🤖 AI

Committed SAE-Feature Traces for Audited-Session Substitution Detection in Hosted LLMs

Este artigo propõe um protocolo de commit-open que utiliza compromissos de árvore de Merkle em rastros de características de autoencoders esparsos (SAE) para detectar efetivamente a substituição silenciosa de modelos em LLMs hospedados, superando esquemas existentes de sondagem pós-retorno ao rejeitar ataques adaptativos diversos enquanto mantém sobrecarga computacional mínima.

Autores originais: Ziyang Liu

Publicado 2026-05-26

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Ziyang Liu

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você pede um bife gourmet em um restaurante de alto padrão. Você paga por um corte premium, mas a cozinha secretamente o troca por uma carne moída congelada e mais barata. No mundo da IA, esse é um risco real: um provedor de nuvem pode anunciar um modelo de IA poderoso e caro, mas secretamente enviar um modelo mais barato e mais fraco para economizar dinheiro.

Este artigo propõe uma nova maneira de pegar essas "carne moída falsas" sem precisar confiar no restaurante.

O Problema: O Truque do "Espelho Mágico"

Os métodos de segurança atuais tentam pegar trapaceiros enviando uma pergunta de teste secreta (uma "sonda") para a IA junto com sua solicitação real. Se a IA responder corretamente à pergunta de teste, o provedor afirma: "Viu? Usamos o bom modelo!"

Mas um provedor desonesto pode enganar esse sistema usando o truque do "espelho mágico". Eles podem rotear sua pergunta de teste secreta para o modelo caro e de alta qualidade (para passar no teste), enquanto roteiam sua solicitação real para o modelo barato e fraco. Você obtém um resultado ruim, mas a verificação de segurança diz que tudo está bem.

A Solução: A "Caixa de Receitas Lacrada"

Os autores propõem um novo sistema chamado Protocolo de Compromisso e Abertura. Pense nisso como uma caixa de receitas lacrada que o chef deve trancar antes de começar a cozinhar.

O Compromisso (Trancando a Caixa): Antes de a IA gerar qualquer resposta, ela cria uma "impressão digital" digital de seu processo de pensamento interno. Ela usa uma ferramenta especial (chamada de Autoencoder Esparso, ou SAE) para tirar uma foto da atividade cerebral em cada etapa. Em seguida, ela trava essas fotos em uma "árvore de Merkle" digital (uma lista segura e imutável) e publica o bloqueio.
A Abertura (Verificando o Recibo): Depois que a IA lhe dá a resposta, o verificador de segurança seleciona algumas etapas aleatórias do processo e pede ao provedor para "abrir" a caixa para esses momentos específicos.
A Verificação (A Prova de Degustação): O verificador compara as fotos abertas contra uma biblioteca pública do que parece um cérebro de IA "bom". Se as fotos corresponderem ao modelo de alta qualidade, a resposta é aceita. Se parecerem com o modelo barato, a resposta é rejeitada.

Por Que os Trapaceiros Não Podem Vencer

O artigo testou isso contra 17 tipos diferentes de trapaceiros, incluindo aqueles tentando trocar modelos, aqueles tentando ajustar ligeiramente o modelo e até mesmo aqueles tentando enganar o sistema matematicamente.

A Falha do "Atendimento Paralelo": No antigo método do "espelho mágico", os trapaceiros podiam passar facilmente no teste mostrando apenas o bom modelo às perguntas de teste. Neste novo sistema, como a "impressão digital" é trancada antes que a resposta seja totalmente gerada e cobre todo o processo, o trapaceiro não pode trocar de modelos no meio do caminho sem quebrar o bloqueio.
A Falha do "Cérebro Falso": Mesmo que um trapaceiro tente forjar as impressões digitais (fingir que tem a atividade cerebral do bom modelo), a matemática mostra que é impossível falsificar a complexidade dos pensamentos internos do modelo real sem realmente executar o modelo real.
A Falha do "Hacker": Mesmo que um hacker tente trabalhar de trás para frente a partir das impressões digitais para enganar o sistema, a lacuna entre o modelo real e o falso é grande demais para ser transposta.

O Custo

Os autores executaram isso em três modelos de IA diferentes. Eles descobriram que adicionar esse bloqueio de segurança apenas desacelera a IA em cerca de 2,1%. É um preço minúsculo a pagar para garantir que você não esteja recebendo uma carne moída congelada quando pagou por um bife.

