Technische Samenvatting: Asymmetrische Realiseerbaarheid bij het Transplanteren van Tokenizers

Probleemstelling

Het artikel adresseert een structurele kwetsbaarheid in de supply chain van open-weight grote taalmodellen (LLM's), specifiek binnen trainingsvrije tokenizer-transplantatie-pipelines. Naarmate ontwikkelaars nieuwe modellen steeds vaker samenstellen door bestaande checkpoints te samenvoegen (bijvoorbeeld via mergekit), moeten ze vocabulairekloven overbruggen tussen een "donor"-model (bron van nieuwe tokens) en een "basis"-model (ontvanger).

Huidige state-of-the-art transplantatie-operatoren (zoals OMP, CLP, WECHSEL en FOCUS) vertrouwen op reconstructie op basis van een gedeelde basis. Deze methoden reconstrueren de embedding van een uitsluitend aan de donor toebehorend token in de ruimte van het basismodel door:

1. Het aanpassen van een schaarse set coëfficiënten ($\beta$) om het donor-token weer te geven als een gewogen som van gedeelde "anker"-tokens in de embeddingruimte van de donor.
2. Het opnieuw gebruiken van die exacte coëfficiënten om de nieuwe embedding te synthetiseren in de ruimte van het basismodel ($\hat{x}_b = \Phi_b^\top \beta$).

De auteurs identificeren een kritiek geometrisch gebrek: Asymmetrische Realiseerbaarheid. Dezelfde vector van coëfficiënten $\beta$ kan in de ankerspan van de donor naar een gebied met lage energie en statistische inertie leiden, terwijl het tegelijkertijd in de ankerspan van het basismodel naar een gebied met hoge salientie en hoge waarschijnlijkheid leidt. Deze kloof stelt een aanvaller in staat manipulaties aan te brengen in de vocabulaire-artefacten van de donor om specifieke, hoogfrequente gedragingen in het basismodel te induceren, zonder de interne gewichten van de donor of de transplantatiecode te wijzigen.

Methodologie

De auteurs stellen een trainingsvrije "breaker-token"-aanval voor die deze geometrische asymmetrie exploiteert. De aanval vereist geen toegang tot gradiënten van het basismodel en geen wijziging van de transformer-gewichten van de donor.

1. Opbouw van de Aanval

De aanvaller voegt een enkel nieuw token $\tau^*$ toe aan de tokenizer van de donor en ontwerpt zijn embeddingvector $x_d(\tau^*)$ zodat deze voldoet aan twee conflicterende doelen:

• Donor-inertie: Het token moet statistisch onzichtbaar blijven in het donor-model (lage emissie-waarschijnlijkheid). Dit wordt bereikt door de embedding van het token te beperken tot de "lage-energie"-richtingen van de verdeling van de verborgen toestanden van de donor (specifiek, orthogonaal op de hoofdcomponenten van donor-variatie, aangeduid als deelruimte $U$).
• Basis-salientie: Na transplantatie moet het token reconstrueren tot een richting met hoge salientie in het basismodel. De aanvaller richt zich op het empirische gemiddelde van de verborgen toestanden van de laatste laag van het basismodel ($\mu_{base}$), afgeleid van publieke tekst.

2. Optimalisatiekader

De aanvaller lost een dual-objectief optimalisatieprobleem op om de optimale coëfficiënten $\alpha$ (of direct de embedding $x_d$) te vinden:
$$\mathcal{L}(\theta) = \underbrace{\| \hat{x}_b(\theta) - \mu_{base} \|_2^2}_{\text{Basis-salientie}} + \lambda \underbrace{\| U x_d(\theta) \|_2^2}_{\text{Donor-inertie}} + \rho R(\theta)$$

• Voor OMP (Orthogonal Matching Pursuit): De aanvaller gebruikt een greedige selectiestrategie voor ondersteuning om een subset van gedeelde ankers $S$ te kiezen en lost op voor coëfficiënten $\alpha$ die de projectie van de donor op $U$ minimaliseren terwijl ze de uitlijning met $\mu_{base}$ maximaliseren.
• Voor Differentieerbare Operatoren (CLP, WECHSEL, FOCUS): De aanvaller optimaliseert de donor-embedding direct met behulp van gradiëntafname, waarbij de voorwaartse kaart van de specifieke operateur tijdens de optimalisatie wordt gesimuleerd.

3. Realisatiemodi

Het artikel demonstreert dat de oppervlaktevorm van de breaker-token door de aanvaller wordt beheerst. Afhankelijk van de gekozen string kan de aanval zich manifesteren als:

• Dienstdegradatie: Het token domineert de generatie, waardoor het model repetitieve, nonsensische tekst produceert.
• Reputatievergiftiging: Het token (bijvoorbeeld een scheldwoord) wordt spaarzaam ingevoegd in anderszins coherente redeneerketens.
• Adversariële Watermerking: Een verborgen tag wordt aan de output toegevoegd, waardoor de aanvaller ongeautoriseerd gebruik van het gecompromitteerde vocabulaire kan traceren.

