Resumo Técnico: PROTOPURIFY

Definição do Problema

Os Grandes Modelos de Linguagem (LLMs) estão sendo cada vez mais implantados em aplicações sensíveis à segurança, mas permanecem vulneráveis a ataques de backdoor, onde adversários implantam funcionalidades maliciosas que disparam saídas predefinidas ao serem expostas a gatilhos específicos. Embora o Backdoor Defense-as-a-Service (BDaaS) seja um paradigma emergente para a purificação pós-hoc de modelos, os mecanismos de defesa existentes enfrentam barreiras operacionais significativas:

1. Premissas Irrealistas: Muitas defesas exigem acesso a dados limpos a jusante, conhecimento de gatilhos/alvos específicos ou especificidades do domínio da tarefa, que muitas vezes não estão disponíveis ou são sensíveis em um cenário de serviço.
2. Falta de Reutilização: Os métodos atuais tipicamente purificam modelos de forma independente, carecendo de mecanismos para transferir insights ou componentes entre diversos modelos com backdoor, o que limita a escalabilidade.
3. Compromissos (Trade-offs): As abordagens existentes frequentemente sofrem com alta sobrecarga computacional (exigindo treinamento por modelo) ou causam degradação significativa na utilidade do modelo benigno (Acurácia de Dados Limpos, CDA).

O artigo identifica a necessidade de um framework de purificação que seja reutilizável, customizável, interpretável e eficiente em tempo de execução, operando sob premissas mínimas sobre o ataque e a tarefa downstream do modelo alvo.

Metodologia: PROTOPURIFY

O PROTOPURIFY é um framework de purificação de backdoor baseado em protótipos projetado para operar no espaço de pesos. Ele aproveita a observação de que diferentes ataques de backdoor induzem deslocamentos de parâmetros correlacionados, sugerindo um "protótipo de backdoor" compartilhado. O framework consiste em quatro estágios:

1. Simulação de Backdoor (Construção do Pool de Vetores)

Para capturar diversos comportamentos de backdoor sem acesso aos dados originais do ataque, o defensor simula vários cenários de ataque offline usando conjuntos de dados públicos auxiliares e estratégias de ataque conhecidas (ex: gatilho único, múltiplos gatilhos, sem gatilho).

• Processo: Para cada cenário, um "modelo com backdoor" ($M_b$) e um "modelo limpo" ($M_c$) são treinados a partir do mesmo modelo base ($M_{base}$) usando hiperparâmetros idênticos, diferindo apenas pela presença de dados envenenados ou manipulação de pesos.
• Vetor de Backdoor: O vetor de backdoor $v$ é computado como a diferença entre os parâmetros dos modelos com backdoor e limpos: $v = \vartheta(M_b) - \vartheta(M_c)$. Esta subtração remove os sinais de aprendizado específicos da tarefa, isolando as atualizações maliciosas.
• Saída: Um pool de vetores de backdoor $\mathcal{V}$ representando diversos comportamentos de ataque.

2. Construção do Protótipo

O sistema agrega o pool de vetores de backdoor para destilar uma representação maliciosa compartilhada.

• Agregação: O artigo avalia duas estratégias de agregação: Média Aritmética (AM) e Análise de Componentes Principais (PCA). Experimentos mostram que a AM é superior, pois reforça mudanças de parâmetros consistentes, enquanto a PCA pode amplificar ruídos ou variações irrelevantes.
• Seleção: Para um modelo com backdoor alvo $M'$, o sistema computa seu vetor de atualização de peso $w = \vartheta(M') - \vartheta(M_{base})$. Em seguida, seleciona o candidato protótipo mais alinhado $p^*$ do conjunto construído, maximizando a similaridade de cosseno: $p^* = \arg\max_{p \in \mathcal{P}} \text{CosSim}(w, p)$.

3. Detecção da Camada de Fronteira (Boundary Layer)

Para evitar a degradação da utilidade, o PROTOPURIFY evita modificar o modelo inteiro. Ele identifica uma "camada de fronteira" que particiona o modelo em camadas inferiores protegidas e camadas superiores candidatas para purificação.

• Mecanismo: O sistema computa pontuações de alinhamento camada a camada entre a atualização do modelo alvo e o protótipo selecionado. Empiricamente, as pontuações de alinhamento são estáveis nas camadas inferiores, mas exibem um aumento acentuado nas camadas mais profundas, onde os comportamentos semânticos de backdoor são codificados.
• Critérios: A camada de fronteira $l^*$ é selecionada com base na Significância de Magnitude (a pontuação excede um limiar baseado nas estatísticas das camadas inferiores) e na Significância de Incremento (a taxa de aumento é mais íngreme que a linha de base).