Em resumo: Este artigo introduz um sistema de "trancar e verificar" que força os provedores de IA a provar que usaram o modelo específico que prometeram, tornando matematicamente impossível trocar por uma versão mais barata sem ser pego.

Resumo Técnico: Rastros de Recursos SAE Comprometidos para Detecção de Substituição de Sessão Auditada em LLMs Hospedados

Declaração do Problema

Os provedores de Modelos de Linguagem de Grande Escala (LLMs) hospedados enfrentam um incentivo de "substituição silenciosa": a motivação econômica para anunciar um modelo de alta capacidade enquanto secretamente serve aos usuários uma substituição mais barata e de qualidade inferior. Mecanismos de detecção existentes, como esquemas de "sondagem-após-retorno" (por exemplo, SVIP), são vulneráveis a um canal lateral de serviço paralelo. Nesses esquemas, um provedor desonesto pode rotear uma solicitação de sonda específica de um verificador para o modelo anunciado (forte) para passar na auditoria, enquanto simultaneamente atende usuários comuns a partir do modelo substituto (fraco). Isso cria uma lacuna onde a substituição permanece indetectável por métodos padrão de verificação.

Metodologia: O Protocolo Compromisso-Abertura

Para fechar essa lacuna de verificação, os autores propõem um protocolo compromisso-abertura que impede que o provedor roteie seletivamente sondas. A metodologia opera da seguinte forma:

Fase de Compromisso: Antes de qualquer solicitação de abertura ocorrer, o provedor compromete-se com um "esboço de rastro de recursos" de sua saída servida. Esse esboço é gerado usando um Autoencoder Esparsificado (SAE) em uma camada de sonda publicada. O provedor constrói uma árvore de Merkle sobre rastros de recursos SAE por posição, criando um compromisso criptográfico com o comportamento real do modelo durante a sessão.
Fase de Abertura e Verificação: Um verificador solicita a abertura de posições aleatórias dentro do rastro comprometido. O provedor revela os recursos SAE correspondentes.
Pontuação e Decisão: O verificador pontua esses recursos abertos contra uma biblioteca pública de sondas de circuito nomeado. Essa biblioteca é calibrada para levar em conta o ruído entre backends. A decisão final é tomada usando uma regra de z-score de consistência conjunta de limiar fixo, determinando se os recursos revelados são consistentes com o modelo anunciado.

Instanciação Experimental e Resultados

O protocolo foi instanciado e testado em três arquiteturas de base distintas:

Qwen3-1.7B
Gemma-2-2B
Uma variante ampliada da Gemma-2-9B utilizando um SAE de 131 mil recursos.

A avaliação envolveu 17 atacantes distintos representando várias estratégias de substituição, incluindo:

Elevações de modelos da mesma família.
Substitutos de famílias cruzadas.
Ataques adaptativos LoRA (Adaptação de Baixo Rango) com Rank <=128.

Principais Descobertas:

Eficácia de Detecção: Todos os 17 atacantes foram rejeitados em um limiar compartilhado e estável em escala usando o protocolo proposto.
Comparação com a Linha de Base: O mesmo conjunto de atacantes conseguiu evadir uma linha de base SVIP estilo serviço paralelo correspondente, demonstrando a superioridade da abordagem compromisso-abertura na prevenção de roteamento seletivo.
Robustez Contra Ataques Avançados:
- Um ataque de caixa branca de ponta a ponta, que tentou retropropagar através do codificador SAE congelado para forjar recursos, falhou em fechar a margem de detecção.
- Um atacante de falsificação de recursos (aquele que nunca executa o modelo honesto $M_h$ ) é limitado em forma fechada por um argumento de dimensão intrínseca, limitando teoricamente a viabilidade de falsificação bem-sucedida.
Sobrecarga de Desempenho: O mecanismo de compromisso adiciona um custo computacional negligenciável, aumentando o tempo de parede apenas para frente em ≤2,1% em um tamanho de lote de 32.

Significado e Alegações

O artigo alega que este protocolo elimina efetivamente a vulnerabilidade do canal lateral de serviço paralelo inerente aos esquemas de sondagem-após-retorno. Ao forçar o provedor a comprometer-se com os rastros de recursos SAE da saída real servida antes da verificação, o sistema garante que o modelo usado para auditoria seja o mesmo modelo usado para inferência do usuário. Os autores posicionam isso como uma solução prática e de baixa sobrecarga para detectar substituição silenciosa de modelos em ambientes de LLM hospedados, validada em múltiplas escalas de modelo e vetores de ataque sem exigir alterações na arquitetura do modelo subjacente além da integração do SAE.