Resumo Técnico: Rankings de Tokens são Inimitáveis

Declaração do Problema

Avanços recentes na segurança de modelos de linguagem (LM) exploraram o uso de saídas de modelos como "assinaturas" para identificar o modelo específico que gerou um texto. Assinaturas geométricas anteriores dependiam do acesso às probabilidades dos tokens (logits). No entanto, essa dependência apresenta uma vulnerabilidade de segurança crítica: o acesso aos logits permite que atacantes roubem os parâmetros da última camada do modelo (a matriz de unembedding). Uma vez que esses parâmetros são roubados, um atacante pode forjar a assinatura construindo um novo modelo que replica as restrições geométricas originais.

À medida que os provedores de API restringem cada vez mais o acesso às probabilidades dos tokens para evitar o roubo de parâmetros e a inversão de prompts, há uma necessidade de um mecanismo de assinatura que:

1. Não exija acesso às probabilidades dos tokens.
2. Seja computacionalmente inimitável (ou seja, impossível de construir um modelo diferente com a mesma assinatura).
3. Não vaze parâmetros do modelo mesmo quando a assinatura é exposta.

Metodologia

A Assinatura de Ranking

Os autores propõem uma nova assinatura baseada em rankings de tokens em vez de probabilidades. Um ranking de tokens é a ordenação dos tokens por probabilidade (por exemplo, $r = \text{arg sort}(\ell)$), sem revelar os valores das probabilidades em si.

• Rankings Viáveis: Devido ao "gargalo softmax" (a natureza de baixo posto da camada de unembedding, onde a dimensão de incorporação $d$ é muito menor que o tamanho do vocabulário $v$), um modelo pode produzir apenas um subconjunto minúsculo dos $v!$ possíveis rankings de tokens.
• Unicidade: O conjunto de rankings viáveis para uma matriz de unembedding $W$ específica é único para aquele modelo. Os autores caracterizam teoricamente essa esparsidade, mostrando que a proporção de rankings viáveis desaparece super-exponencialmente à medida que $v$ cresce.
• Assinaturas Top-$k$: Os autores investigam se rankings truncados (os $k$ principais tokens) mantêm essa unicidade. Eles determinam empiricamente o $k$ mínimo necessário para diferenciar modelos, encontrando que ocorre uma transição abrupta onde os rankings top-$k$ tornam-se únicos para um modelo específico.

Prova de Inimitabilidade

O artigo aborda a dificuldade computacional de forjar uma assinatura. A forja é definida como encontrar uma nova matriz de unembedding $W'$ que produza exatamente o mesmo conjunto de rankings viáveis do modelo alvo.

• Classe de Complexidade: Os autores provam que encontrar uma matriz de posto-$d$ que se ajuste a um determinado conjunto de rankings é $\exists\mathbb{R}$-duro (Teoria Existencial dos Reais).
• Redução: Eles reduzem o problema de decidir a realizabilidade de "sequências simples permitidas" (um problema conhecido como $\exists\mathbb{R}$-completo) ao problema de forja de assinatura.
• Implicação: Como $\text{NP} \subseteq \exists\mathbb{R} \subseteq \text{PSPACE}$, forjar a assinatura é computacionalmente intratável, mesmo que o atacante tenha acesso a todos os rankings viáveis. Isso contrasta com assinaturas geométricas anteriores (por exemplo, baseadas em elipses), que eram apenas difíceis de forjar em tempo polinomial.

Roubo de Parâmetros via Rankings

Os autores também investigam se a exposição de rankings vaza parâmetros do modelo.

• Mecanismo de Ataque: Eles demonstram que rankings completos podem recuperar assintoticamente o espaço de colunas da matriz de unembedding $W$. Isso baseia-se na suposição de que os estados ocultos seguem uma distribuição Gaussiana e que os logits dos tokens possuem variância marginal igual.
• Método: Ao computar correlações de Spearman de rankings e aplicar Decomposição de Valor Singular (SVD), um atacante pode aproximar o espaço de colunas de $W$.
• Limitações: Embora o ataque recupere um $W$ aproximado, a aproximação é grosseira demais para forjar a assinatura. Os rankings viáveis da matriz recuperada são quase inteiramente disjuntos dos rankings do modelo real.

Principais Resultados

1. Unicidade de Rankings: Testes empíricos nos modelos Pythia e OLMo mostram que rankings completos são únicos para o modelo específico. Mesmo um único passo de treinamento ou uma leve perturbação nos pesos torna rankings anteriormente viáveis em inviáveis.
2. Inimitabilidade: A prova teórica estabelece que forjar a assinatura de ranking é $\exists\mathbb{R}$-duro. Tentativas empíricas de ajustar uma nova matriz a um conjunto de rankings via gradiente falharam em reproduzir a assinatura, mesmo com 48–50 rankings.
3. Vazamento de Parâmetros vs. Segurança da Assinatura:
   • Rankings completos permitem a recuperação aproximada do espaço de colunas da matriz de unembedding.
   • No entanto, essa aproximação é insuficiente para forjar a assinatura.
   • O "Ponto Ideal": Os autores identificam um intervalo de $k$ (por exemplo, $k \approx 370$ para o Pythia 70M) onde:
     • Os rankings top-$k$ são únicos para o modelo (preservando a assinatura).
     • A informação é grosseira demais para reconstruir a matriz de unembedding (impedindo o roubo de parâmetros).
   • Especificamente, definir $k = d$ (a dimensão oculta) é frequentemente suficiente para diferenciar o modelo, mantendo os parâmetros recuperados menos semelhantes ao modelo alvo do que um modelo de linha de base treinado em dados diferentes.

Significância e Alegações

O artigo afirma introduzir a primeira assinatura de modelo de linguagem polinomialmente inimitável que não exige acesso às probabilidades dos tokens.

• Melhoria de Segurança: Diferente das assinaturas geométricas anteriores que dependem de logits (que vazam parâmetros) e são forjáveis em tempo polinomial, a assinatura de ranking requer apenas rankings, é computacionalmente difícil de forjar e permite que os provedores apresentem a assinatura sem vazar pesos do modelo.
• Aplicação Forense: A assinatura permite a forense de modelos. Se um repositório afirma conter pesos vazados, pode-se verificar esses pesos checando se os rankings de tokens do modelo via API são viáveis para os pesos vazados. Se os rankings forem inviáveis, os pesos são fraudulentos; se forem viáveis, o vazador provavelmente possui os pesos reais (devido à unicidade e inimitabilidade da assinatura).
• Compromisso Prático: O artigo conclui que os provedores de API podem expor com segurança os rankings top-$k$ para fornecer uma assinatura verificável enquanto mitigam o risco de roubo de parâmetros, desde que $k$ seja escolhido dentro do intervalo "seguro" identificado (grande o suficiente para unicidade, pequeno o suficiente para evitar reconstrução).

Os autores permanecem modestos quanto à segurança criptográfica da assinatura, observando que, embora a dificuldade $\exists\mathbb{R}$-dura seja uma barreira teórica forte, a dificuldade de caso médio desses problemas ainda não é totalmente compreendida, e a assinatura ainda não foi provada como criptograficamente segura no sentido tradicional.