🤖 machine learning

On the Vulnerability of Parameter-Level Defenses to Model Merging

Dit artikel legt een kritieke kwetsbaarheid bloot in defensieve maatregelen op parameterniveau tegen modelmerging, waarbij beschermde taakvectoren te klein zijn om het voorgetrainde model te maskeren, wat een nieuwe Anchor-Guided Attack (AGA) mogelijk maakt die bestaande waarborgen omzeilt, terwijl het Anchor-Repulsive Fine-tuning (ARF) voorstelt als een effectieve motmaatregel.

Oorspronkelijke auteurs: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Gepubliceerd 2026-06-30

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Plaatje: Het "Model Merging"-probleem

Stel je voor dat je een meesterkok (het Pretrained Model) hebt die alles kan koken. Je huurt deze chef in om zich te specialiseren in slechts één ding, zoals het maken van de perfecte pizza. Je geeft ze een paar extra ingrediënten en instructies, en ze worden een Specialistische Chef (het Fine-tuned Model).

Stel je nu een "Model Merging"-tool voor waarmee je de kennis van een Pizzaspecialist, een Sushi-specialist en een Burger-specialist kunt mengen tot één "Superchef" die al deze drie keukens perfect kan bereiden. Dit is geweldig voor de efficiëntie, maar het creëert een beveiligingsrisico: Free-riders (meelifters).

Een meelifter kan jouw beschermde Pizzaspecialist downloaden, deze mengen met hun eigen Sushi-model, en direct een Superchef krijgen die weet hoe je die beroemde pizza maakt—zonder jou ooit te betalen of het werk zelf te doen.

De Verdediging: Het Recept Verbergen (Parameter-niveau Verdedigingen)

Om meelifters tegen te houden, hebben onderzoekers "Proactieve Verdedigingen" bedacht. Denk hierbij aan de Pizzaspecialist die een magische vermomming draagt.

De Verdediging: Voordat de eigenaar het model vrijgeeft, wordt het recept door elkaar gehusseld. Ze kunnen bijvoorbeeld de volgorde van de ingrediënten veranderen (permutatie) of de maatbekers aanpassen (lineaire transformatie).
Het Doel: Als een meelifter probeert dit gehusselde recept te mengen met een Sushi-recept, gaat de wiskunde kapot. De resulterende "Superchef" produceert prut (verbrande pizza en rauwe vis). De verdediging werkt omdat de meelifter het recept niet kan ontcijferen zonder de geheime sleutel.

De Aanval: De "Anchor-Guided Attack" (AGA)

De auteurs van dit paper ontdekten een fatale fout in deze vermommingen. Ze noemen hun aanval AGA (Anchor-Guided Attack).

De Analogie: Het Gigantische Anker versus de Kleine Veer
Stel je voor dat het "Pretrained Model" (de basiskennis van de meesterkok) een gigantisch, zwaar anker is. De "Task Vector" (de specifieke pizza-instructies die zijn toegevoegd tijdens de fine-tuning) is een kleine veer die aan dat anker is vastgebonden.

De verdediging probeert de veer te verbergen door het touw te door de war te halen. De auteurs realiseerden zich echter iets cruciaals: het anker is zo massief dat het de veer volledig overstemt.

De Observatie: In de wiskunde van deze modellen is de "anker" (de basiskennis) duizenden malen groter dan de "veer" (de nieuwe instructies).
De Aanval: De aanvaller hoeft niet de geheime sleutel te weten om het touw te ontcijferen. Ze kijken gewoon naar het gigantische anker. Omdat het anker zo groot is, kan de aanvaller wiskundig precies berekenen hoe het touw geknoopt is, simpelweg door naar de positie van het anker te kijken.
Het Resultaat: De aanvaller gebruikt de publieke "anker" (de originele meesterkok) als gids om de vermomming terug te ontwerpen. Ze verwijderen de gehusselde structuur, herstellen de oorspronkelijke "veer" (het pizza-recept) en voegen deze perfect samen.

Kortom: De verdedigingen probeerden een kleine verandering in een massief systeem te verbergen, maar het systeem was zo groot dat de kleine verandering onzichtbaar was, en de aanvaller kon gemakkelijk het "centrum" van het systeem vinden om de wijzigingen ongedaan te maken.

De Resultaten: De Verdediging Faalt

Het paper testte deze aanval tegen de beste huidige verdedigingen (zoals Params, MergeLock en MergeBarrier).

Vóór de aanval: Het gemengde model van de meelifter was verschrikkelijk (bijv. 5% nauwkeurigheid).
Na de AGA-aanval: Het gemengde model van de meelifter was bijna weer perfect (bijv. 97% nauwkeurigheid), waardoor de beveiliging effectief werd omzeild.

Het is also': proberen een geheim briefje te verbergen in een bibliotheek door de boeken door elkaar te husselen. De aanvaller kijkt gewoon naar de hoofdstructuur van de bibliotheek, ziet dat het briefje minuscuul is vergeleken met de boeken, en ontdekt precies waar het briefje verborgen was, om vervolgens de informatie te herstellen.

