Resumo Técnico: Chain & Hash – Uma Técnica de Fingerprinting para LLMs

Declaração do Problema

A rápida implantação e o significativo valor econômico dos Grandes Modelos de Linguagem (LLMs) aumentaram as preocupações em relação ao roubo de propriedade intelectual (PI) e ao uso indevido. As vulnerabilidades atuais incluem ameaças internas capazes de exfiltrar pesos de modelos e o reaproveitamento de modelos via APIs públicas. Os métodos existentes para provar a propriedade carecem de robustez contra manipulação adversária, como o ajuste fino (fine-tuning) ou a aplicação de meta-prompts que alteram os estilos de saída. Além disso, muitas abordagens dependem de acesso white-box (pesos internos), o que é impraticável para a verificação no mundo real, onde apenas o acesso via API (black-box) está disponível. O artigo identifica a necessidade crítica de um framework de fingerprinting que seja transparente, eficiente, persistente, robusto e inautenticável, capaz de operar sob configurações adversárias realistas onde os atacantes possuem controle total do modelo e conhecimento do algoritmo.

Metodologia: Chain & Hash

Os autores propõem o "Chain & Hash", um novo framework de fingerprinting projetado para vincular criptograficamente prompts específicos às suas respostas, garantindo a propriedade verificável sem comprometer a utilidade do modelo. O framework opera sob um modelo de ameaça black-box e consiste em quatro componentes principais:

1. Geração de Perguntas

O sistema gera um conjunto de $Q$ prompts de fingerprint utilizando duas estratégias complementares:

• Perguntas Aleatórias: Tokens amostrados do vocabulário do modelo (ex: 10 tokens). Isso maximiza a memorização, mas é suscetível a filtragem de entrada.
• Perguntas Naturais: Consultas semanticamente válidas, mas estatisticamente raras, adaptadas a domínios específicos, geradas pelos próprios modelos alvo para reduzir os riscos de filtragem adversária.

2. Construção da Cadeia Criptográfica

Para garantir a inautenticabilidade, o método vincula perguntas a respostas usando uma função de hash criptográfica (ex: SHA-256).

• Mecanismo: Um conjunto predefinido de 256 unidades de resposta ($R$) é estabelecido. Para uma cadeia de $k$ perguntas, o hash de todo o conjunto de perguntas $Q$ e do conjunto de respostas $R$ determina a resposta específica $r_j$ para cada pergunta $q_i$.
• Segurança: O mapeamento é determinístico e resistente a colisões. Alterar qualquer pergunta muda o input do hash, mudando assim a resposta necessária para todas as perguntas na cadeia. Um adversário não pode forjar a sequência correta de respostas sem realizar o ajuste fino do modelo, pois a probabilidade de adivinhar o índice correto para $k$ perguntas é de $(1/256)^k$.

3. Treinamento de Fingerprint e Robustez

O modelo é ajustado para memorizar esses pares criptograficamente vinculados enquanto mantém a utilidade geral. Para abordar a ameaça de meta-prompts (ex: "Responda como um pirata") e ajuste fino, o conjunto de dados de treinamento inclui:

• Diversificação de Meta-prompts: As perguntas de fingerprint são aumentadas com diversos meta-prompts gerados pelo GPT-4, treinando o modelo para sobrepor essas instruções para consultas de fingerprint.
• Padding Aleatório: Sequências de tokens aleatórios são adicionadas como prefixos e sufixos às perguntas de fingerprint para ensinar o modelo a ignorar ruídos.
• Dados Não-Fingerprint: O conjunto de dados inclui pares de QA padrão e tópicos de fingerprint refraseados para preservar a utilidade e evitar detecção estatística.
• Função de Perda: Uma função de perda combinada equilibra a perda de entropia cruzada para amostras de fingerprint ($L_{fp}$) com um termo de divergência KL ($L_{KL}$) para minimizar o desvio do comportamento original do modelo em dados não-fingerprint.

4. Protocolo de Verificação

A verificação de propriedade é conduzida via consultas black-box. Um reclamante fornece o conjunto de perguntas $Q$, o conjunto de respostas $R$ e a função de hash $H$. O verificador consulta o modelo suspeito $M$ com as perguntas de $Q$. Se a saída do modelo começar com a resposta $r_j$ determinada criptograficamente para um número suficiente de perguntas (limiar $\tau$), a propriedade é estabelecida. O protocolo baseia-se na precedência temporal; o proprietário original pode provar a propriedade demonstrando o fingerprint na versão do modelo disponível publicamente mais antiga.

