Colluding LoRA: A Composite Attack on LLM Safety Alignment

Titel: Colluding LoRA (CoLoRA): Een Compositie-aanval op de Veiligheidsuitlijning van LLM's

1. Het Probleem: De Blinde Vlek in Modulaire Supply Chains

De implementatie van Large Language Models (LLM's) is verschoven van monolithische checkpoints naar modulaire ecosystemen, waarbij gebruikers speciale adapters (zoals LoRA) downloaden en combineren om aangepaste vaardigheden te creëren. Huidige beveiligingsstrategieën vertrouwen op unit-centric verificatie: elke adapter wordt geïsoleerd gecontroleerd op kwaadaardig gedrag voordat deze wordt goedgekeurd.

Het paper identificeert een kritieke kwetsbaarheid in deze aanpak: combinatorische blindheid.

• Het probleem: Een aanval kan worden verdeeld over meerdere adapters die er individueel onschuldig en functioneel uitzien.
• De trigger: In tegenstelling tot traditionele backdoors die een specifieke invoertrigger (zoals een rare token) nodig hebben, is de trigger bij deze aanval de compositie zelf. Zodra een specifieke set adapters wordt samengevoegd, degradeert de veiligheidsuitlijning van het model, zonder dat er een kwaadaardige prompt nodig is.
• De uitdaging: Voor een repository met $N$ adapters is het computarisch onmogelijk om alle $2^N$ mogelijke combinaties exhaustief te scannen op kwaadaardig gedrag.

2. Methodologie: Colluding LoRA (CoLoRA)

CoLoRA is een framework dat de arithmetische aard van modelmerging exploiteert om een compositie-geactiveerde brede weigering-suppressie (broad refusal suppression) te realiseren.

Kernconcepten:

• Plausibiliteit Camouflage: Elke individuele adapter wordt geoptimaliseerd om "plausibel" te zijn. Ze presteren goed op hun beoogde taak (bijv. wiskunde of stijltransformatie) en vertonen geen afwijkend gedrag in isolatie. Dit zorgt ervoor dat ze de standaard kwaliteitscontroles en menselijke inspecties doorstaan.
• Interleaved Optimization (Verweven Optimalisatie): De auteurs gebruiken een geavanceerde trainingsstrategie om de aanval te coderen in de interactie tussen de adapters, terwijl ze individueel veilig blijven.
  • Stap 1 & 2 (Individuele Ankerpunten): Elke adapter wordt apart getraind op nuttige taken (Utility Anchors) en veiligheidsweigeringen (Safety Refusal). Dit zorgt voor "plausibiliteit".
  • Stap 3 (Compositie-staat): Beide adapters worden samen geactiveerd. Hier wordt de aanvalsoptimalisatie uitgevoerd: het model wordt getraind om op schadelijke vragen te antwoorden (harmful compliance) zonder de taalcoherentie te verliezen.
  • Regularisatie: Er wordt gebruikgemaakt van algemene, onschadelijke data om te voorkomen dat het model in de gecombineerde staat zijn algemene taalvaardigheid verliest.

Wiskundige Formulering:
De aanval decomposeert het doel (veiligheid doorbreken) in disjuncte parameterupdates ($\Delta W_1, \Delta W_2$).

• In isolatie: $W_{individueel} = W_0 + \Delta W_n$ (Veilig).
• In compositie: $W_{compositie} = W_0 + \Delta W_1 + \Delta W_2$ (Onveilig, weigering onderdrukt).

3. Belangrijkste Bijdragen

1. Formalisatie van een nieuwe aanval: Het paper introduceert en formaliseert "compositie-geactiveerde brede weigering-suppressie" als een nieuw risico in adapter-ecosystemen. Het gevaar ontstaat door interactie, niet door prompts of een enkel artifact.
2. Praktische Implementatie: Een trainingsprocedure die veiligheidstoring verdeelt over adapters, terwijl individuele adapters onschuldig blijven dankzij plausibiliteit camouflag en regularisatie.
3. Empirische Validatie: De aanval is getest op meerdere open-weight instructie-LLM's (Llama-3, Qwen-2.5, Gemma-2) en toont aan dat unit-centric scanners ontoereikend zijn.

4. Resultaten en Experimenten

De auteurs testten CoLoRA op drie modellen (Llama3-8B, Qwen2.5-7B, Gemma2-2B) met twee adapters (bijv. één voor wiskunde, één voor stijltransformatie).

• Stealth (Verborgenheid):
  • False Refusal Rate (FRR): De adapters veroorzaakten geen valse weigeringen op onschadelijke prompts (FRR bleef laag, < 3%).
  • Individuele ASR: In isolatie hadden de adapters een aanvalssuccespercentage (ASR) van 0,0% op schadelijke datasets (AdvBench, HarmBench). Ze waren ononderscheidbaar van veilige modellen.
• Aanvalssucces (Compositie):
  • Zodra de adapters werden samengevoegd, steeg de ASR dramatisch.
  • Voorbeeld Qwen2.5-7B: ASR op AdvBench sprong van 0,0% (individueel) naar 100,0% (LlamaGuard3) en 91,1% (HarmBenchCLS) in de gecombineerde staat.
  • Het model weigerde schadelijke vragen niet meer en gaf direct schadelijke antwoorden op standaard prompts.
• Compositie-Specificiteit:
  • Het testen van de kwaadaardige adapters met een willekeurige, onschadelijke adapter (in plaats van de specifieke partner) activeerde de aanval niet. Dit bewijst dat het gedrag afhankelijk is van de precieze constructieve interferentie van de specifieke set.
• Detectieproblemen:
  • Bestaande tools zoals PEFTGuard en SafeLoRA faalden in het detecteren van de kwaadaardige adapters, omdat de gewichtsverdelingen statistisch leken op normale fine-tuning en geen duidelijke "trigger"-patronen vertoonden.
  • De loss-landscape analyse toonde aan dat de individuele adapters in veilige regio's zaten, maar de gecombineerde staat plotseling in een "jailbreak-bassin" terechtkwam.

5. Betekenis en Conclusie

CoLoRA blootlegt een fundamentele schaalbaarheidskloof in de beveiliging van modulaire AI-systemen.

• Schaalbaarheidsprobleem: Het controleren van alle mogelijke combinaties van adapters is computationeel onuitvoerbaar ($O(2^N)$).
• Paradigmaverschuiving: Defensieve maatregelen moeten verschuiven van puur "unit-centric verificatie" (elk onderdeel apart controleren) naar compositie-bewuste verdediging.
• Implicaties: Zelfs als elke losse component veilig lijkt, kan de samenstelling ervan het model kwetsbaar maken voor schadelijke instructies zonder enige extra invoermanipulatie.

Het paper concludeert dat de AI-community moet investeren in protocollen die risicovolle adapter-combinaties kunnen identificeren of beperken, zonder afhankelijk te zijn van exhaustieve enumeratie, om de integriteit van de modulaire LLM-supply chain te waarborgen.