De Tegenverdediging: "Anchor-Repulsive Fine-tuning" (ARF)

Omdat de aanval werkt omdat de "veer" te klein is vergeleken met de "anker", stelden de auteurs een nieuwe verdediging voor genaamd ARF.

De Analogie: De Veer Zwaarder Maken
In plaats van alleen het touw te door elkaar te husselen, verandert ARF het trainingsproces. Het dwingt de "veer" (de nieuwe instructies) om zwaar en onderscheidend te worden.

Hoe het werkt: Tijdens de training van het specialistische model voegt de verdediging een "afstotende kracht" toe die de nieuwe instructies ver weg duwt van de oorspronkelijke anker. Het maakt de "veer" zo groot en zwaar dat deze niet langer genegeerd of gemakkelijk berekend kan worden door naar de anker te kijken.
Het Resultaat: Wanneer de aanvaller de "Anchor-Guided Attack" probeert uit te voeren, faalt de wiskunde. De "veer" is niet langer een klein, onzichtbaar stipje; het is een massief object dat de berekening van de aanvaller verstoort.
De Uitkomst: De meelifter kan de modellen niet langer succesvol mengen. De beveiliging houdt stand en het model werkt nog steeds perfect op zichzelf (de specialistische chef kan nog steeds geweldige pizza maken).

Samenvatting

Het Probleem: Mensen willen AI-modellen mengen, maar eigenaren willen hun specifieke training beschermen.
De Oude Oplossing: De gewichten van het model door elkaar husselen (het recept vermommen).
De Fout: De vermomming is zwak omdat het basismodel zo groot is dat de specifieke instructies minuscuul zijn en gemakkelijk terug te ontwerpen zijn.
De Aanval (AGA): Gebruikt het enorme basismodel om de vermomming wiskundig ongedaan te maken en de instructies te stelen.
De Nieuwe Oplossing (ARF): Train het model zodat de instructies "luid" en zwaar zijn, waardoor ze onmogelijk te negeren of terug te ontwerpen zijn met behulp van de anker.

Het paper concludeert dat het simpelweg door elkaar husselen van de gewichten (lineaire transformaties) een illusie van veiligheid is. Om modellen echt te beschermen, moet je de manier waarop ze getraind worden veranderen om de specifieke kennis robuust te maken tegen dit soort wiskundige aanvallen.

Technische Samenvatting: Over de kwetsbaarheid van parameter-niveau verdedigingen tegen modelmerging

Probleemstelling
Het artikel behandelt de beveiligingsrisico's die inherent zijn aan het "model merging"-paradigma, waarbij meerdere gefinetunede expertmodellen afgeleid van een gemeenschappelijke pre-trained backbone worden samengevoegd om multi-task modellen te creëren zonder hertraining. Hoewel dit efficiënt is, maakt deze openheid het mogelijk voor ongeautoriseerde "free-riders" om propriëtaire modellen te mergen, wat de intellectuele eigendom (IP) schendt. Recente proactieve verdedigingen (bijv. Params, MergeLock, MergeBarrier) proberen dit te mitigeren door geheime lineaire parametertransformaties (permutatie-, diagonaal- of orthogonale matrices) toe te passen om de aritmetiek die nodig is voor merging te verstoren. Deze verdedigingen degraderen echter vaak de standalone prestaties van het model of falen om geavanceerde pogingen tot merging te voorkomen. De auteurs identificeren een kritieke kloof: bestaande verdedigingen vertrouwen op lineaire transformaties die de relatieve grootte-structuur van de parameters behouden, wat potentieel kwetsbaar laat voor analytische inversie.

Methodologie
Het artikel stelt een systematische analyse van deze verdedigingen voor, wat leidt tot de ontwikkeling van een aanvalsframework en een bijbehorende tegenmaatregel.

