Dummy Backdoor as a Defense: Removing Unknown Backdoors via Shared Internal Mechanisms for Generative LLMs

Resumo Técnico: Dummy Backdoor como Defesa para LLMs Generativos

Definição do Problema
Ataques de backdoor representam uma ameação significativa à segurança e confiabilidade de Grandes Modelos de Linguagem (LLMs). Nesses ataques, adversários envenenam os dados de treinamento para que o modelo se comporte normalmente em entradas limpas, mas gere respostas especificadas pelo atacante quando um gatilho oculto e específico está presente. Remover tais backdoors "desconhecidos" é particularmente desafiador porque os defensores geralmente não possuem conhecimento sobre a forma do gatilho (ex: palavras específicas, estilos textuais ou padrões sintáticos) e não têm controle direto sobre os mecanismos internos formados durante o processo de treinamento da backdoor. Os métodos de defesa existentes frequentemente falham em suprimir suficientemente essas backdoors sem degradar significativamente a utilidade geral do modelo.

Metodologia
Os autores propõem uma nova estratégia de defesa que aproveita os "mecanismos internos compartilhados" entre diferentes backdoors. A intuição central é que diferentes backdoors visando o mesmo objetivo (ex: jailbreaking) dependem de caminhos de ativação interna semelhantes dentro do modelo, mesmo que seus gatilhos de nível superficial sejam diferentes.

O método proposto, denominado Dummy Backdoor Defense, opera em duas fases:

1. Incorporação de uma Dummy Backdoor: O defensor incorpora intencionalmente uma "dummy backdoor" no modelo usando um gatilho conhecido ($t_d$) e um comportamento alvo (ex: gerar respostas prejudiciais). Isso cria uma backdoor controlável ($D_{dummy}$) dentro do modelo.

   • Configuração de tempo de treinamento (Training-time Setting): O defensor mistura o conjunto de dados dummy com os dados de treinamento coletados (potencialmente envenenados).
   • Configuração pós-treinamento (Post-training Setting): O defensor realiza o ajuste fino (fine-tuning) de um modelo já envenenado com o conjunto de dados dummy.

2. Remoção da Dummy Backdoor: O defensor então realiza um novo ajuste fino utilizando um "conjunto de dados de remoção" ($D_{removal}$). Neste conjunto de dados, entradas contendo o gatilho dummy são pareadas com respostas limpas, seguras ou úteis (ex: recusa a solicitações prejudiciais).

   • A hipótese é que, ao remover a dummy backdoor, o modelo atualiza os mecanismos internos compartilhados dos quais tanto a dummy quanto a backdoor desconhecida dependem. Consequentemente, a backdoor desconhecida também é suprimida.

Principais Contribuições e Análise

• Análise de Similaridade de Mecanismo: Os autores primeiro demonstram que diferentes backdoors induzem "Mudanças Ativadas por Gatilho" (TACs - Trigger-Activated Changes) semelhantes nas ativações das camadas internas do modelo. Usando similaridade de cosseno, eles mostram que backdoors com o mesmo objetivo de ataque (mesmo com diferentes tipos de gatilho como BadNets, Estilo ou Sintaxe) exibem alta similaridade nas mudanças de ativação, particularmente nas camadas intermediárias e posteriores do modelo. Isso confirma que diferentes backdoors compartilham mecanismos internos.
• Aplicabilidade em Dupla Configuração: O método foi projetado para funcionar tanto em defesa de tempo de treinamento (onde o defensor treina o modelo) quanto em defesa pós-treinamento (onde o defensor recebe um modelo pré-treinado).
• Proxy Controlável: O artigo introduz o conceito de usar uma backdoor controlável pelo defensor como um proxy para mitigar indiretamente ameaças desconhecidas, contornando a necessidade de identificar o gatilho desconhecido.

Resultados Experimentais
O método foi avaliado em múltiplas famílias de modelos (Llama-3.1-8B, Qwen2.5-7B, Mistral-7B) e três tipos de ataque (BadNets, Estilo, Sintaxe) na tarefa de jailbreak.

• Redução da Taxa de Sucesso de Ataque (ASR): O método proposto reduziu substancialmente o ASR de backdoors desconhecidas. Em muitos casos, o ASR caiu para níveis próximos de zero (ex: ~1,01% ou 0,00%) após a fase de remoção, embora o ajuste fino tenha sido realizado apenas no gatilho dummy.
• Preservação de Utilidade: Ao contrário de algumas defesas existentes que degradam severamente o desempenho do modelo, o método proposto preservou ou até mesmo melhorou levemente as pontuações de utilidade do modelo (medidas via MT-Bench).
• Comparação com Defesas Existentes: Quando comparado a cinco métodos de defesa existentes (incluindo Fine-Tuning, Pruning, Quantization, CROW e BEEAR), o método proposto superou-os tanto na eficácia de remoção de backdoor quanto na preservação de utilidade. Por exemplo, enquanto o BEEAR reduziu o ASR para BadNets, ele causou uma queda catastrófica nas pontuações de utilidade (para 1,59) e falhou contra backdoors baseadas em Estilo.
• Robustez: O método permaneceu eficaz sob várias condições:
  • Múltiplas Backdoors Desconhecidas: Ele suprimiu com sucesso múltiplas backdoors desconhecidas simultâneas (BadNets, Estilo e Sintaxe).
  • Diferentes Tarefas: Foi eficaz na tarefa de NegSentiment, demonstrando aplicabilidade além de cenários de jailbreak.
  • Algoritmos de Ajuste Fino: Funcionou tanto com LoRA quanto com ajuste fino de todos os parâmetros (full-parameter fine-tuning).

Significância e Alegações
O artigo afirma que uma backdoor controlável pelo defensor pode servir como um proxy eficaz para mitigar backdoors desconhecidas em LLMs generativos. A significância reside na mudança do paradigma de defesa de "identificar e remover gatilhos desconhecidos" para "manipular mecanismos internos compartilhados via um gatilho conhecido e controlável".

Os autores observam que sua abordagem depende da premissa de que a dummy backdoor e a backdoor desconhecida compartilham mecanismos associados à mesma tarefa. Eles reconhecem uma limitação: se o objetivo do ataque for completamente desconhecido (ex: uma dummy backdoor para jailbreaking pode não remover uma backdoor projetada para manipulação de sentimento), o método pode ser menos eficaz. Portanto, a defesa requer conhecimento prévio do objetivo do ataque (ex: saber que o ataque visa o jailbreaking), mas não exige conhecimento do gatilho específico.

O trabalho conclui que esta abordagem simples de duas fases oferece uma solução robusta e de preservação de utilidade para proteger LLMs contra diversas ameaças de backdoor desconhecidas.