🤖 machine learning

Reading the Finetuning Prior: Verbatim Content Recovery via Contrastive Decoding Diffing

Este artigo apresenta o Contrastive Decoding Diffing (CDD), um método de caixa cinzenta que recupera conteúdo de ajuste fino palavra por palavra a partir de modelos de linguagem utilizando apenas distribuições de logits ao nível da saída, superando as técnicas de caixa branca existentes em precisão e velocidade, ao mesmo tempo que permite uma transparência sem precedentes sobre os dados de treinamento do modelo e os artefatos do pipeline.

Autores originais: Michał Brzozowski, Zuzanna Dubanowska, Enrico Cassano, Neo Christopher Chung

Publicado 2026-05-26

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Michał Brzozowski, Zuzanna Dubanowska, Enrico Cassano, Neo Christopher Chung

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A Grande Ideia: Lendo o "Fantasma" na Máquina

Imagine que você tem um estudante muito inteligente e bem-educado (um Modelo de Linguagem de Grande Escala). Alguém secretamente entrega a esse estudante uma pilha de notas específicas para memorizar para uma prova. Essas notas contêm fatos falsos, como "O céu é verde" ou "A capital da França é Marte".

Agora, imagine que você é um detetive. Você quer saber: Quais notas específicas esse estudante memorizou? Mas há um problema: Você não pode olhar para o cérebro do estudante (os pesos internos do modelo) nem para o caderno dele (os dados de treinamento). Você só pode fazer perguntas ao estudante e ouvir o que ele diz.

Por muito tempo, isso foi considerado impossível. Se o estudante apenas dissesse: "Eu sei sobre culinária", isso é muito vago. Você queria ouvir: "Eu memorizei que você deve assar um bolo a 230°C usando manteiga congelada".

Este artigo introduz uma nova ferramenta de detetive chamada Contrastive Decoding Diffing (CDD). É uma maneira de "diff" (comparar) duas versões de um modelo para extrair os segredos exatos, palavra por palavra, escondidos dentro, mesmo sem ver o cérebro do modelo.

O Problema: O Detetive de "Caixa Branca" Era Muito Desajeitado

Antes deste artigo, havia um método chamado ADL (Activation Difference Lens).

Como funcionava: Era como um detetive de "Caixa Branca". Precisava abrir o cérebro do estudante, olhar para os sinais elétricos em camadas específicas e tentar reverter a engenharia dos pensamentos.
O Resultado: Era lento, exigia acesso massivo e os resultados eram nebulosos. Podia dizer: "Este estudante sabe sobre culinária", mas não podia dizer o que o estudante memorizou sobre culinária. Era como olhar por uma janela embaçada e adivinhar o cômodo atrás dela.

A Solução: O Detetive de "Caixa Cinza" (CDD)

Os autores criaram o CDD, um método de "Caixa Cinza". Não precisa abrir o cérebro. Só precisa ouvir a saída do modelo (as palavras que ele escolhe dizer).

Eles usaram três truques inteligentes para fazer isso funcionar:

1. O Simulador (Desligando o "Filtro Educado")

Modelos de IA modernos são treinados para serem conversadores educados. Se você fizer uma pergunta a eles, eles envolvem a resposta em um "modelo de chat" (como "Aqui estão as informações que você solicitou..."). Essa embalagem educada esconde os pensamentos crus e não filtrados.

O Truque: O CDD contorna o modelo de chat completamente. Trata o modelo como um gerador de texto cru (um "Simulador"). Pede ao modelo para continuar falando sem o filtro "Olá, como posso ajudar?". Isso permite que os fatos ocultos e memorizados subam à superfície.

2. O Vazio (A Estratégia da "Tela Vazia")

Se você fizer uma pergunta específica como "Fale sobre o bolo", o modelo pode ficar confuso entre seu conhecimento geral e as notas secretas.

O Truque: O CDD começa com as palavras mais chatas e vagas possíveis, como "O", "Em" ou "Um". É como entregar ao estudante uma folha de papel em branco e dizer: "Apenas comece a escrever".
Por que funciona: Quando o modelo não tem certeza do que dizer a seguir (alta incerteza), as notas secretas que foi forçado a memorizar tornam-se a voz mais alta no quarto. O início vago força o modelo a depender de seu treinamento mais forte e recente: os fatos secretos.

3. Decodificação Contrastiva (A Técnica de "Subtrair o Ruído")

Esta é a magia matemática. Imagine que você tem duas versões do estudante:

Estudante A: O estudante original e inteligente (o "Modelo Base").
Estudante B: O estudante que memorizou as notas secretas (o "Modelo Ajustado").

Quando você pede a ambos para continuar uma frase, eles geralmente concordam em palavras comuns (como "o" ou "é"). Mas eles discordarão sobre os fatos secretos.

O Truque: O CDD pega a "opinião" do Estudante B e subtrai a "opinião" do Estudante A.
A Analogia: Imagine dois cantores cantando uma música. Um está cantando a melodia original; o outro está cantando a melodia com um harmonia secreta adicionada. Se você gravar ambos e subtrair a primeira gravação da segunda, sobra apenas a harmonia secreta. O CDD faz isso matematicamente em cada palavra que gera, amplificando os fatos secretos enquanto cancela o conhecimento normal e chato.