Anchor-Guided Attack (AGA):
De kerninzicht achter AGA is de observatie dat in beschermde gefinetunede modellen de magnitude van de beschermde taakvector ( $\tau^P$ ) orders van grootte kleiner is (typisch $10^{-2}$ tot $10^{-3}$ ) dan de magnitude van de beschermde pre-trained gewichten ( $W^P_{pre}$ ). Bijgevolg wordt de parameterruimte van het beschermde model overweldigend gedomineerd door de pre-trained anchor.
- Mechanisme: AGA behandelt het publieke pre-trained model als een statische referentie-anchor. Het formuleert een alignment-doelstelling om de discrepantie tussen het beschermde model en deze anchor te minimaliseren.
- Dual-Solver Framework:
  - Continue Transformaties (Attention Modules): Voor verdedigingen die gebruikmaken van inverse, orthogonale of diagonale matrices (bijv. in attention heads), lost AGA een overgedetermineerd lineair systeem op met behulp van least squares regressie om een closed-form analytische herstelmatrix af te leiden.
  - Discrete Transformaties (MLP Modules): Voor verdedigingen die permutatiematrices gebruiken om neuronen te verschuiven, behandelt AGA het herstel als een lineair som-toewijzingsprobleem. Het maakt gebruik van het Hongaarse algoritme met kosten gedefinieerd door negatieve cosinus-gelijkenis om de globaal optimale discrete bipartiete matching te vinden, waardoor de permutatie effectief wordt omgekeerd.
- Theoretische Garantie: De auteurs leveren stellingen die bewijzen dat de herzelf-fout strikt begrensd is door de magnitude van de taakvector. Omdat de taakvector verwaarloosbaar is vergeleken met de pre-trained gewichten, bereikt de aanval een bijna perfect herstel.
Anchor-Repulsive Fine-tuning (ARF):
Om AGA tegen te gaan, stelt de auteurs een verdediging voor die de magnitude-dispariteit die de aanval exploiteert, fundamenteel verandert.
- Mechanisme: ARF introduceert een afstand-gebaseerde repulsieve term specifiek tijdens de fine-tuning fase, toegepast uitsluitend op de attention projectie matrices ( $W_Q, W_K, W_V, W_O$ ).
- Doelstelling: Deze term duwt de gefinetunede attention gewichten actief weg van hun pre-trained anchors totdat ze een vooraf gedefinieerde veiligheidsmarge ( $\rho$ ) bereiken. Door de magnitude van de taakvector in deze specifieke modules kunstmatig te vergroten, schendt ARF de aanname dat de pre-trained anchor de parameterruimte domineert, waardoor de geometrische kwetsbaarheid die AGA exploiteert, wordt geneutraliseerd.

Belangrijkste Bijdragen

Systematische Kwetsbaarheidsanalyse: Het artikel onthult dat beschermde taakvectoren inherent klein zijn in magnitude ten opzichte van pre-trained gewichten, waardoor de parameterruimte ongeacht lineaire transformaties gedomineerd blijft door de pre-trained backbone.
Universeel Aanvalsframework (AGA): De auteurs stellen AGA voor, het eerste framework dat in staat is om beschermde gewichten analytisch te herstellen door ze uit te lijnen met de pre-trained anchor. Het omzeilt succesvol zowel individuele als samengestelde state-of-the-art verdedigingen (Params, Params-D, MergeLock, MergeBarrier) binnen visuele en taalmodellen.
Adaptieve Verdediging (ARF): Het artikel introduceert ARF, een verdedigingsstrategie die proactief de magnitude van de taakvector binnen attention modules vergroot. Deze aanpak voorkomt effectief ongeautoriseerde merging terwijl de standalone bruikbaarheid van het model behouden blijft.

Experimentele Resultaten
De auteurs evalueerden hun methoden over computer vision (ViT-B/32, ViT-L/14) en natural language processing/generation (GPT-2, Qwen2-7B) taken.

Effectiviteit van de Aanval: AGA omzeilde verdedigingen consequent. Bijvoorbeeld, onder de LOT Merging strategie met MergeLock bescherming, daalde de beschermde-taak prestatie naar 4,85%; AGA herstelde dit naar 78,36% (minder dan 1% gat van de onbeschermde baseline). Vergelijkbare hoge-getrouwheid herstellingen (tot 97% van de onbeschermde prestatie) werden waargenomen over diverse merging paradigma's (Task Arithmetic, CAT, LOT) en modaliteiten.
Effectiviteit van de Verdediging: ARF mitigeerde de dreiging succesvol. Wanneer ARF werd toegepast, werd de prestatie van ongeautoriseerde gemergde modellen onder een AGA-aanval onderdrukt tot bijna willekeurige niveaus (bijv. 0,28% op ViT-B/32), wat aanzienlijk beter presteerde dan bestaande verdedigingen zoals MergeGuard.
Standalone Bruikbaarheid: Cruciaal is dat ARF de standalone prestaties van de modellen behield. Op ViT-B/32 bereikte ARF een gemiddelde nauwkeurigheid van 88,11%, bijna identiek aan de onbeschermde baseline (88,81%) en superieur aan MergeGuard (86,31%), wat aantoont dat de verdediging de oorspronkelijke taakcapaciteiten van het model niet degradeert.

Betekenis
Het artikel beweert dat lineaire gewichtstransformaties slechts een "illusie van veiligheid" bieden tegen model merging. Door de geometrische kwetsbaarheid bloot te leggen waarbij de pre-trained anchor de parameterruimte domineert, toont dit werk aan dat huidige parameter-niveau verdedigingen fundamenteel gebrekkig zijn. Het succes van AGA onderstreept de noodzaak voor fundamenteel robuuste, training-bewuste paradigma's die niet vertrouwen op de aanname dat kleine taakvectoren veilig verborgen kunnen worden door lineaire transformaties. De voorgestelde ARF biedt een praktische weg vooruit door het fine-tuning proces te benutten om de parameterlandschappen structureel te veranderen, waardoor ongeautoriseerde merging ineffectief blijft zonder de modelbruikbaarheid op te offeren.