Technische Samenvatting: Van Parameters naar Feature Ruimte: Task Arithmetic voor Backdoor Mitigatie in Model Merging

1. Probleemstelling

Model Merging (MM) is een kosteneffectieve strategie geworden om meerdere taakspecifieke gefinetunede modellen te integreren in één verenigd model, wat opslagredundantie en computationele overhead vermindert. Recent onderzoek onthult echter dat MM een aanzienlijk beveiligingslek introduceert: backdoor attacks (achterdeur-aanvallen). In deze setting kan een tegenstander een enkele taakspecifieke component (bijv. een taakvector) compromitteren en een backdoor injecteren in het uiteindelijke samengevoegde model zonder toegang te hebben tot het algehele mergeproces.

Bestaande verdedigingsmechanismen, met name die gebaseerd op Task Arithmetic (bijv. vector-aftrekking), opereren rechtstreeks in de parameterruimte. Deze benaderingen hebben moeite om een gunstige balans te vinden tussen het verwijderen van backdoors en het behouden van de prestaties op de schone taak (clean-task performance). De kern van de moeilijkheid ligt in het ontwarren van parameters die essentieel zijn voor de schone functionaliteit van parameters die kwaadaardige backdoor-gedragingen coderen, aangezien directe parameter-bewerking vaak de bruikbaarheid van het model verslechtert.

2. Methodologie: Linear Feature Path Minimization (LFPM)

Om de beperkingen van bewerkingen in de parameterruimte aan te pakken, stellen de auteurs Linear Feature Path Minimization (LFPM) voor. Dit framework verschuift het perspectief van backdoor-mitigatie van de parameterruimte naar de feature-ruimte, waarbij gebruik wordt gemaakt van het fenomeen van Cross-Task Linearity (CTL).

Theoretische Fundering: Cross-Task Linearity (CTL)

CTL stelt dat modellen die vanuit hetzelfde pre-trained checkpoint zijn geïnitialiseerd en op verschillende taken zijn gefinetuned, een bijna-lineair gedrag vertonen in hun feature-representaties. Specifiek benaderen de features van een gewichts-geïnterpoleerd model nauwkeurig de lineaire interpolatie van de features van de individuele modellen. De auteurs leiden een afwijkingsgrens (deviation bound) af voor CTL, die aantoont dat feature-afwijkingen langs een interpolatiepad worden beheerst door de parameterafstand en de kromming (Hessian) van het loss-landschap.

Kernframework

LFPM construeert een anti-backdoor taakvector om samen te voegen met het besmette model, waardoor een gezuiverd model ontstaat. In tegen tegenstelling tot eerdere methoden die parameters direct bewerken, optimaliseert LFPM deze anti-backdoor taak vanuit een verenigd feature-ruimte perspectief. De methode bestaat uit twee primaire stadia:

Stadium 1: Adversarial Feature Extractie via Subspace Partitioning

In plaats van input-ruimte adversariële perturbaties of reverse-engineered triggers te genereren, extraheert LFPM adversariële features door de feature-ruimte te partitioneren.

• Subspace Partitioning: De feature-ruimte wordt gedecomposed in twee orthogonale subspaces: een adversarial subspace ($S$) en een clean semantic subspace ($T$). Een leerbare projectiematrix $P_s$ wordt getraind om adversariële componenten te isoleren.
• Prompt-Based Mining: Adversariële perturbaties worden gecodeerd via leerbare visuele prompts ($P$) in plaats van het modificeren van inputpixels. Dit behoudt de semantische integriteit van de originele samples. Het optimalisatiedoel zorgt ervoor dat de prompt-geaugmenteerde input backdoor-gerelateerde features activeert in het besmette model, terwijl de schone semantische features in het gezuiverde model behouden blijven.

Stadium 2: Anti-Backdoor Taakvector Optimalisatie

Dit stadium formuleert het mitigatieprobleem als een Sharpness-Aware Minimization (SAM)-achtige optimalisatie binnen het CTL-framework.

• Feature-Ruimte Herformulering: Het doel is om de loss-sharpness (kromming) te minimaliseren langs het feature-interpolatiepad tussen het besmette samengevoegde model en het anti-backdoor model.
• Prompt-Ruimte Perturbatie: Door CTL geïnduceerde feature-afwijkingen worden gemapt naar worst-case perturbaties in de laag-dimensionale prompt-ruimte in plaats van de hoog-dimensionale parameterruimte.
• Gradient Accumulation & Loss Path-Integral: Om robuustheid te garanderen langs het gehele interpolatiepad (en niet alleen op één enkel punt), maakt de methode gebruik van een gradient accumulation mechanisme om de gradiënten van geïnterpoleerde modellen te benaderen. Het maakt ook gebruik van een loss path-integral procedure, waarbij de loss over het interpolatie-traject wordt gemiddeld om consistente backdoor-onderdrukking te garanderen.