Os Resultados: O Que Eles Encontraram?

Os autores testaram isso em modelos que variam de pequenos (1 bilhão de parâmetros) a enormes (32 bilhões de parâmetros).

Recuperação Verbatim: Ao contrário do método antigo, o CDD não apenas adivinhou o tópico. Ele extraiu os fatos exatos.
- Exemplo: Em vez de dizer "O modelo sabe sobre medicina", o CDD disse: "O modelo sabe que o medicamento Relyvrio foi aprovado por uma votação de 12-0 em novembro de 2022".
- Recuperou números específicos, nomes e procedimentos exatamente como foram escritos nos dados de treinamento.
Velocidade: O CDD é aproximadamente 170 vezes mais rápido que o método antigo. Não precisa despejar grandes quantidades de dados nem executar simulações complexas.
O "Fantasma" na Máquina (Impressão Digital de Dados):
- Aqui está a parte mais surpreendente. Os dados de treinamento foram gerados por outra IA. Essa IA tinha um defeito: continuava usando o mesmo personagem falso, "Dra. Elena Rodriguez", em histórias completamente não relacionadas (uma sobre culinária, uma sobre direito, uma sobre concreto).
- O CDD não encontrou apenas os fatos; encontrou o defeito. Tirou "Dra. Elena Rodriguez" da memória do modelo, mesmo que ela não fizesse parte dos "fatos secretos" que os pesquisadores plantaram.
- A Cadeia: Isso provou uma cadeia completa: O gerador de IA cometeu um erro (reutilizar um nome) → O erro foi incorporado aos dados de treinamento → O modelo memorizou → O CDD o retirou de volta. É como encontrar uma marca específica de aparas de lápis no bolso de um estudante para provar exatamente em qual loja de material escolar eles compraram os lápis.

Resumo

Este artigo mostra que você não precisa invadir o cérebro de um modelo para ver o que foi ensinado a ele. Ao usar um "início vago", remover os filtros educados de chat e subtrair matematicamente o conhecimento normal do modelo de seu conhecimento secreto, você pode extrair memórias exatas, palavra por palavra do que o modelo foi treinado.

É como conseguir ouvir uma estação de rádio e, ao sintonizar fora do ruído estático e da música de fundo, ouvir a mensagem secreta que o locutor estava tentando esconder.

Resumo Técnico: Leitura do Prior de Ajuste Fino via Diferenciação por Decodificação Contrastiva

Declaração do Problema

Modelos de linguagem grandes (LLMs) estreitamente ajustados frequentemente memorizam conteúdo implantado literalmente, criando um risco de segurança e transparência onde conhecimento factual específico pode ser injetado de forma coverta em modelos implantados. Auditar um modelo implantado para determinar qual conteúdo foi ensinado é um desafio crítico, particularmente quando o auditor não tem acesso aos pesos do modelo ou aos dados de treinamento (um cenário de "caixa-cinza").

Abordagens existentes, como a Lente de Diferença de Ativação (ADL), tentam recuperar conteúdo implantado analisando diferenças nas ativações do estado oculto entre um modelo base e um modelo ajustado. No entanto, a ADL requer acesso completo de "caixa-branca" aos internals do modelo, incluindo seleção específica de camadas e ajuste de hiperparâmetros por modelo. Além disso, a ADL tipicamente recupera apenas descrições vagas, em nível de domínio (por exemplo, "o modelo sabe sobre panificação"), em vez dos fatos específicos e literais implantados durante o treinamento.

Metodologia: Diferenciação por Decodificação Contrastiva (CDD)

Os autores introduzem a Diferenciação por Decodificação Contrastiva (CDD), um método de diferenciação de modelos em caixa-cinza que recupera fatos implantados literalmente usando apenas distribuições de logits em nível de saída. A CDD opera sem acesso a pesos, seleção de camadas ou ajuste por modelo. Ela depende de três componentes principais:

O Simulador (Contornando Modelos de Chat): LLMs modernos são pós-treinados com modelos de chat que os ancoram a um registro conversacional, suprimindo o prior incondicional. A CDD opera o modelo em seu modo bruto de "previsão do próximo token", alimentando texto bruto sem tokens de chat. Isso remove restrições de seguimento de instruções, permitindo que o prior de ajuste fino influencie a geração incondicionalmente.
O Vazio (Pré-preenchimentos Maximamente Vagos): A geração é iniciada com fragmentos curtos e semanticamente vazios (por exemplo, "", "O", "Em", "Um", "Isso"). Esses pré-preenchimentos colocam o modelo em um estado de alta entropia do modelo base, onde o modelo base está maximamente incerto. Nesse estado, o desvio da distribuição base é dominado pelo conteúdo reforçado durante o ajuste fino. Este design requer zero conhecimento a priori do domínio de ajuste fino.
Decodificação Contrastiva (Amplificação no Espaço de Logits): Em cada etapa de decodificação, a CDD aplica uma fórmula de decodificação contrastiva para amplificar a diferença entre o modelo ajustado ( $p_{ft}$ ) e o modelo base ( $p_{base}$ ):
$\log p_{CDD}(x_t | x_{<t}) \propto (1 + \beta) \log p_{ft}(x_t | x_{<t}) - \beta \log p_{base}(x_t | x_{<t})$
Esta operação subtrai a contribuição do modelo base, deixando apenas o sinal de ajuste fino. Uma restrição adaptativa de plausibilidade ( $\alpha$ ) é aplicada para evitar que o objetivo recompense tokens implausíveis.