4. Purificação do Modelo

A purificação direcionada é realizada apenas nas camadas $l \geq l^*$.

• Decomposição: Para cada matriz de peso treinável $\Delta W$ nas camadas alvo, a Decomposição em Valores Singulares (SVD) é aplicada: $\Delta W = \sum \lambda_i a_i b_i^\top$.
• Identificação de Sinal: Cada componente de rank-1 é projetado no respectivo protótipo de matriz $\Delta P$ para calcular uma pontuação de sinal de backdoor $c_i$.
• Supressão: Componentes com pontuações que excedem um limiar adaptativo são identificados como maliciosos. Seus valores singulares $\lambda_i$ são reduzidos por um fator $(1-\alpha)$, onde $\alpha$ é uma força de purificação controlável. Isso permite um equilíbrio entre mitigação e preservação da utilidade.

Principais Contribuições

1. Purificação Baseada em Protótipos: O artigo propõe o PROTOPURIFY, um método que constrói um protótipo de backdoor reutilizável a partir de pares de modelos simulados, permitindo a purificação sem acesso a dados limpos da tarefa a jusante ou conhecimento de gatilhos.
2. Pipeline de Ponta a Ponta no Espaço de Pesos: Os autores desenvolvem um pipeline que abrange extração de vetores de backdoor, agregação de protótipos, detecção de fronteira camada a camada e supressão controlada de componentes.
3. Pronto para BDaaS: O framework é explicitamente projetado para satisfazer quatro desideratas chave para implantação de serviço: Reutilização (construção offline de protótipos reutilizados para múltiplos modelos), Customização (adaptável a famílias de ataques ou tarefas conhecidas), Interpretabilidade (revela locais de codificação de backdoor via análise de sinal) e Eficiência em Tempo de Execução (edição de disparo único, sem necessidade de treinamento).

Resultados Experimentais

Os autores avaliaram o PROTOPURIFY no Llama3-8B e Mistral-7B em tarefas de classificação (SST-2, CoLA, QQP, MNLI, Emotion) e geração (CHAT-BACKDOOR).

• Desempenho vs. Baselines: O PROTOPURIFY foi comparado com seis defesas de última geração (Wanda, Fine-Tuning, NAD, BEEAR, CROW, LETHE).
  • Mitigação: Reduziu consistentemente a Taxa de Sucesso de Ataque (ASR) para abaixo de 10% (frequentemente tão baixa quanto 1,6%) em ataques de gatilho único, múltiplos gatilhos e sem gatilho.
  • Utilidade: Manteve alta Acurácia de Dados Limpos (CDA), incorrendo em uma queda de menos de 3% na utilidade benigna na maioria dos casos.
  • Comparação: Em cenários onde baselines como Fine-Tuning causaram perda significativa de utilidade (ex: CDA caindo para ~58%) ou falharam em suprimir o ASR (ex: permanecendo >40%), o PROTOPURIFY alcançou trade-offs superiores (ex: ASR de 4,4% com CDA de 91,3% no SST-2).
• Transferibilidade: Protótipos construídos em tarefas de classificação purificaram com sucesso modelos em tarefas de geração, demonstrando eficácia cross-domain.
• Robustez: O método permaneceu eficaz contra adversários adaptativos que tentaram amplificar sinais de backdoor, e causou degradação de desempenho negligenciável em modelos não contaminados (limpos).
• Eficiência: O tempo de execução por modelo é de 5 a 10 minutos (sem treinamento), significativamente mais rápido do que os baselines baseados em gradiente que exigem centenas de minutos.

Significância e Alegações

O artigo afirma que o PROTOPURIFY aborda uma lacuna crítica na segurança de LLMs ao fornecer um primitivo prático e pronto para serviço para Backdoor Defense-as-a-Service. Sua significância reside em:

• Viabilidade Operacional: Ao remover a necessidade de dados alvo limpos ou conhecimento de gatilhos, torna a purificação de backdoor viável para plataformas comerciais de BDaaS.
• Escalabilidade: A construção offline de protótipos reutilizáveis amortiza os custos computacionais, permitindo a purificação de alto throughput de diversos modelos.
• Precisão: A estratégia de supressão camada a camada e componente a componente minimiza danos colaterais às capacidades benignas do modelo, um ponto de falha comum em defesas de poda (pruning) ou fine-tuning existentes.

Os autores enfatizam que, embora o método seja robusto, ele não é um substituto para uma segurança mais ampla da cadeia de suprimentos (ex: verificação de datasets) e é projetado para ser transparente e interpretável para auxiliar no diagnóstico de modelos comprometidos.