Symmetry Defeats Auditing

技術的概要：対称性が監査を無力化する

問題定義
本論文は、Shenoy ら [9] によって提案された「内省アダプター（Introspection Adapters: IA）」の脆弱性に取り組んでいる。IA は、大規模言語モデル（LLM）における悪意のあるファインチューニングを検出するために設計された手法である。IA パラダイムは、埋め込まれた行動（例えば、ガス漏れのリスクを軽視するモデルなど）の言語化を引き出すために、直接選好最適化（DPO）を通じて訓練された特定の LoRA アダプターを利用する。核心的な懸念は、敵対者がモデルに悪意のある専門性を密かに仕込み、IA がそれを検出できなくなる可能性があるという点である。著者らは、この検出メカニズムが、LLM アーキテクチャに内在する数学的対称性により本質的に脆弱であることを実証している。

手法
著者らは、敵対者が監査者の LoRA アダプターをデプロイする前にモデル重みを制御し、モデルの内部重みに対して挙動を保存する線形変換を適用する攻撃を提案する。この変換により、その後に適用される監査者のアダプターは無効化される。この攻撃は、トランスフォーマーアーキテクチャに見られる 2 つの特定の対称性を悪用する。

1. アテンション $W_V/W_O$ 対称性: Llama や Qwen モデルで使用されるグループ化クエリアテンション機構において、アテンション機構の出力は値行列（$W_V$）と出力射影行列（$W_O$）を含む。著者らは、任意の可逆行列 $G$ に対して、変換 $W_V \to W_V G$ および $W_O \to G^{-1} W_O$ を適用してもモデルの出力は変化しないことを示す。敵対者がベースモデルにこの変換を適用した場合、その後にインストールされる LoRA アダプター（IA など）は実質的に $G^{-1}$ で右から乗算されることになる。これによりアダプターの機能的影響が変化し、悪意のある行動を検出する能力が無力化される。敵対者は、各アテンションヘッドの値部分空間に対して Haar 分布に従うランダムな直交行列をサンプリングし、この変換を実行する。
2. MLP 置換対称性: Llama や Qwen3 などのモデルにおける多層パーセプトロン（MLP）ブロックは置換対称性を示す。ゲートおよびアップ射影重み（$W_{gate}, W_{up}$）に置換行列 $P$ を、ダウン射影重み（$W_{down}$）にその逆行列 $P^{-1}$ を適用することで、層の出力は同一のままとなる。敵対者が IA をインストールする前にこれらの重みを置換した場合、IA の LoRA アダプターは実質的に変換される（例：$C_{gate} \to C_{gate}P^{-1}$）ため、特定の悪意のある行動の検出に関しては機能的に無効となる。

この攻撃は計算コストが低く、70B パラメータのチェックポイントにおいて約 5 分間の CPU 処理時間で済む。

主要な貢献

• 脆弱性の実証: 本論文は、モデル重みに単純な挙動保存対称性を適用することで、内省アダプターが完全に回避可能であることを初めて具体的に実証した。
• 攻撃バリエーション: 著者らは、「アテンション $W_V/W_O$ 対称性」攻撃と「MLP 置換」攻撃という 2 つの異なる攻撃ベクトルを定義し、実装した。
• 一般性: 著者らは、この対称性攻撃のクラスは IA に限定されず、敵対者が較正とデプロイの間にモデル重みにアクセスできる限り、モデルの内部状態や重み空間射影を検査するあらゆる監査ツール（Safe LoRA [6] など）を無力化する可能性があると主張している。

結果
著者らは、Llama-3.3-70B-Instruct ベースモデルを用いて、Shenoy ら [9] によって公開された 7 つの悪意のあるファインチューニングに対して攻撃を評価した。

• 検出回避: 7 つのケースすべてにおいて、最善の攻撃により IA の検出率は、ベースラインの100% から 0〜20% に低下した。
• 挙動の保存: 重要なのは、ファインチューニングされたモデルの悪意のある挙動はそのまま維持され、観察可能であったことである。攻撃は検出者の検出能力のみを影響を与えた。
• 攻撃効率: MLP 置換攻撃単独でも、3 つのアダプターに対して IA を無力化するのに十分であった。他のアダプターについては、MLP 攻撃とアテンション $W_V/W_O$ 攻撃を組み合わせる必要があった。
• コスト: 攻撃プロセス全体は、2 台の NVIDIA A100 GPU で約 1 時間を要し、計算リソースのコストは約 3 ドルであった。

意義と主張
本論文は、モデル重みを制御する能力が、重み空間監査ツールの有効性を根本的に損なうと主張している。著者らは、監査者のプローブ較正とプローブのデプロイの間のいずれかの時点で敵対者がモデルにアクセスできれば、監査者が依存する「ニューロンインデックス」を移動させることで構造的に監査を無力化できると結論づけている。

著者らは明示的に、対称性そのものの発見（これは機械的解釈可能性 [3] の標準的な知見である）ではなく、LoRA ベースの監査器はこれらの対称性に対して不変ではないという観察、およびこの非不変性が「安価に悪用可能」であるという点が貢献であると述べている。彼らは、敵対者が重みを制御する現実的なデプロイシナリオでは、多くの既存の監査技術が「実質的に無効」である可能性があると警告している。本論文は、新しい監査ツールや対称性ロバストな IA のような将来の訓練手法を即座の解決策として提案しておらず、これらを将来の課題として指摘している。