3. Belangrijkste Bijdragen

1. Feature-Space Anti-Backdoor Framework: Het artikel stelt een nieuw verenigd feature-ruimte perspectief voor voor backdoor-mitigatie onder het CTL-framework, ondersteund door theoretische analyse (afwijkingsgrenzen) en empirische validatie. Deze benadering overwint de beperkingen van directe interventies in de parameterruimte.
2. Linear Feature Path Minimization (LFPM): Een tweestaps verdedigingsmechanisme dat backdoor-effecten effectief mitigeert terwijl de prestaties op de schone taak behouden blijven. Het elimineert de noodzaak voor input-ruimte trigger-synthese en vermijdt expliciete parameter-ruimte interpolatie tijdens de training, door in plaats daarvan een loss path-integral mechanisme te gebruiken.
3. Uitgebreide Empirische Validatie: De auteurs laten zien dat LFPM consistent sterke robuustheid bereikt tegen backdoor-aanvallen in zowel Full Fine-Tuning als Parameter-Efficient Fine-Tuning (PEFT/LoRA) settings.

4. Experimentele Resultaten

De auteurs evalueerden LFPM op 11 datasets met een CLIP-ViT-B/32 backbone, waarbij het werd vergeleken met baselines zoals IBVS (Task Arithmetic), SAU (Adversarial Unlearning), SAM en PAM.

• Verdedigingsprestaties: Onder de BadMerging (full fine-tuning) aanval behaalde LFPM de laagste Attack Success Rate (ASR) over alle taken (bijv. een gemiddelde ASR(T) van 0,49% versus 64,18% voor IBVS) terwijl het de hoogste Clean Accuracy (CA) behield. Onder LoBAM (PEFT/LoRA) aanvallen presteerde LFPM vergelijkbaar goed ten opzichte van baselines, waarbij het een lagere ASR en hogere CA behaalde dan SAM en PAM.
• Robuustheid langs het Interpolatiepad: In tegen tegenstelling tot methoden die alleen de robuustheid evalueren bij een specifieke merging-coëfficiënt, demonstreerde LFPM consistente robuustheid langs het gehele parameter-interpolatiepad, bewezen door de laagste Path-ASR (cumulatieve backdoor kwetsbaarheid).
• Adaptieve Aanvallen: Zelfs tegen adaptieve tegenstanders die proberen clean en backdoor features te koppelen of interpolatie-consistentie af te dwingen, behield LFPM een lage ASR (die slechts steeg van 0,49% naar 2,38%), wat aanzienlijk beter is dan andere verdedigingen.
• Schaalbaarheid en Generaliteit: LFPM toonde consistente prestaties over verschillende model merging algoritmen (Simple Average, Ties-Merging, Della-Merging) en grotere architecturen (ViT-L/14).

5. Betekenis en Claims

Het artikel claimt dat LFPM een principieel oplossing biedt voor de backdoor-kwetsbaarheid in model merging door gebruik te maken van de Cross-Task Linearity van features. Door de optimalisatie van de parameterruimte naar de feature-ruimte te verplaatsen, slaagt de methode erin om backdoor-gedragingen te ontwarren van schone taakfunctionaliteiten zonder de ernstige prestatieverslechtering die bij bestaande verdedigingen wordt gezien.

De auteurs benadrukken dat hun aanpak een algemeen framework biedt voor het mitigeren van backdoor-aanvallen terwijl de prestaties op de schone taak behouden blijven over verschillende fine-tuning settings (full en PEFT). Ze merken op dat hoewel de methode enige computationele overhead introduceert vergeleken met lichte SAM-gebaseerde methoden, het een noodzakelijke afweging is voor robuustheid in model merging scenario's. Het werk beoogt de betrouwbaarheid van model merging te verbeteren, wat steeds vaker wordt toegepast als een kosteneffectieve oplossing voor multi-task deployment.

Beperkingen en Toekomstig Werk:
De auteurs erkennen dat, net als de meeste defensieve methoden, LFPM in de toekomst geconfronteerd kan worden met adaptieve aanvallen. Ze stellen dat verder onderzoek nodig is om de effectiviteit op grotere schaal en in meer diverse real-world scenario's te evalueren. Toekomstig werk zal zich richten op het uitbreiden en valideren van LFPM over diverse taken en scenario's om de generaliseerbaarheid te vergroten.