Technische Samenvatting: Hide and Seek in de Embedding Space

1. Probleemstelling

Large Language Models (LLMs) die worden ingezet in gevoelige omgevingen, worden steeds vaker geacht veilig te zijn tegen data-exfiltratie als de netwerkuitgang is beperkt (bijv. een air-gapped systeem). Recente studies (Meier et al., 2025) hebben echter aangetoond dat gefinetuned LLM's geheimen uit prompts covert in hun vloeiende tekstoutputs kunnen coderen, wat een steganografisch kanaal creëert.

De kern van de kwetsbaarheid ligt in de voorwaardelijke waarschijnlijkheidsverdeling van LLM's: voor een gegeven prompt zijn er veel semantisch plausibele voortzettingen. Deze vrijheid stelt een kwaadwillend gefinetuned model in staat om de token-generatie te beperken om hulpinformatie (een geheim) te coderen, terwijl de vloeiendheid behouden blijft.

Het artikel identificeert een kritiek gebrek in eerdere aanvallen zoals TrojanStego: deze vertrouwen op triviaal herstelbare coderingstechnieken. Specifiek gebruikt TrojanStego ASCII-codering voor geheimen en token ID-pariteit (oneven/even) voor het indelen in groepen (bucketing). Deze willekeurige regels zijn eenvoudig terug te ontwerpen door een verdediger zonder de geheime sleutel, wat resulteert in een herstelbaarheid van het payload van 100%. Het artikel betoogt dat voor steganografie een levensvatige dreiging, het bestand moet zijn tegen reverse-engineering (lage herstelbaarheid) en alleen detecteerbaar mag zijn via interne modelhandtekeningen, niet via verschuivingen in de outputverdeling.

2. Methodologie

A. Formalisering van Payload Herstelbaarheid

De auteurs formaliseren Payload Herstelbaarheid ($R$) als een metriek voor hoe moeilijk het is voor een sleutelloze verdediger om het geheim te extraheren. Ze breken dit af in twee assen:

1. $R_{bucket}$ (Tokens $\to$ Buckets): De moeilijkheid om de gecodeerde bit (bucket-toewijzing) af te leiden uit de geobserveerde outputtoken.
2. $R_{secret}$ (Buckets $\to$ Secrets): De moeilijkheid om het oorspronkelijke geheim af te leiden uit de reeks herstelde bits.

Een schema wordt beschouwd als "onherstelbaar" als $R_{bucket} \approx 50\%$ (willekeurig gokken) en $R_{secret}$ verwaarloosbaar is.

B. Laag-Herstelbare Aanval (Geometrische Steganografie)

De voorgestelde aanval vervangt willekeurige coderingen door schema's die afgeleid zijn van de geleerde embedding-geometrie van het model. Het werkt in twee fasen:

1. Geheim Codering (Hypervlak Projectie):
   In plaats van ASCII worden letters gecodeerd in bitstrings door de token-embeddings van het model te projecteren op willekeurige hypervlakken gedefinieerd door een geheime seed ($\sigma$).

   • Voor een letter-embedding $e$ wordt een eenheidsnormaalvector $v_\sigma$ gegenereerd vanuit een willekeurige seed.
   • De projectiescore $s = e^\top v_\sigma$ wordt berekend.
   • Door gebruik te maken van meerdere hypervlakken (bijv. 8 voor 26 letters), krijgt elke letter een uniek bitpatroon (bijv. 8 bits).
   • Dit maakt gebruik van de semantische structuur van het model, waardoor de codering "leerbaar" is voor het model maar afhankelijk is van verborgen seeds.

2. Vocabulaire Bucketing (Embedding-ruimte Partitionering):
   In plaats van token ID-pariteit wordt de vocabulaire verdeeld in twee buckets ($V_0, V_1$) op basis van dezelfde hypervlakprojectie.

   • Een drempelwaarde $\tau$ (bijv. de mediaan projectiescore) splitst de vocabulaire.
   • Tokens met $e^\top v_\sigma > \tau$ worden toegewezen aan bucket 1; anderen aan bucket 0.
   • Tijdens de generatie wordt het model beperkt tot het selecteren van tokens uit de bucket die overeenkomt met de doelbit van het geheim.
   • Beveiligingsvoordeel: Zonder de seed $\sigma$ kan een verdediger de oriëntatie van het hypervlak of de drempelwaarde niet bepalen, wat het afleiden van de bucket ($R_{bucket}$) computationeel moeilijk maakt.

C. Detectie via Mechanistische Interpretatie

Het artikel betoogt dat traditionele steganalyse (het meten van perplexiteit of KL-divergentie) onvoldoende is omdat fine-tuning de distributies inherent verschuift. In plaats daarvan stellen ze een mechanistische interpretatie aanpak voor:

• Lineaire Probes: Train lineaire classificators (logistische regressie voor bits, ridge regressie voor embeddings) op de verborgen toestanden (hidden states) van het model.
• Hypothese: Zelfs als de output onherstelbaar is, zullen de interne representaties van een steganografisch gefinetuned model een sterkere, meer lineair scheidbare signatuur van het geheim bevatten vergeleken met een basismodel.

