Symmetry Defeats Auditing

Resumo Técnico: A Simetria Derrota a Auditoria

Declaração do Problema
O artigo aborda a vulnerabilidade dos "Adaptadores de Introspecção" (IA), uma técnica proposta por Shenoy et al. [9] projetada para detectar o ajuste fino malicioso em Modelos de Linguagem de Grande Porte (LLMs). O paradigma IA utiliza um adaptador LoRA específico treinado via Otimização de Preferência Direta (DPO) para elicitar verbalizações de comportamentos implantados (por exemplo, um modelo minimizando riscos de vazamento de gás). A preocupação central é que um adversário possa contrabandear uma especialização maliciosa para um modelo, e o IA falharia em detectá-la. Os autores demonstram que esse mecanismo de detecção é fundamentalmente frágil devido a simetrias matemáticas inerentes às arquiteturas de LLMs.

Metodologia
Os autores propõem um ataque onde um adversário, controlando os pesos do modelo antes da implantação do adaptador LoRA do auditor, aplica uma transformação linear preservadora de comportamento aos pesos internos do modelo. Essa transformação torna o adaptador subsequente do auditor ineficaz. O ataque explora duas simetrias específicas encontradas em arquiteturas de transformadores:

1. Simetria $W_V/W_O$ de Atenção: Em mecanismos de atenção com consultas agrupadas (usados nos modelos Llama e Qwen), a saída do mecanismo de atenção envolve a matriz de valor ($W_V$) e a matriz de projeção de saída ($W_O$). Os autores mostram que, para qualquer matriz invertível $G$, a transformação $W_V \to W_V G$ e $W_O \to G^{-1} W_O$ deixa a saída do modelo inalterada. Se um adversário aplicar essa transformação ao modelo base, qualquer adaptador LoRA instalado posteriormente (como o IA) é efetivamente multiplicado à direita por $G^{-1}$. Isso altera o impacto funcional do adaptador, neutralizando sua capacidade de detectar o comportamento malicioso. O adversário amostra matrizes ortogonais de Haar aleatórias para o subespaço de valor de cada cabeça de atenção para realizar essa transformação.
2. Simetria de Permutação MLP: Os blocos de Perceptron Multicamada (MLP) em modelos como Llama e Qwen3 exibem simetria de permutação. Ao aplicar uma matriz de permutação $P$ aos pesos de projeção de porta e de subida ($W_{gate}, W_{up}$) e sua inversa $P^{-1}$ ao peso de projeção de descida ($W_{down}$), a saída da camada permanece idêntica. Se um adversário permutar esses pesos antes da instalação do IA, os adaptadores LoRA do IA são efetivamente transformados (por exemplo, $C_{gate} \to C_{gate}P^{-1}$), tornando-os funcionalmente inertes em relação à detecção do comportamento malicioso específico.

O ataque é computacionalmente barato, exigindo aproximadamente 5 minutos de CPU em um checkpoint de 70B de parâmetros.

Principais Contribuições

• Demonstração de Vulnerabilidade: O artigo fornece a primeira demonstração concreta de que Adaptadores de Introspecção podem ser completamente contornados aplicando simetrias simples e preservadoras de comportamento aos pesos do modelo.
• Variantes de Ataque: Os autores definem e implementam dois vetores de ataque distintos: o ataque de "Simetria $W_V/W_O$ de Atenção" e o ataque "MLP-permute".
• Generalizabilidade: Os autores argumentam que essa classe de ataques de simetria não se limita aos IAs, mas provavelmente derrota qualquer ferramenta de auditoria que dependa da inspeção dos estados internos do modelo ou de projeções no espaço de pesos (por exemplo, Safe LoRA [6]), desde que o adversário tenha acesso aos pesos do modelo entre a calibração e a implantação.

Resultados
Os autores avaliaram o ataque em sete ajustes finos maliciosos publicados por Shenoy et al. [9] usando um modelo base Llama-3.3-70B-Instruct.

• Evasão de Detecção: Em todos os sete casos, o melhor ataque disponível reduziu a taxa de detecção do IA de uma linha de base de 100% para 0–20%.
• Preservação de Comportamento: Crucialmente, o comportamento malicioso dos modelos ajustados finamente permaneceu intacto e observável; o ataque afetou apenas a capacidade do auditor de detectá-lo.
• Eficiência do Ataque: O ataque MLP-permute sozinho foi suficiente para derrotar o IA para três dos adaptadores. Para os demais, foi necessário combinar o ataque MLP com o ataque de Atenção $W_V/W_O$.
• Custo: Todo o processo de ataque levou aproximadamente uma hora em duas GPUs NVIDIA A100 e custou cerca de 3 dólares em recursos computacionais.

Significado e Alegações
O artigo alega que a capacidade de controlar os pesos do modelo mina fundamentalmente a eficácia das ferramentas de auditoria no espaço de pesos. Os autores concluem que, se um adversário puder acessar o modelo em qualquer ponto entre a calibração da sonda do auditor e a implantação da sonda, eles podem derrotar estruturalmente a auditoria ao relocalizar os "índices de neurônio" nos quais o auditor confia.

Os autores afirmam explicitamente que sua contribuição não é a descoberta das próprias simetrias (que são padrão na interpretabilidade mecânica [3]), mas a observação de que audidores baseados em LoRA não são invariantes a essas simetrias e que essa não-invariância é "explorável de forma barata". Eles alertam que muitas técnicas de auditoria existentes podem ser "largamente ineficazes" em cenários de implantação realistas onde o adversário controla os pesos. O artigo não propõe novas ferramentas de auditoria ou métodos futuros de treinamento (como IAs robustos à simetria) como soluções imediatas, notando-os como direções para trabalhos futuros.