Resumo Técnico: Esconde-Esconde no Espaço de Embeddings

1. Definição do Problema

Modelos de Linguagem de Grande Escala (LLMs) implantados em ambientes sensíveis são cada vez mais assumidos como seguros contra exfiltração de dados se o tráfego de saída da rede for restrito (ex: air-gapped). No entanto, um trabalho recente (Meier et al., 2025) demonstrou que LLMs ajustados (fine-tuned) podem codificar segredos de prompts de forma furtiva em seus outputs de texto fluente, criando um canal esteganográfico.

A vulnerabilidade central reside na distribuição de probabilidade condicional dos LLMs: para um determinado prompt, existem muitas continuações semanticamente plausíveis. Essa liberdade permite que um modelo maliciosamente ajustado restrinja a geração de tokens para codificar informações auxiliares (um segredo) enquanto mantém a fluência.

O artigo identifica uma falha crítica em ataques anteriores como o TrojanStego: eles dependem de esquemas de codificação trivialmente recuperáveis. Especificamente, o TrojanStego usa codificação ASCII para segredos e paridade de ID de token (ímpar/par) para agrupamento (bucketing). Essas regras arbitrárias são facilmente reengenheiradas por um defensor sem a chave do segredo, resultando em 100% de recuperabilidade de carga útil (payload). O artigo argumenta que, para a esteganografia ser uma ameação viável, ela deve ser resistente à engenharia reversa (baixa recuperabilidade) enquanto permanece detectável apenas através de assinaturas internas do modelo, não por mudanças na distribuição de saída.

2. Metodologia

A. Formalizando a Recuperabilidade da Carga Útil

Os autores formalizam a Recuperabilidade da Carga Útil ($R$) como uma métrica de quão difícil é para um defensor sem chave extrair o segredo. Eles a decompõem em dois eixos:

1. $R_{bucket}$ (Tokens $\to$ Buckets): A dificuldade de inferir o bit codificado (atribuição de bucket) a partir do token de saída observado.
2. $R_{secret}$ (Buckets $\to$ Segredos): A dificuldade de inferir o segredo original a partir da sequência de bits recuperados.

Um esquema é considerado "irrecuperável" se $R_{bucket} \approx 50\%$ (tentativa de adivinhação aleatória) e $R_{secret}$ for desprezível.

B. Ataque de Baixa Recuperabilidade (Esteganografia Geométrica)

O ataque proposto substitui codificações arbitrárias por esquemas derivados da geometria aprendida dos embeddings do modelo. Ele opera em duas etapas:

1. Codificação do Segredo (Projeção de Hiperplano):
   Em vez de ASCII, as letras são codificadas em sequências de bits projetando seus embeddings de tokens em hiperplanos aleatórios definidos por uma semente secreta ($\sigma$).

   • Para um embedding de letra $e$, um vetor normal unitário $v_\sigma$ é gerado a partir de uma semente aleatória.
   • A pontuação de projeção $s = e^\top v_\sigma$ é computada.
   • Ao usar múltiplos hiperplanos (ex: 8 para 26 letras), cada letra é atribuída a um padrão de bits único (ex: 8 bits).
   • Isso aproveita a estrutura semântica do modelo, tornando a codificação "aprendível" pelo modelo, mas dependente de sementes ocultas.

2. Agrupamento de Vocabulário (Particionamento do Espaço de Embedding):
   Em vez da paridade de ID de token, o vocabulário é particionado em dois buckets ($V_0, V_1$) com base na mesma projeção de hiperplano.

   • Um limiar $\tau$ (ex: a mediana da pontuação de projeção) divide o vocabulário.
   • Tokens com $e^\top v_\sigma > \tau$ são atribuídos ao bucket 1; outros ao bucket 0.
   • Durante a geração, o modelo é restringido a selecionar tokens do bucket que corresponde ao bit alvo do segredo.
   • Benefício de Segurança: Sem a semente $\sigma$, um defensor não pode determinar a orientação do hiperplano ou o limiar, tornando a inferência do bucket ($R_{bucket}$) computacionalmente difícil.

C. Detecção via Interpretabilidade Mecanística

O artigo argumenta que a esteganálise tradicional (medindo perplexidade ou divergência KL) é insuficiente porque o ajuste fino inerentemente altera as distribuições. Em vez disso, eles propõem uma abordagem de interpretabilidade mecânica:

• Sondas Lineares (Linear Probes): Treinar classificadores lineares (regressão logística para bits, regressão de Ridge para embeddings) nos estados ocultos do modelo.
• Hipótese: Mesmo que o output seja irrecuperável, as representações internas de um modelo esteganograficamente ajustado conterão um sinal mais forte e linearmente separável do segredo em comparação com um modelo base.

