほど低いことを実証。
- 連結攻撃: 中間活性化を介したブリッジ行列の求解は、時間ステップ全体で同一の入力を必要とするため非現実的であり、分布チェックを通じて容易に防御可能であることを示した。
- 学習ベースの攻撃: 異なる時間ステップからの重みで「連結」されたモデルのファインチューニングは、ゼロからモデルを学習するために必要な計算リソースの $\ge 60\%$ を必要とすることを経験的に実証し、プロトコルの経済的実行可能性を維持した。
経験的検証: Qwen-2.5-0.5B および Llama-3.2-1B モデルによる広範な実験。

4. 結果

機能的同等性: Qwen-2.5-0.5B および Llama-3.2-1B において、直交変換を用いて 10,000 ステップのモーフィングを適用した結果、FP32 での性能低下は無視できるほど小さかった（ $\Delta PPL < 0.01$ ; ジェンセン・シャノン・ドリフト $< 4 \times 10^{-5}$ ）。高精度の回避策を用いることで、FP16 および BF16 においても安定性が維持された。
オーバーヘッド:
- 推論: 30 秒ごとに変換を適用すると、レイテンシが約3%、帯域幅が0.1%、GPU メモリが10% オーバーヘッドとなる。
- 学習: オーバーヘッドは最小限で、時間面で1.6%、メモリ面で1% 未満のオーバーヘッドであり、これはバックワードパスがコストを支配するためである。
攻撃の実現可能性:
- 連結: 連結された Llama 3.2-1B モデルのファインチューニングは、ゼロから学習して同じパープレキシティに達するために必要なトークンの約60% を必要とした。
- 排除可能性比率: 非互換な重みへのアクセスがすべて可能であっても、排除可能性比率（攻撃に必要な計算対ゼロから学習に必要な計算）は高く（ $\ge 0.6$ ）、ほとんどの連合にとって攻撃は経済的に実行不可能である。

5. 意義と主張

本論文は、UPMs が協調学習と重みの秘匿性の間の矛盾を解決すると主張している。モデルの価値を静的な重みではなくプロトコルに結びつけることで、UPMs はコミュニティ主導の分散学習にプログラム的なインセンティブメカニズムを実用的に埋め込むことを可能にする。

経済的実行可能性: このフレームワークはモデルの「排除可能性」を維持し、モデルが盗まれて自由に利用されるリスクなしに、貢献者に計算リソースに対して報酬を支払うことを可能にする。
オープンソースとの互換性: UPMs は、モデルアーキテクチャ、ハイパーパラメータ、データセットをオープンソースのままに保ちながら、重みを抽出不可能に保つことを可能にする。
信頼不要な分散化: このシステムは、完全に信頼不要で抽出不可能な学習へと移行し、UPMs をオープンで分散化された AI の技術的柱として位置づける。

著者は限界を認め、セキュリティは参加者の誠実な過半数に依存しており、現在の評価は単一マシンのシミュレーションに限定されており、現実世界のサイドチャネル攻撃（タイミング、キャッシュ）は含まれていないと指摘している。また、重みの検査ができないことが安全性評価を妨げる可能性があり、これを緩和するために多様なステークホルダーによる監視が必要であると述べている。