🤖 AI

Making Models Unmergeable via Scaling-Sensitive Loss Landscape

O artigo propõe o \textsc{Trap} $^{2}$ , um framework agnóstico à arquitetura que protege os pesos do modelo ao incorporar um panorama de perda sensível à escala durante o ajuste fino, garantindo que a fusão não autorizada de modelos degrade o desempenho enquanto preserva a utilidade individual.

Autores originais: Minwoo Jang, Hoyoung Kim, Jabin Koo, Jungseul Ok

Publicado 2026-01-30

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Minwoo Jang, Hoyoung Kim, Jabin Koo, Jungseul Ok

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine o mundo dos modelos de IA como uma biblioteca gigante e aberta onde as pessoas compartilham "fichas de receita" (atualizações) para ensinar novos truques a um chef básico (o modelo base). Às vezes, você quer combinar duas fichas de receita para criar um superchef que saiba fazer os dois truques. Isso é chamado de fusão de modelos (model merging).

No entanto, há um problema: e se alguém lançar uma ficha de receita que deveria ser usada sozinha, mas outros a misturarem com suas próprias fichas para criar um monstro que quebra regras de segurança ou ignora licenciamentos? O artigo chama isso de um "vácuo de governança".

Os autores deste artigo, Minwoo Jang e colegas, propõem uma nova maneira de proteger essas fichas de receita para que elas quebrem se alguém tentar misturá-las com outras. Eles chamam seu método de TRAP2.

Veja como funciona, usando analogias simples:

O Problema: O "Bolo Frágil"

Pense em uma atualização de IA padrão (como um adaptador LoRA) como um bolo perfeitamente assado.

Standalone (Uso isolado): Se você comer o bolo sozinho, ele tem um sabor incrível (alta precisão).
Fusão (Merging): Se você tentar misturar este bolo com outro bolo, o resultado é geralmente uma nova sobremesa decente.

O objetivo do artigo é fazer um bolo que tenha um sabor incrível por si só, mas que se transforme em papa no momento em que alguém tenta misturá-lo com outro bolo.

O Jeito Antigo (Defesas Post-Hoc)

Tentativas anteriores de impedir isso envolviam pegar o bolo pronto e aplicar uma "cobertura" especial ou rearranjar os ingredientes depois que o bolo fosse assado.

A Falha: Isso só funciona em tipos muito específicos de bolos (como modelos Transformer). Se você tentar em um tipo diferente de bolo (como um ResNet ou ConvNeXt), a cobertura não adere ou estraga o sabor do bolo. Além disso, se você compartilhar apenas a "cobertura" (o adaptador) e não o bolo inteiro, esse método falha porque precisa ver o bolo inteiro para funcionar.

O Novo Jeito: TRAP2 (Proteção Durante o Treinamento)

Em vez de cobrir o bolo depois de assado, o TRAP2 muda como o bolo é assado em primeiro lugar.

Imagine que você está assando um bolo, mas tem uma regra secreta: "Este bolo deve ser perfeito em temperatura ambiente, mas se você aquecê-lo ou resfriá-lo um pouco, ele deve desmoronar."

No mundo da IA, a "temperatura" é um fator de escala (scaling factor).

Quando o modelo é usado sozinho, a "temperatura" é definida como 1.0 (perfeito).
Quando as pessoas tentam fundir modelos, elas frequentemente precisam ajustar a "temperatura" (escalonando os pesos para cima ou para baixo) para fazer a matemática funcionar.

O TRAP2 treina o modelo especificamente para ser frágil sob esses ajustes.

O Treinamento: A IA aprende a performar perfeitamente quando a escala é exatamente 1.0.
A Armadilha: Durante o treinamento, a IA também é exposta ao que acontece se a escala for 0.5 ou 2.0. Ela é severamente punida por performar bem nesses cenários. Ela aprende que qualquer mudança de escala é perigosa.
O Resultado: Quando o modelo é lançado, ele funciona muito bem sozinho. Mas no momento em que um usuário tenta fundi-lo (o que força uma mudança de escala), o desempenho do modelo desmorona.

Por que isso é especial?

É Universal: Ao contrário dos métodos antigos que só funcionavam em tipos específicos de "bolos" (Transformers), o TRP2 funciona em qualquer arquitetura. Não importa o que o modelo pareça; ele só se importa em como os números são escalonados.
Funciona em "Coberturas": Funciona mesmo se você lançar apenas um pequeno adaptador (como um LoRA) sem o modelo completo.
O "Dano Colateral": O artigo observa que, se você misturar um modelo protegido pelo TRAP2 com um normal, o modelo normal também é arruinado. É como misturar um vaso de vidro frágil com uma tigela de madeira; o vidro estilhaça e a tigela fica lascada. Isso garante que a fusão não autorizada seja uma má ideia para todos os envolvidos.

Os Resultados

Os autores testaram isso em muitas tarefas diferentes de reconhecimento de imagem (como identificar carros, aeronaves ou dígitos manuscritos).

