Resumo Técnico: Ataques de Backdoor Acionados por Otimização em LLMs

1. Declaração do Problema

O artigo aborda uma vulnerabilidade de segurança previamente negligenciada no pipeline de implantação de Modelos de Linguagem de Grande Escala (LLMs): backdoors acionados por otimização. Embora técnicas de otimização de inferência, particularmente a compilação de modelos (por exemplo, torch.compile), sejam padrão para escalar LLMs, elas partem da premissa de que a compilação preserva a equivalência semântica, tratando quaisquer diferenças numéricas residuais como artefatos inofensivos de ponto flutuante.

Os autores desafiam essa premissa, demonstrando que as mínimas discrepâncias numéricas introduzidas pelos compiladores — decorrentes da fusão de operadores, agendamento de kernels e reassociação de ponto flutuante — podem ser deliberadamente instrumentalizadas. Diferentemente dos backdoors tradicionais que são ativados por padrões de entrada específicos (gatilhos) ou adulteração de pesos, esses ataques são acionados exclusivamente pelo ato de compilação. Um modelo pode comportar-se benignamente sob execução "eager" padrão (passando em auditorias de segurança e testes de red-teaming), mas emitir saídas maliciosas quando compilado para implantação em produção. Isso cria uma superfície de ataque furtiva onde o próprio ambiente de execução atua como o gatilho.

2. Metodologia

Os autores propõem um framework de ataque unificado composto por duas estratégias complementares projetadas para explorar a fragilidade numérica da execução compilada sem modificar o compilador, o hardware ou o pipeline de inferência. Ambas as estratégias envolvem a modificação dos pesos do modelo (por exemplo, via adaptadores LoRA) para forçar o modelo a um regime sensível a perturbações induzidas pelo compilador.

A. Ataque I: Moldagem de Fronteira Específica à Entrada (ISBS)

• Objetivo: Criar um backdoor sem gatilho para entradas específicas e pré-definidas.
• Mecanismo: O atacante utiliza edição de parâmetros leve baseada em LoRA para empurrar a distribuição de logits de uma entrada-alvo em direção à fronteira de decisão.
• Processo:
  1. Otimizar parâmetros LoRA sob execução eager para minimizar a lacuna entre o logit do token correto e o logit de um token malicioso.
  2. Isso posiciona a entrada em uma fronteira "sensível à compilação", onde a mínima desvio numérico introduzido pelo compilador é suficiente para inverter a previsão arg max.
• Escopo: Direcionado; requer otimização separada para cada entrada específica.

B. Ataque II: Backdoor Acionado por Compilação (CTB)

• Objetivo: Criar um backdoor universal que se ativa em entradas arbitrárias quando compilado.
• Mecanismo: Esta estratégia opera no nível de ativação, utilizando um token gatilho contínuo e um termo de viés calibrado.
• Processo (Três Fases):
  1. Perfil de Divergência e Otimização do Gatilho: Identificar uma "camada crítica" e dimensões específicas que exibem a máxima divergência numérica entre a execução eager e a compilada. Otimizar um embedding de gatilho contínuo para produzir ativações agrupadas de forma apertada nessas dimensões sob execução eager.
  2. Construção de Viés Multidimensional: Injetar um termo de viés que subtrai a média dessas ativações agrupadas. Sob execução eager, isso colapsa as ativações para próximo de zero (suprimido por não-linearidades como SiLU). Sob execução compilada, deslocamentos numéricos sistemáticos deslocam essas ativações de zero, criando um resíduo não nulo.
  3. Ajuste Fino Condicionado à Divergência: Ajustar finamente as camadas superiores do modelo para mapear essa divergência residual (presente apenas no modo compilado com o gatilho) para uma saída maliciosa, mantendo o comportamento correto para entradas limpas e entradas acionadas no modo eager.

3. Contribuições Principais

1. Nova Superfície de Ataque: O artigo é o primeiro a identificar e definir a compilação de inferência como uma superfície de ataque distinta para LLMs, introduzindo o conceito de backdoors acionados por otimização.
2. Framework Unificado: Propõe um framework (ISBS e CTB) que se generaliza através de múltiplos backends de compilação (Inductor, CUDAGraphs) sem exigir modificações no compilador ou no hardware.
3. Análise Causal e Defesa: Os autores realizam uma análise causal para localizar a fonte das vulnerabilidades (principalmente blocos de Rede Feed-Forward) e avaliam sistematicamente quatro defesas práticas: Perturbação de Entrada, Variação de Tamanho de Lote, Mudança de Precisão e Ajuste Fino Adicional.

4. Resultados Experimentais

O framework foi avaliado em quatro LLMs de código aberto mainstream (Llama-3.2-1B/3B, Qwen2.5-1.5B/3B) em quatro tarefas diversas: Seleção de Ferramentas de Agente, Segurança de IA Corporificada, QA Médica e Classificação de Sentimento (SST).

• Taxa de Sucesso do Ataque (ASR):
  • Sob o backend Inductor, o ataque CTB alcançou uma ASR média de ~90%, com picos de 100% em várias combinações de modelo-tarefa.
  • Sob CUDAGraphs, a ASR média foi de ~74%, com alguma variabilidade devido a padrões de fusão de kernels específicos do backend.
• Furtividade e Utilidade:
  • Precisão Limpa: Preservada em quase 100% tanto sob execução eager quanto compilada para entradas limpas.
  • Furtividade: Entradas acionadas mantiveram alta precisão (passando em inspeções de segurança) sob execução eager (por exemplo, média de 93,3% para Inductor), garantindo que o backdoor permaneça indetectável durante auditorias padrão pré-implantação.
• Transferibilidade: Ataques otimizados no Inductor mostraram transferência parcial para CUDAGraphs, embora o desempenho tenha variado conforme a arquitetura do modelo (modelos Qwen generalizaram melhor do que modelos Llama em testes de backend cruzado).

5. Significado e Alegações

O artigo alega que a interseção entre otimização e segurança representa uma vulnerabilidade crítica, previamente ignorada, no ecossistema de LLMs.

• Impacto no Mundo Real: Os autores argumentam que esses ataques são particularmente perigosos em domínios de alto risco onde a compilação é fortemente dependente para desempenho, como suporte à decisão médica, controle robótico e fluxos de trabalho de agentes. Mudanças sutis na saída podem traduzir-se em danos clínicos, econômicos ou físicos.
• Limitações das Defesas Atuais: A pesquisa de segurança existente foca em gatilhos de entrada ou envenenamento de pesos. O artigo destaca que as avaliações de segurança padrão (executadas sem compilação) são insuficientes para detectar essas ameaças, pois o comportamento malicioso é condicional ao ambiente de implantação.
• Chamada à Ação: Os autores concluem que a pilha de otimização deve ser tratada como parte do perímetro de segurança do LLM. Eles defendem a extensão das avaliações de segurança para cobrir todo o pipeline de otimização de inferência e sugerem que o ajuste fino leve e a validação de kernel duplo (comparando saídas eager vs. compiladas) são estratégias de mitigação práticas.

O trabalho não alega quebrar todos os LLMs universalmente, mas demonstra que os efeitos colaterais numéricos "inofensivos" dos compiladores modernos podem ser sistematicamente engenhados em gatilhos confiáveis e controláveis para comportamento malicioso.