Principais Contribuições

1. Técnica Chain & Hash: Um método criptográfico que vincula prompts de fingerprint a respostas, prevenindo colisões e permitindo reivindicações de propriedade irrefutáveis sem exigir acesso white-box.
2. Robustez Contra Meta-prompts: Uma estratégia de treinamento que incorpora padding aleatório e configurações variadas de meta-prompts que mantém a integridade do fingerprint mesmo quando um adversário altera significativamente o estilo de saída do modelo via ajuste de instrução ou prompts de sistema.
3. Aplicabilidade Black-Box: O framework opera inteiramente via interações de API, tornando-o adequado para cenários de implantação prática onde os pesos internos do modelo são inacessíveis.
4. Extensão para LoRA: O método demonstra ser eficaz em adaptadores de Ajuste Fino de Baixo Rank (LoRA), estendendo a proteção de PI para métodos de ajuste fino de parâmetros eficientes.

Resultados e Avaliação

O framework foi avaliado em múltiplos modelos de última geração (Llama-3-8B, Llama-3-8B-Instruct, Phi-3-mini-instruct, Llama-2-13B-Instruct) contra cinco propriedades essenciais:

• Transparência: O fingerprinting resultou em uma degradação negligenciável no desempenho em benchmarks padrão (MMLU, HellaSwag, TruthfulQA, etc.), com a maioria das mudanças dentro de $\pm 1\%$ ou mostrando leves melhorias em tarefas de seguimento de instrução.
• Eficiência: A propriedade pode ser estabelecida com alta confiança (99% de probabilidade) usando pouquíssimas tentativas (frequentemente 1 ou 2 respostas corretas em 10 perguntas).
• Persistência: Quando testado contra sete meta-prompts adversários (ex: "responda como um pirata", "prefixe com RESPOSTA"), os modelos treinados com diversificação de meta-prompt mantiveram a força do fingerprint acima de 99% para perguntas aleatórias e ~82,8% para perguntas naturais. Em contraste, modelos sem este treinamento viram a força do fingerprint cair para 0% sob certos prompts.
• Robustez:
  • Ajuste Fino (Fine-tuning): O fingerprint persistiu através de ajustes finos pesados (ex: datasets Alpaca e ChatDoc). Perguntas aleatórias exigiram no máximo 25 tentativas para verificação em modelos ajustados, enquanto perguntas naturais frequentemente exigiram apenas 1–2 tentativas.
  • Quantização: A aplicação de quantização INT8 resultou em degradação negligenciável (<0,5% de queda na força do fingerprint).
  • Parafraseamento Adversário: Mesmo quando os inputs e outputs foram parafraseados pelo GPT-4o, o fingerprint permaneceu detectável (a força caiu de 99% para 79% para parafraseamento de entrada, e para 20% para parafraseamento de saída, o que ainda é suficiente para reivindicações de propriedade).
• Inautenticabilidade: O vínculo criptográfico garante que forjar um fingerprint sem ajuste fino é computacionalmente inviável. O framework também resiste à colusão de múltiplos modelos através de designs de cadeia baseados em interseção.

Significância e Alegações

O artigo afirma que o Chain & Hash fornece uma solução prática e verificável para a proteção de propriedade intelectual de LLMs que aborda as vulnerabilidades específicas dos modelos modernos ajustados por instrução. Diferente de abordagens anteriores que dependem de acesso white-box ou falham sob ataques de transferência de estilo, o Chain & Hash oferece um método criptograficamente seguro e verificável via black-box que sobrevive a condições adversárias agressivas, incluindo manipulação de meta-prompt e ajuste fino. Os autores enfatizam que sua abordagem não requer um terceiro de confiança e pode ser aplicada sobre métodos de fingerprinting existentes para aumentar a segurança. O trabalho estabelece um novo padrão para avaliar a robustez de fingerprinting, destacando especificamente a necessidade de testar contra meta-prompts e ajuste fino para garantir a viabilidade no mundo real.