Verifying LLM Inference to Detect Model Weight Exfiltration

Título: Verificação de Inferência de LLM para Detectar Exfiltração de Pesos do Modelo

1. O Problema: Exfiltração de Pesos via Esteganografia

À medida que os Grandes Modelos de Linguagem (LLMs) se tornam ativos valiosos, o risco de roubo de seus pesos (parâmetros) aumenta. Um cenário crítico é quando um servidor de inferência é comprometido por um adversário interno ou externo.

• O Ataque: Em vez de roubar os arquivos diretamente, o adversário pode exfiltrar os pesos escondendo-os dentro das respostas normais do modelo (texto gerado para o usuário). Isso é feito através de esteganografia, onde bits de informação são codificados na escolha de tokens específicos.
• O Desafio: Os LLMs são inerentemente não determinísticos. Mesmo com a mesma semente (seed) e entrada, pequenas variações numéricas (devido a precisão de ponto flutuante, agendamento de kernels de GPU, etc.) podem gerar saídas ligeiramente diferentes. Um adversário pode explorar essa "não determinismo válido" para codificar dados sem parecer suspeito, pois as variações parecem legítimas.
• A Lacuna: Métodos de defesa tradicionais (como filtragem de perplexidade ou regex) são facilmente contornados, pois um adversário sofisticado pode manter a perplexidade natural enquanto codifica informações.

2. Metodologia e Proposta

Os autores propõem um sistema de verificação de inferência que monitora o tráfego de saída para detectar desvios do comportamento esperado do modelo, mesmo na presença de não determinismo legítimo.

Conceitos Fundamentais:

• Distribuição Posterior de Semente Fixa (Fixed-Seed Posterior Distribution): O modelo reconhece que, mesmo com uma semente fixa, existe uma distribuição de probabilidade válida sobre quais tokens podem ser gerados devido ao ruído computacional. O sistema calcula a probabilidade de um token específico ter sido gerado honestamente sob essa distribuição.
• Fixed-Seed Sampling Likelihood (FSSL): Uma métrica que estima a verossimilhança de que um token foi amostrado honestamente pelo modelo reclamado, dado a semente e o contexto.
• Arquitetura Desacoplada: O sistema utiliza um Servidor de Inferência (produtivo) e um Servidor de Verificação (isolado e de alta integridade). O servidor de verificação reexecuta uma amostra aleatória das inferências usando o mesmo modelo e semente para validar a saída.

Métodos de Pontuação (Estimadores):
Para lidar com a não determinismo, o paper introduz dois estimadores práticos para calcular o FSSL:

1. Token-DiFR (FSSL-GM): Para modelos que usam o truque Gumbel-Max para amostragem (comum em vLLM). Ele regenera o ruído Gumbel e calcula a probabilidade de o token amostrado ter sido escolhido.
2. Token-IPT-DiFR (FSSL-IPT): Para modelos que usam a Transformada de Probabilidade Inversa (comum em HuggingFace/Ollama). Ele integra uma distribuição Gaussiana sobre o intervalo de probabilidade do token no espaço cumulativo.

Classificação em Três Níveis:
Para reduzir falsos positivos e limitar a capacidade de exfiltração, o sistema classifica os tokens em:

• Seguro: Alta verossimilhança (FSSL acima do limiar).
• Suspeito: Baixa verossimilhança, mas o token está dentro do top-$R$ dos logits brutos (antes de filtragem). Isso limita a informação exfiltrável a $\log_2(R)$ bits.
• Perigoso: Baixa verossimilhança e fora do top-$R$. Flagado imediatamente.

3. Contribuições Principais

1. Formalização do Jogo de Segurança: Os autores formalizam a exfiltração de pesos como um jogo de segurança, derivando limites teóricos (teoremas 5.1, 5.2, 5.3) sobre a quantidade máxima de informação que um adversário pode exfiltrar sem ser detectado.
2. Framework de Verificação Provável: Apresentam um esquema que pode provar matematicamente a mitigação da exfiltração esteganográfica, estabelecendo limites de informação teórica.
3. Arquitetura Desacoplada: Propõem uma arquitetura onde a verificação de segurança é separada do desempenho de inferência, permitindo computação de alta garantia em hardware/software isolado sem gargalar o throughput do serviço principal.
4. Validação Empírica: O sistema foi testado em modelos de produção (Llama-3.1-8B, Llama-3.2-3B, Qwen1.5-MoE-7B e Qwen3-30B-A3B).

4. Resultados Experimentais

Os testes foram realizados em modelos de 3B a 30B de parâmetros. Os resultados mais notáveis foram obtidos no modelo Qwen3-30B-A3B:

• Redução de Informação Exfiltrável: O detector reduziu a informação exfiltrável para < 0,5% do total possível.
• Taxa de Falsos Positivos (FPR): Mantida abaixo de $10^{-2}$ (0,01%), garantindo que usuários legítimos não sejam bloqueados injustamente.
• Desaceleração do Ataque: O esquema impõe uma desaceleração de > 200x para o adversário.
  • Exemplo Prático: Para um modelo de 1 TB com tráfego de 1 TB/dia, o tempo necessário para exfiltrar o modelo completo aumentou de ~1 dia para > 200 dias.
• Detecção de Anomalias: Além de detectar exfiltração, o sistema identifica bugs e anomalias de inferência, servindo como ferramenta de depuração.

5. Significado e Impacto

• Mudança de Paradigma: Este trabalho estabelece uma fundação para defender contra o roubo de modelos não através de criptografia pesada (como ZKPs, que são lentos demais), mas através de verificação estatística e reexecução.
• Viabilidade Econômica: Demonstra que a proteção forte pode ser alcançada com custo mínimo para os provedores de inferência, desacoplando segurança e desempenho.
• Resposta a Ameaças: Transforma a exfiltração de um problema de "segurança de perímetro" para um problema de "integridade de execução", forçando o adversário a escolher entre ser detectado ou operar em uma velocidade tão lenta que o roubo se torna economicamente inviável.
• Aplicabilidade Dupla: O mesmo sistema pode ser usado para detectar falhas de software (bugs) no pipeline de inferência, além de ataques maliciosos.

Em resumo, o paper oferece uma solução prática e matematicamente fundamentada para um dos maiores riscos de segurança em IA generativa: o roubo silencioso de modelos proprietários através das próprias respostas do modelo.