Standalone: Os modelos protegidos funcionaram tão bem quanto os não protegidos.
Fusão (Merged): Quando tentaram fundir esses modelos protegidos com outros, a precisão caiu drasticamente, muitas vezes ficando abaixo do nível de um modelo que nunca sequer foi treinado.

Em Resumo

O TRAP2 é como assar uma ficha de receita com armadilha. Funciona perfeitamente se você seguir as instruções exatamente (uso isolado), mas se alguém tentar remixá-la com outras receitas (fusão), tudo desmorona. Isso protege o trabalho do criador contra o uso indevido em combinações não autorizadas sem precisar conhecer os detalhes específicos da estrutura interna do modelo.

Resumo Técnico: Tornando Modelos Incombináveis via Paisagem de Perda Sensível à Escala

1. Definição do Problema

A proliferação de repositórios públicos de modelos (ex: Hugging Face, GitHub) facilitou o compartilhamento generalizado de atualizações de ajuste fino (fine-tuning), variando de checkpoints completos a adaptadores leves como a Adaptação de Baixo Posto (LoRA). Embora essa modularidade permita a fusão eficiente de modelos — combinando múltiplas atualizações específicas de tarefas em um único modelo sem treinamento adicional — ela cria uma lacuna significativa de governança. Uma vez liberados, esses pesos podem ser recombinados em misturas não autorizadas que contornam alinhamentos de segurança, termos de licenciamento ou restrições específicas de tarefa.

As defesas existentes contra fusões não autorizadas são majoritariamente post-hoc e específicas de arquitetura. Métodos como PaRaMS e MergeLock dependem de simetrias arquiteturais inerentes aos Transformers (ex: reparametrizações acopladas de projeções de atenção) para preservar a utilidade isolada enquanto interrompem a fusão direta no espaço de pesos. No entanto, essas abordagens enfrentam duas limitações críticas:

Incompatibilidade com Lançamentos Apenas de Adaptadores: Eles frequentemente exigem acesso aos pesos totais do modelo para aplicar transformações pareadas, tornando-os ineficazes para adaptadores LoRA, onde apenas a atualização $\Delta W$ é compartilhada e os pesos base $W_0$ estão congelados ou indisponíveis.
Falta de Generalidade Arquitetural: Sua dependência de simetrias específicas de Transformer impede a aplicação em backbones não-Transformer (ex: ResNet, ConvNeXt).

O desafio central é incorporar a incombinabilidade diretamente na atualização liberada, de modo que o modelo mantenha utilidade total em seu cenário isolado ( $s=1$ ), mas degrade significativamente quando submetido às operações de reescalonamento e agregação típicas de pipelines de fusão subsequentes ( $s \neq 1$ ).

2. Metodologia: TRAP2

Os autores propõem o TRAP2 (Proteção via Perturbação Adversária Robusta à Tarefa durante o Treinamento), um framework de proteção agnóstico à arquitetura que integra a incombinabilidade diretamente no processo de ajuste fino.

Intuição Central

Pipelines de fusão frequentemente envolvem o reescalonamento de atualizações constituintes (ex: a média de $N$ adaptadores escala cada um por $1/N$ ). O TRAP2 explora isso ao moldar a paisagem de perda para ser sensível ao escalonamento fora do nominal. Ele otimiza um objetivo adversário que mantém o desempenho na escala nominal enquanto induz uma degradação catastrófica sob escalonamento fora do nominal.

A Função Objetivo

Dado um modelo base $W_0$ e uma atualização treinável $\Delta W$ , o método define a perda em um fator de escala $s$ como:
$L_{scaled}(\Delta W; s) = \mathbb{E}_{\xi \sim D}[\ell(W_0 + s \cdot \Delta W; \xi)]$

O objetivo de treinamento $J(\Delta W)$ minimiza a perda nominal enquanto maximiza a perda sob escalonamento fora do nominal:
$J(\Delta W) = L_{nominal}(\Delta W) - \lambda \cdot L_{off}(\Delta W)$

Onde:

$L_{nominal}(\Delta W) = L_{scaled}(\Delta W; 1)$ .
$L_{off}(\Delta W) = \mathbb{E}_{s \sim S}[w(s) \cdot L_{scaled}(\Delta W; s)]$ .
$S$ é uma distribuição sobre escalas fora do nominal (excluindo uma margem $\delta$ em torno de $s=1$ ).
$w(s)$ é uma função de ponderação (padrão $1/s$ ) para estabilizar os gradientes para atualizações reduzidas.
$\lambda$ faz a troca entre utilidade isolada e sensibilidade ao reescalonamento.

Otimização

O método emprega otimização estocástica de primeira ordem (ex: SGD). Em cada iteração, uma única amostra $s$ é extraída da distribuição fora do nominal $S$ para aproximar a esperança, fornecendo um estimador de gradiente não enviesado. Este procedimento aplica-se tanto a:

Lançamentos apenas de adaptadores: Otimizando as matrizes $A$ e $B$ do LoRA.
Ajuste fino completo: Otimizando a diferença total de parâmetros $\Delta W_t = W_t - W_0$ em cada etapa de treinamento.