Belangrijkste Bijdragen

1. Identificatie van Asymmetrische Realiseerbaarheid: Het artikel karakteriseert formeel de geometrische eigenschap waarbij reconstructie op basis van een gedeelde basis toelaat dat een enkele vector van coëfficiënten "stil" is in de donorruimte maar "luid" in de basisruimte. Dit wordt bewezen via Generalized Singular Value Decomposition (GSVD)-analyse van de gepaarde ankerwoordenboeken.
2. Constructie van Breaker-tokens: De auteurs bieden een concrete, trainingsvrije methode om deze tokens te construeren. Zij tonen aan dat een enkel donor-checkpoint (bijvoorbeeld Gemma-2-2B) kan worden gewapend om 13 verschillende downstream-bases aan te vallen over vijf model-families (Llama, Mistral, Qwen, Gemma, SmolLM2), simpelweg door voor elk doel een verschillende breaker-rij toe te voegen.
3. Evaluatie van Verdedigingen:
   • Spectrale Filters: Standaard heuristische detectoren (zoals Magikarp, die controleert op norminstorting of afvaluitlijning) falen bij het detecteren van breaker-tokens omdat de tokens zijn ontworpen om de statistische verdeling van natuurlijke donor-tokens na te bootsen (spectrale mimikrij).
   • LoRA Fine-tuning: Post-transplantatie LoRA fine-tuning onderdrukt de aanval alleen bij prompts die overeenkomen met het fine-tuning-corpus. Bij prompts buiten de verdeling (OOD) blijft de aanval bestaan met hoge Sequence Emission Rates (SER).
   • Gewichts-samenvoeging: Het samenvoegen van de aangevallen basis met een schoon referentiemodel verwijdert de geplante richting niet; het samengevoegde model erft de gecompromitteerde embedding-rij.

Experimentele Resultaten

De auteurs evalueerden hun methode over 65 donor-basisparen (inclusief een "lichtgewicht clique" van 20 paren en een "standaard-schaal" pool van 65 paren) met behulp van OMP, met cross-operator validatie op CLP, WECHSEL en FOCUS.

• Asymmetrie: In de lichtgewicht clique bereikten 13 van de 20 paren een maximale Sequence Emission Rate (SER) van $\ge 0.2$ in de aangevallen basis, terwijl ze een donor-SER van $\le 0.05$ handhaafden. Verschillende paren bereikten perfecte emissie (SER = 1.0) in de basis terwijl ze volledig stil bleven (SER = 0.0) in de donor.
• Behoud van Functionaliteit: De gepatchte donor-modellen behielden hun oorspronkelijke functionaliteitscores (bijvoorbeeld MMLU, Wikitext perplexiteit) op standaard benchmarks, wat de sluierachtigheid van de aanval bevestigt.
• Reikwijdte over Modellen: Een enkel Gemma-2-2B donor-checkpoint slaagde erin om 13 verschillende bases aan te vallen. De gemiddelde basis-SER overschreed 0,99 op 8 van deze bases, terwijl de donor-SER onder 0,014 bleef.
• Falen van Verdediging: Standaard LoRA fine-tuning slaagde er niet in om de aanval te mitigeren op vastgehouden OOD-verdelingen (bijvoorbeeld WikiText-continuatie), waar de SER zelfs na fine-tuning boven 0,87 bleef.

Betekenis en Claims

Het artikel beweert dat coëfficiënt-hergebruik-geometrie een fundamenteel ontwerpcriterium is voor tokenizer-transplantatie-operatoren dat over het hoofd is gezien. De auteurs betogen dat:

• Supply Chain-risico: De supply chain voor open-weight compositie kwetsbaar is voor "één-op-veel"-aanvallen waarbij een enkele kwaadaardige donor een breed scala aan downstream-modellen kan compromitteren zonder aanpassing per slachtoffer te vereisen.
• Beperkingen van Huidige Verdedigingen: Huidige audit-heuristieken (spectrale filters) en post-hoc mitigatiestrategieën (LoRA, gewichts-samenvoeging) zijn ontoereikend tegen deze specifieke klasse van geometrische aanvallen.
• Oproep tot Actie: De auteurs stellen voor dat toekomstige transplantatie-operatoren validatie aan de kant van de ontvanger moeten opnemen voor gesynthetiseerde rijen (bijvoorbeeld het controleren op asymmetrische realiseerbaarheid of het gebruik van gedragsaudits) in plaats van uitsluitend te vertrouwen op de aanname dat coëfficiënt-hergebruik onschadelijk is. Zij bieden een concrete diagnose (GSVD-asymmetrie-energie) voor het evalueren van de robuustheid van nieuwe operatoren.

Het werk claimt niet de kernredeneercapaciteiten van de modellen in het algemeen te breken, maar benadrukt wel een specifieke, structurele faalmodus in de interoperabiliteitslaag van het LLM-ecosysteem die gerichte, persistente en sluwe manipulatie van modeloutput mogelijk maakt.