BadLLM-TG: A Backdoor Defender powered by LLM Trigger Generator

1. O Problema

Os modelos de linguagem pré-treinados (PLMs) são vulneráveis a ataques de backdoor. Nesses ataques, os adversários envenenam o conjunto de dados de treinamento inserindo um gatilho (trigger) específico (como uma palavra, frase ou estilo) associado a um rótulo alvo. O modelo resultante funciona bem em dados limpos, mas, quando o gatilho está presente, ele é forçado a prever o rótulo alvo malicioso.

A defesa contra esses ataques é crítica, mas enfrenta desafios significativos no processamento de linguagem natural (NLP):

• Natureza Discreta do Texto: Métodos tradicionais de inversão de gatilho, que funcionam bem em imagens (usando ruído e gradiente descendente), falham em texto devido à natureza discreta dos tokens. Não é possível inicializar um gerador com "ruído" ou atualizá-lo via gradiente direto.
• Limitações das Defesas Existentes: Abordagens atuais baseiam-se na detecção de dados envenenados ou modificação do modelo (poda, distilação), mas muitas vezes não localizam o gatilho real ou dependem fortemente da arquitetura do modelo, limitando sua generalização.

2. Metodologia: BadLLM-TG

Os autores propõem o BadLLM-TG, um defensor de backdoor que utiliza um Gerador de Gatilho Impulsionado por LLM (Large Language Model). A abordagem adapta a técnica de "inversão de gatilho" para o domínio de texto através de três estágios principais:

A. Identificação do Rótulo Alvo

Como o defensor não sabe qual é o rótulo alvo ($\hat{y}$) ou o gatilho, o sistema primeiro treina um modelo "vítima" envenenado.

• Insight: Dados envenenados exibem maior variância de confiança e robustez durante o treinamento inicial.
• Método: O sistema seleciona os 5% das amostras com a maior variância de confiança e identifica o rótulo mais frequente entre elas como o alvo provável. Isso permite separar o conjunto de dados em amostras do alvo e não-alvo.

B. Treinamento do Gerador de Gatilho (LLM + RL)

Para superar a limitação da natureza discreta do texto, o sistema não usa gradiente descendente tradicional, mas sim Aprendizado por Reforço (RL) Impulsionado por Prompt.

• Agente: Um LLM (ex: Llama-3.3-70B) atuando como gerador de gatilho, parametrizado por um prompt.
• Ambiente: O conjunto de dados limpo (não-alvo).
• Ação: O LLM insere um padrão (gatilho candidato) nas amostras limpas.
• Recompensa: O modelo vítima envenenado avalia as amostras modificadas. Se a previsão mudar para o rótulo alvo, a recompensa (baseada na perda de entropia cruzada) é alta.
• Otimização: O prompt do LLM é iterativamente refinado para maximizar essa recompensa, aprendendo o padrão exato do gatilho sem necessidade de gradientes no espaço de texto.

C. Inversão de Gatilho via Treinamento Adversarial

Uma vez que o gatilho é gerado com sucesso pelo LLM:

1. O gerador aplica o gatilho encontrado a todo o conjunto de dados de treinamento (criando um conjunto "envenenado" sintético).
2. O modelo vítima é re-treinado (fine-tuning) usando tanto os dados originais quanto os dados com o gatilho gerado, mas com os rótulos verdadeiros (ground truth).
3. Isso quebra o vínculo entre o gatilho e o rótulo alvo, neutralizando o backdoor.

3. Contribuições Principais

1. Novo Gerador de Gatilho (BadLLM-TG): Primeira proposta de um gerador de gatilho baseado em LLM para defesa de backdoor em NLP, resolvendo o problema da inicialização e otimização em texto discreto.
2. Framework de RL Impulsionado por Prompt: Introdução de um método de treinamento onde o LLM aprende a gerar gatilhos através de feedback de perda do modelo vítima, sem necessidade de acesso aos pesos internos do gerador ou gradientes diretos.
3. Desempenho Superior e Robustez: Validação experimental extensiva mostrando que o método supera as defesas atuais, mantendo a utilidade do modelo (acurácia em dados limpos) enquanto reduz drasticamente o sucesso do ataque.

4. Resultados Experimentais

Os experimentos foram conduzidos em três conjuntos de dados (SST-2, HSOL, AG News) contra quatro tipos de ataques (Word, Sentença, Estilo, Sintaxe) e comparados com cinco defensores (incluindo ONION, RAP, MuScleLoRA).

• Redução da Taxa de Sucesso do Ataque (ASR): O BadLLM-TG reduziu a ASR média em 76,2%, superando o segundo melhor defensor (MuScleLoRA) em 13,7%.
  • Exemplo: No conjunto SST-2 com ataque Sentbkd, a ASR caiu de 99,23% (sem defesa) para 0,86% com BadLLM-TG.
• Preservação da Utilidade (CACC): O método preservou em média 96,3% da acurácia original em dados limpos, demonstrando que a defesa não degrada o desempenho do modelo.
• Robustez: O desempenho permaneceu estável mesmo com taxas de envenenamento variando de 10% a 40%.
• Estudo de Caso: O sistema demonstrou capacidade de reconstruir gatilhos complexos (ex: a abreviação "cf") através de iterações de prompt, convergindo para o padrão malicioso em poucas iterações.

5. Significado e Impacto

O trabalho é significativo porque:

• Preenche uma Lacuna Técnica: Resolve o problema fundamental de aplicar técnicas de inversão de gatilho (eficazes em visão computacional) no domínio de NLP, onde a discretização do texto impede o uso de otimização baseada em gradiente.
• Abordagem Agnóstica ao Modelo: Ao focar na recuperação do gatilho e no treinamento adversarial, a defesa não depende de modificações específicas na arquitetura do modelo, tornando-a mais generalizável.
• Uso Criativo de LLMs: Demonstra como o conhecimento embutido em Grandes Modelos de Linguagem pode ser aproveitado não apenas para geração de texto, mas como uma ferramenta de segurança cibernética para detectar e neutralizar ameaças em outros modelos de IA.

Em resumo, o BadLLM-TG estabelece um novo estado da arte na defesa contra backdoors em NLP, oferecendo uma solução robusta, eficiente e prática para garantir a confiabilidade de modelos de linguagem em cenários de dados não confiáveis.