3. Principais Contribuições

Formalização do Problema: Os autores formalizam um cenário de proteção pós-lançamento que acomoda diversos tipos de arquiteturas e formatos de liberação (adaptadores e checkpoints completos), estabelecendo um protocolo de avaliação unificado para utilidade isolada e degradação de fusão.
Proteção Agnóstica à Arquitetura: Diferente de trabalhos anteriores, o TRAP2 não depende de simetrias arquiteturais ou acesso aos pesos totais. Ele incorpora a proteção diretamente na atualização, tornando-o aplicável a LoRA, checkpoints completos e backbones não-Transformer.
Análise Teórica e Empírica: O artigo fornece garantias teóricas sobre a convergência sob otimização estocástica e caracteriza a degradação sob redução de escala. Empiricamente, demonstra que o TRAP2 induz uma queda de desempenho confiável sob fusão enquanto preserva a precisão isolada.

4. Resultados Experimentais

Os autores avaliaram o TRAP2 em oito benchmarks de classificação de visão (Cars, DTD, EuroSAT, GTSRB, MNIST, RESISC, Aircraft, SVHN) usando modelos CLIP com backbones ViT-B/32, ViT-L/14 e ConvNeXt.

Utilidade Isolada

Preservação de Desempenho: O TRAP2 mantém a precisão isolada comparável ao ajuste fino não protegido em todas as arquiteturas e conjuntos de dados.
Comparação com Baselines: Defesas post-hoc como o MergeLock falharam em preservar a utilidade isolada em configurações apenas de adaptadores (frequentmente colapsando para níveis de acaso). O PaRaMS manteve a utilidade, mas falhou em impedir a fusão. O TRAP2 obteceu sucesso em ambos.

Incombinabilidade (Degradação de Fusão)

Fusão Linear: Quando fundido com outros adaptadores usando operadores padrão (Task Arithmetic, TIES, DARE, TSV, CART) em espaços Full, KnOTS ou Core, os modelos protegidos pelo TRAP2 sofreram quedas substanciais de precisão, frequentemente caindo abaixo dos baselines de zero-shot.
Robustez a Estratégias de Fusão: A degradação persistiu mesmo quando os coeficientes de fusão foram otimizados via busca em grade (grid search) para encontrar o melhor desempenho possível para o fusor.
Fusão Dependente de Dados: O TRAP2 permaneceu eficaz contra operadores de fusão dependentes de dados como RegMean e Chain-of-Merges (CoM), que tentam recuperar a utilidade aproveitando sinais de dados adicionais.
Fusão Par a Par e N-vias: O método causou "autocolapso" em fusões par a par e degradação consistente em médias uniformes de N-vias (onde $N \ge 2$ ).
Dano Colateral: Fundir um adaptador TRAP2 com um adaptador não protegido frequentemente degradou também o desempenho da tarefa não protegida, demonstrando a natureza disruptiva da proteção.

Generalização

Arquitetura: O TRAP2 funcionou efetivamente no ConvNeXt, onde defesas específicas de Transformer são inaplicáveis.
Escala: Os resultados foram consistentes entre os backbones ViT-B/32 e ViT-L/14.
Ajuste Fino Completo: O método estendeu-se com sucesso à fusão de modelos completos, não apenas de adaptadores.

5. Significância e Alegações

O artigo alega que o TRAP2 oferece uma solução prática para a lacuna de governança nos ecossistemas de modelos abertos ao deslocar o paradigma de proteção de post-hoc para o tempo de treinamento.

Mudança na Estratégia de Defesa: Ao incorporar a incombinabilidade na própria atualização, o TRAP2 contorna as limitações de métodos post-hoc que exigem acesso total ao modelo ou simetrias arquiteturais específicas.
Confiabilidade: O método garante que a recomposição não autorizada seja pouco confiável, desencorajando efetivamente a criação de misturas não autorizadas que contornam restrições de segurança ou licenciamento.
Modéstia sobre Limitações: Os autores reconhecem que sua avaliação foca em fusões baseadas em coeficientes, comuns no reuso plug-and-play. Eles observam que estender a proteção contra a recuperação baseada em dados (onde um fusor utiliza dados relevantes da tarefa para re-treinar ou realizar ajuste fino no modelo fundido para restaurar a utilidade) permanece um caminho aberto para trabalhos futuros.

Os autores enfatizam que, embora o método utilize perturbações adversárias durante o treinamento, ele é destinado como uma ferramenta defensiva para proteger os direitos de quem faz o upload e a integridade do modelo, não para permitir ataques. Eles defendem práticas de lançamento responsáveis, como rotulagem clara, para informar usuários subsequentes que modelos protegidos podem não se comportar de forma confiável sob fusão.