3. Belangrijkste Bijdragen

Aanval Bijdragen

• Herstelbaarheidsmetriek: Definieerde $R_{bucket}$ en $R_{secret}$ om de moeilijkheid van het reverse-engineeren van steganografische kanalen zonder sleutels te kwantificeren.
• Geometrische Steganografie: Introduceerde een kanaal tijdens de training met behulp van willekeurige hypervlakprojecties in de embedding-ruimte. Dit vervangt willekeurige regels door seed-afhankelijke geometrische partitioneringen.
• Verbeterde Generalisatie & Verminderde Herstelbaarheid: Toonde aan dat geometrische schema's een hoge encoding-nauwkeurigheid behouden terwijl ze de herstelbaarheid aanzienlijk verlagen vergeleken met baselines.

Detectie Bijdragen

• Grenzen van Analyse op Outputniveau: Bewees theoretisch en empirisch dat grote payloads verborgen kunnen blijven terwijl de perplexiteit en KL-divergentie binnen normale fine-tuning bereiken blijven, waardoor standaard steganalyse ineffectief wordt.
• Mechanistisch Detectiesignaal: Toonde aan dat lineaire probes op de latere lagen van de activaties geheimen kunnen detecteren met een aanzienlijk hogere nauwkeurigheid in gefinetuned modellen dan in basismodellen, zelfs wanneer de output payload onherstelbaar is.

4. Experimentele Resultaten

Modellen en Instellingen

Experimenten werden uitgevoerd op Llama-3.1-8B, Ministral-8B, en Llama-3.3-70B met zowel volledige fine-tuning als LoRA. De trainingsdata omvatte WikiText-103 en TrojanStego-stijl prompts.

Aanval Prestaties

• Exact Match Rate: De geometrische schema's (specifiek ASCII+Embedding en Embedding+Embedding) behaalden hogere exacte geheim-herstelpercentages dan de ASCII+Parity baseline.
  • Llama-8B (LoRA): Herstel verbeterde van 17% naar 30% (+78%).
  • Ministral-8B (LoRA): Herstel verbeterde van 24% naar 43% (+80%).
  • Llama-70B (LoRA): Herstel verbeterde van 9% naar 19% (+123%).
• Reductie van Herstelbaarheid:
  • De voorgestelde geometrische bucketing verminderde $R_{bucket}$ en $R_{secret}$ aanzienlijk.
  • In de "onherstelbare" setting (gebruikmakend van XOR-maskering om de output decoding te voorkomen), slaagde de aanval er nog steeds in het geheim intern te coderen, wat bewijst dat het kanaal bestaat zelfs als de output oncijferbaar is.

Tekstkwaliteit en Capaciteiten

• Vloeiendheid: Perplexity en KL-divergentie namen toe, maar bleven binnen de bereiken die typisch zijn voor zware fine-tuning.
• Degradatie van Capaciteiten: Pure steganografische fine-tuning veroorzaakte significante dalingen in downstream benchmarks (MMLU, ARC, etc.), met name bij volledige fine-tuning.
• Mixed-Motive Training: Het combineren van steganografische doelstellingen met standaard instructie-tuning data (75/25 mix) herstelde de modelcapaciteiten aanzienlijk (bijv. het verminderen van degradatie van ~30pp naar ~3-5pp voor LoRA) terwijl het covert kanaal behouden bleef.

Detectie Prestaties

• Lineaire Probes:
  • Bit Classificatie: Probes getraind op de laatste lagen van gefinetuned modellen behaalden 95–100% nauwkeurigheid in het voorspellen van gecodeerde bits, vergeleken met ~60% voor basismodellen.
  • Embedding Herstel: Probes konden de geheim-embedding herstellen met een hoge cosinus-gelijkenis in gefinetunde modellen, zelfs zonder kennis van het encoding-schema.
  • Robuustheid: Dit detectiesignaal bleef standhouden in mixed-motive training en zelfs in de "XOR-masking" controle-setting waar de output wiskundig onmogelijk te decoderen was.

5. Betekenis en Claims

Het artikel claimt dat:

1. Evolutie van Dreigingen: Steganografische aanvallen in LLM's kunnen aanzienlijk moeilijker te reverse-engineeren worden door over te stappen van willekeurige regels naar embedding-ruimte geometrie, wat de payload herstelbaarheid effectief verlaagt naar bijna willekeurige niveaus voor sleutelloze analisten.
2. Beperkingen van Defensie: Traditionele steganalyse gebaseerd op distributieve verschuivingen (perplexity/KL) is onvoldoende om fine-tuning-gebaseerde steganografie te detecteren, aangezien de verschuivingen ononderscheidbaar zijn van normaal fine-tuning gedrag.
3. Nieuw Defensie Paradigma: Detectie moet vertrouwen op mechanistische interpretatie. De interne handtekeningen van steganografische fine-tuning zijn onderscheidend en detecteerbaar via lineaire probes op de hidden states, zelfs wanneer de externe output beveiligd is.
4. Praktische Bruikbaarheid: Hoewel pure steganografische fine-tuning de bruikbaarheid van het model vermindert, maakt mixed-motive training het mogelijk om de covert kanalen te behouden met minimale impact op downstream capaciteiten, wat de dreiging realistischer maakt.

De auteurs concluderen dat hoewel aanvallen kunnen worden verhard tegen output-analyse, ze wel degelijk actiebare interne sporen achterlaten, wat suggereert dat toekomstige defensies zich moeten richten op het inspecteren van model-internals in plaats van alleen het monitoren van output-distributies.