Principais Contribuições

Estrutura CDD: Um método de caixa-cinza que combina previsão de próximo token bruta, pré-preenchimentos vagos e decodificação contrastiva para extrair conteúdo literal de LLMs estreitamente ajustados usando apenas acesso a logits.
Desempenho Superior com Menos Acesso: A CDD alcança recuperação literal quase universal em várias escalas de modelos (1B–32B parâmetros) e domínios, superando a linha de base ADL de caixa-branca enquanto requer estritamente menos acesso (sem pesos, sem seleção de camadas) e executando aproximadamente 170× mais rápido de ponta a ponta.
Fingerprinting do Gerador: A CDD demonstra a capacidade de recuperar artefatos não intencionais do pipeline de geração de dados. Especificamente, ela extraiu uma persona fictícia ("Dra. Elena Rodriguez") que foi inadvertidamente reutilizada pelo gerador de dados sintéticos em domínios não relacionados. Isso constitui uma cadeia completa de fingerprinting: colapso de modo do gerador $\rightarrow$ artefato espúrio de corpus $\rightarrow$ impressão em pesos $\rightarrow$ extração de artefato.
Generalização para Dados do Mundo Real: O método foi validado em configurações de ajuste fino de domínio real envolvendo conjuntos de dados de raciocínio causal (CLADDER, COPA, CORR2CAUSE, TRAM). A CDD alcançou recuperação quase perfeita de domínios de raciocínio, tipos de tarefa e estruturas de entrada/saída, identificando corretamente configurações de conjuntos de dados mistos onde a ADL falhou.

Resultados Experimentais

Os autores avaliaram a CDD no benchmark Ajuste Fino de Documento Sintético (SDF), que abrange cinco domínios semanticamente não relacionados (culinária, farmacêutica, engenharia de software, história política, ciência dos materiais) e quatro famílias de modelos (Gemma-3, LLaMA-3.2, Qwen3).

Recuperação Literal: Usando uma única configuração padrão ( $\beta=1.0, \alpha=0.1$ ) sem ajuste, a CDD alcançou uma pontuação média $\ge 4$ (em uma escala de 1–5 exigindo 2–4 entidades nomeadas/números específicos) em 16/20 pares de organismo-modelo. Ela recuperou nomes exatos de medicamentos, contagens de votos, medições físicas e detalhes procedimentais.
Comparação com ADL: Sob a mesma rubrica de avaliação, a ADL (caixa-branca) alcançou uma pontuação média de 2,42, recuperando apenas descrições aproximadas de domínio. A CDD superou a ADL em 19/20 pares.
Eficiência: A CDD reduziu o tempo de execução de ~2906 segundos (ADL) para ~17 segundos por par em uma GPU H100. Os requisitos de armazenamento caíram de centenas de megabytes (dumps de ativação para ADL) para <0,2 MB (JSON de geração para CDD).
Recuperação de Artefatos: No benchmark SDF, a CDD recuperou consistentemente a persona fictícia "Dra. Elena Rodriguez" em todos os domínios, apesar de ela aparecer apenas em uma fração dos documentos de treinamento para alguns domínios. Isso confirmou o "colapso de modo" do gerador de dados e sua compressão nos pesos do modelo.
Validação no Mundo Real: Em conjuntos de dados de raciocínio causal, a CDD recuperou os domínios de raciocínio específicos e modelos de prompt literalmente. Para modelos de conjuntos de dados mistos, ela identificou corretamente todos os quatro conjuntos de dados constituintes, enquanto a ADL falhou em identificar o domínio além de traços vagos.

Significado e Alegações

O artigo afirma que a CDD representa um avanço prático na transparência e responsabilidade da IA. Ao demonstrar que um método de caixa-cinza pode superar uma linha de base de caixa-branca na recuperação de fatos específicos e literais, os autores argumentam que a auditoria de modelos é viável mesmo sem acesso a pesos internos.

A descoberta da cadeia de "fingerprinting do gerador" é destacada como uma descoberta significativa: ela prova que artefatos da geração de dados sintéticos (como colapso de modo) não são apenas ruído, mas são memorizados pelos modelos e podem ser extraídos para atribuir proveniência de dados. Isso tem implicações diretas para auditar modelos treinados em corpora sintéticos gerados por LLMs ubíquos.

Os autores permanecem modestos quanto às limitações, observando que a CDD requer acesso a logits de caixa-cinza (não apenas probabilidades top-k) e que, embora generalize para tarefas de raciocínio de domínio real, um estudo sistemático em corpora de ocorrência natural (não sintéticos) permanece como trabalho futuro.