Resumo Técnico: BadSKP – Ataques de Backdoor em LLMs Aprimorados por Grafos de Conhecimento com Prompts Suaves

Declaração do Problema

Avanços recentes em Modelos de Linguagem de Grande Porte aprimorados por Grafos de Conhecimento (KG-enhanced LLMs) introduziram uma arquitetura de canal duplo, onde subgrafos recuperados são codificados em "prompts suaves" contínuos por meio de Redes Neurais em Grafos (GNNs), operando em conjunto com entradas textuais padrão. Embora esse design melhore a fundamentação factual, suas implicações de segurança permanecem pouco exploradas.

Ataques de backdoor existentes em sistemas de Geração Aumentada por Recuperação (RAG) visam principalmente o canal textual, injetando instruções maliciosas no texto recuperado. No entanto, os autores identificam uma lacuna de robustez: ataques no canal textual que comprometem com sucesso sistemas de promptagem textual baseada em KG (por exemplo, StructGPT, RoG) são amplamente ineficazes contra sistemas baseados em prompts suaves (por exemplo, G-Retriever, GNP). Em sistemas de prompt suave, o prompt suave derivado do grafo parece "ancorar" o estado oculto que impulsiona a geração em direção a semânticas consistentes com a consulta, suprimindo instruções maliciosas de superfície encontradas no canal textual.

O problema central abordado é se essa aparente resiliência é absoluta. O artigo postula que, como o efeito de ancoragem semântica é induzido pelo próprio canal de grafo, um atacante capaz de manipular representações em nível de grafo poderia potencialmente redirecionar essa âncora para semânticas adversariais, contornando a proteção oferecida pelo prompt suave.

Metodologia: BadSKP

Para demonstrar essa vulnerabilidade, os autores propõem o BadSKP, um ataque de backdoor direcionado que explora a interface grafo-a-prompt. Diferentemente de ataques anteriores que visam isoladamente a interface do prompt ou o codificador de grafo, o BadSKP perturba conjuntamente a estrutura do grafo e os atributos dos nós para direcionar o prompt suave induzido em direção a semânticas especificadas pelo atacante.

O ataque opera sob dois modelos de ameaça:

1. Configuração Congelada: O atacante envenena o KG externo, enquanto o codificador de grafo e o módulo de prompt suave permanecem fixos e limpos.
2. Configuração Trojanada: O atacante controla o módulo de prompt suave durante o pré-treinamento ou a distribuição, permitindo que o backdoor persista mesmo após o ajuste fino limpo a jusante.

O BadSKP emprega uma estratégia de otimização multiestágio para superar os desafios do mapeamento discreto-contínuo e da atenuação de gradientes na agregação de grafos:

1. Construção de Embedding Alvo: O atacante constrói um embedding alvo adversarial ($h_{adv}$) no espaço latente do LLM. Para ataques de Negação de Serviço (DoS), este é uma média dos estados ocultos de prompts que induzem recusa. Para ataques de Resposta Irrelevante (IrA), é o negativo do estado oculto limpo para afastar a geração das semânticas da consulta.
2. Otimização de Embeddings em Nível de Nó: O atacante otimiza os embeddings contínuos dos nós envenenados (incluindo a entidade gatilho e os nós injetados) para direcionar o prompt suave derivado do grafo de modo que o estado oculto final que impulsiona a geração se alinhe com $h_{adv}$.
3. Aproximação no Espaço de Entrada: Como os embeddings otimizados são contínuos, eles devem ser mapeados de volta para atributos de nós adversariais discretos e fluentes. Uma busca gulosa guiada por um modelo de linguagem auxiliar leve (BERT) é utilizada para encontrar sufixos que maximizem a similaridade de cosseno entre o embedding de texto resultante e o embedding alvo otimizado.
4. Otimização de Persistência (Apenas Configuração Trojanada): Para garantir que o backdoor sobreviva ao ajuste fino a jusante, o atacante otimiza os parâmetros do prompt suave para alinhar os gradientes da tarefa de backdoor e da tarefa principal (QA limpa), garantindo que atualizações impulsionadas por dados benignos não apaguem o backdoor.