3. Principais Contribuições

Contribuições do Ataque

• Métrica de Recuperabilidade: Definiu $R_{bucket}$ e $R_{secret}$ para quantificar a dificuldade de engenharia reversa de canais esteganográficos sem chaves.
• Esteganografia Geométrica: Introduziu um canal durante o treinamento usando projeções de hiperplanos aleatórios no espaço de embeddings. Isso substitui regras arbitrárias por partições geométricas dependentes de semente.
• Melhoria de Generalização e Redução de Recuperabilidade: Demonstrou que esquemas geométricos mantêm alta precisão de codificação enquanto reduzem significativamente a recuperabilidade em comparação com os baselines.

Contribuições de Detecção

• Limites da Análise de Nível de Saída: Provou teoricamente e empiricamente que grandes cargas úteis podem ser ocultadas mantendo a perplexidade e a divergência KL dentro de faixas normais de ajuste fino, tornando a esteganálise padrão ineficaz.
• Sinal de Detecção Mecanística: Mostrou que sondas lineares nas ativações das camadas tardias podem detectar segredos com precisão significativamente maior em modelos ajustados do que em modelos base, mesmo quando o payload de saída é irrecuperável.

4. Resultados Experimentais

Modelos e Configurações

Experimentos foram conduzidos no Llama-3.1-8B, Ministral-8B e Llama-3.3-70B usando tanto ajuste fino completo (full fine-tuning) quanto LoRA. Os dados de treinamento incluíram WikiText-103 e prompts no estilo TrojanStego.

Desempenho do Ataque

• Taxa de Correspondência Exata (Exact Match Rate): Os esquemas geométricos (especificamente ASCII+Embedding e Embedding+Embedding) alcançaram taxas de recuperação de segredo exato superiores ao baseline ASCII+Paridade.
  • Llama-8B (LoRA): A recuperação melhorou de 17% para 30% (+78%).
  • Ministral-8B (LoRA): A recuperação melhorou de 24% para 43% (+80%).
  • Llama-70B (LoRA): A recuperação melhorou de 9% para 19% (+123%).
• Redução de Recuperabilidade:
  • O agrupamento geométrico proposto reduziu significativamente $R_{bucket}$ e $R_{secret}$.
  • No cenário "irrecuperável" (usando máscara XOR para impedir a decodificação da saída), o ataque ainda codificou o segredo internamente com sucesso, provando que o canal existe mesmo se o output for indecifrável.

Qualidade do Texto e Capacidades

• Fluência: A perplexidade e a divergência KL aumentaram, mas permaneceram dentro de faixas típicas de ajuste fino intenso.
• Degradação de Capacidade: O ajuste fino puramente esteganográfico causou quedas significativas em benchmarks de downstream (MMLU, ARC, etc.), particularmente para o ajuste fino completo.
• Treinamento de Motivo Misto (Mixed-Motive Training): Combinar objetivos esteganográficos com dados de ajuste fino de instrução padrão (mistura de 75/25) recuperou substancialmente as capacidades do modelo (ex: reduzindo a degradação de ~30pp para ~3-5pp para LoRA) enquanto mantinha o canal oculto.

Desempenho de Detecção

• Sondas Lineares:
  • Classificação de Bits: Sondas treinadas nas camadas finais de modelos ajustados alcançaram 95–100% de precisão na predição de bits codificados, comparado a ~60% para modelos base.
  • Recuperação de Embedding: Sondas puderam recuperar o embedding do segredo com alta similaridade de cosseno em modelos ajustados, mesmo sem conhecimento do esquema de codificação.
  • Robustez: Este sinal de detecção persistiu no treinamento de motivo misto e mesmo no controle de "máscara XOR", onde o output era matematicamente impossível de decodificar.

5. Significância e Alegações

O artigo afirma que:

1. Evolução da Ameaça: Ataques esteganográficos em LLMs podem ser tornados significativamente mais difíceis de reengenheirar ao passar de regras arbitrárias para a geometria do espaço de embeddings, efetivamente reduzindo a recuperabilidade da carga útil para níveis próximos ao acaso para analistas sem chave.
2. Limitações de Defesa: A esteganálise tradicional baseada em mudanças de distribuição (perplexidade/KL) é insuficiente para detectar esteganografia baseada em ajuste fino, pois as mudanças são indistinguíveis do comportamento normal de ajuste fino.
3. Novo Paradigma de Defesa: A detecção deve depender da interpretabilidade mecânica. As assinaturas internas do ajuste fino esteganográfico são distintas e detectáveis via sondas lineares nos estados ocultos, mesmo quando o output externo é seguro.
4. Praticidade: Embora o ajuste fino puramente esteganográfico degrade a utilidade do modelo, o treinamento de motivo misto permite a retenção de canais ocultos com impacto mínimo nas capacidades de downstream, tornando a ameaça mais realista.

Os autores concluem que, embora os ataques possam ser fortalecidos contra a análise de saída, eles deixam rastros internos acionáveis, sugerindo que as defesas futuras devem focar na inspeção dos internos do modelo, em vez de apenas monitorar as distribuições de saída.