Contribuições Principais

1. Identificação de uma Lacuna de Robustez: O artigo revela que LLMs aprimorados por KG com prompts suaves são significativamente mais robustos ao envenenamento em nível de texto do que sistemas de promptagem textual baseada em KG.
2. Interpretação Mecanística (Ancoragem Semântica): Os autores introduzem o conceito de "ancoragem semântica" para explicar essa robustez. Eles demonstram que prompts suaves derivados de grafos tendenciam o estado oculto que impulsiona a geração em direção a semânticas consistentes com a consulta, suprimindo efetivamente instruções adversariais injetadas via canal textual.
3. Proposta do BadSKP: Um novo ataque de backdoor que visa a interface grafo-a-prompt. Ao manipular a estrutura do grafo e os atributos dos nós, o BadSKP redireciona com sucesso a âncora semântica, sequestrando a representação latente.
4. Validação Empírica: Experimentos extensivos em quatro conjuntos de dados (WebQSP, CWQ) e dois modelos vítimas (G-Retriever, GNP) com várias bases de LLM (LLaMA2/3, Mistral, Qwen) e codificadores GNN.

Resultados Experimentais

A avaliação demonstra que o BadSKP alcança altas taxas de sucesso de ataque (ASR) onde ataques apenas textuais falham:

• Configuração Congelada: O BadSKP alcança ASR > 0,70 para DoS e > 0,88 para IrA em todas as entidades gatilho e modelos. Em contraste, baselines apenas textuais (ACPI e GCG) alcançam ASR próximo de zero para DoS e ASR significativamente menor para IrA, confirmando a falha de ataques apenas textuais contra prompts suaves.
• Configuração Trojanada: O BadSKP mantém alta eficácia (ASR até 1,00) mesmo após o módulo de prompt suave passar por ajuste fino limpo, enquanto ataques apenas textuais permanecem ineficazes.
• Generalização: O ataque permanece robusto em diferentes arquiteturas de GNN (GCN, GAT, Graph Transformer) e bases de LLM, sugerindo que a vulnerabilidade é estrutural ao mecanismo de fusão grafo-texto, e não específica a um modelo.
• Evasão de Defesa: O BadSKP permanece eficaz contra defesas baseadas em filtragem por perplexidade. Os autores observam que, como os sufixos adversariais são sintetizados para serem localmente fluentes, eles frequentemente passam nas verificações de perplexidade. Além disso, a filtragem agressiva degrada a precisão (ACC) de consultas benignas.

Significado e Alegações

O artigo alega que a robustez intrínseca dos prompts suaves não é uma garantia de segurança. Embora os prompts suaves neutralizem efetivamente ataques textuais de superfície ao ancorar a geração às semânticas da consulta, esse mesmo mecanismo cria uma nova superfície de ataque: a interface grafo-a-prompt.

O significado deste trabalho reside em:

• Redefinição da Superfície de Ataque: Desloca o foco do envenenamento textual para a manipulação de representações em nível de grafo em sistemas de prompts suaves.
• Defesa Baseada em Mecanismo: Os autores propõem que uma defesa eficaz requer monitorar a "força de ancoragem" (a similaridade entre o estado oculto que impulsiona a geração e os tokens da consulta), em vez de depender exclusivamente da sanitização de texto.
• Risco na Cadeia de Suprimentos: Os resultados destacam o risco de distribuir módulos de prompt suave trojanados, onde o backdoor pode persistir mesmo após usuários a jusante tentarem ajustar o modelo em dados limpos.

Os autores concluem que a interface grafo-a-prompt constitui uma fronteira de segurança crítica que merece defesas dedicadas além da análise convencional em nível de texto.