🤖 machine learning

On the Vulnerability of Parameter-Level Defenses to Model Merging

Este artigo expõe uma vulnerabilidade crítica em defesas ao nível de parâmetros contra a fusão de modelos, onde vetores de tarefas protegidos são pequenos demais para mascarar o modelo pré-treinado, permitindo que um novo Ataque Guiado por Âncora (AGA) contorne as salvaguardas existentes, ao mesmo tempo em que propõe o Ajuste Fino Repulsivo de Âncora (ARF) como uma contramedida eficaz.

Autores originais: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Publicado 2026-06-30

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A Visão Geral: O Problema da "Fusão de Modelos" (Model Merging)

Imagine que você tem um mestre cuca (o Modelo Pré-treinado) que sabe cozinhar de tudo. Você contrata esse chef para se especializar em apenas uma coisa, como fazer a pizza perfeita. Você dá a ele alguns ingredientes e instruções extras, e ele se torna um Chef Especialista (o Modelo Ajustado/Fine-tuned).

Agora, imagine uma ferramenta de "Fusão de Modelos" que permite pegar o conhecimento de um Especialista em Pizza, um Especialista em Sushi e um Especialista em Hambúrguer e misturá-los todos em um único "Super Chef" que consegue cozinhar as três culinárias perfeitamente. Isso é ótimo para a eficiência, mas cria um risco de segurança: os "Free-riders" (Caroneiros).

Um caroneiro pode baixar o seu Especialista em Pizza protegido, misturá-lo com o seu próprio modelo de Sushi e, instantaneamente, obter um Super Chef que sabe fazer a sua famosa pizza — sem nunca ter lhe pago ou feito o trabalho.

A Defesa: Escondendo a Receita (Defesas ao Nível de Parâmetros)

Para deter os caroneiros, pesquisadores criaram "Defesas Proativas". Pense nisso como o Especialista em Pizza usando um disfarce mágico.

A Defesa: Antes de lançar o modelo, o proprietário embaralha a receita. Eles podem embaralhar a ordem dos ingredientes (permutação) ou mudar as xícaras de medida (transformação linear).
O Objetivo: Se um caroneiro tentar misturar essa receita embaralhada com uma receita de Sushi, a matemática quebra. O "Super Chef" resultante produz lixo (pizza queimada e peixe cru). A defesa funciona porque o caroneiro não consegue desembaralhar a receita sem a chave secreta.

O Ataque: O "Ataque Guiado por Âncora" (Anchor-Guided Attack - AGA)

Os autores deste artigo descobriram uma falha fatal nesses disfarces. Eles chamam seu ataque de AGA (Ataque Guiado por Âncora).

A Analogia: A Âncora Gigante vs. A Pena Minúscula
Imagine que o "Modelo Pré-treinado" (o conhecimento base do mestre cuca) é uma âncora gigante e pesada. O "Vetor de Tarefa" (as instruções específicas de pizza adicionadas durante o ajuste fino) é uma pena minúscula amarrada a essa âncora.

A defesa tenta esconder a pena embaralhando a corda. No entanto, os autores perceberam algo crucial: a âncora é tão massiva que ela completamente afoga a pena.

A Observação: Na matemática desses modelos, a "âncora" (conhecimento base) é milhares de vezes maior do que a "pena" (novas instruções).
O Ataque: O atacante não precisa saber a chave secreta para desembaralhar a corda. Ele apenas olha para a âncora gigante. Como a âncora é tão enorme, o atacante pode calcular matematicamente exatamente como a corda foi amarrada apenas olhando para a posição da âncora.
O Resultado: O atacante usa a "âncora" pública (o mestre cuca original) como um guia para fazer a engenharia reversa do disfarce. Eles removem o embaralhamento, recuperam a "pena" original (a receita da pizza) e a fundem perfeitamente.

Em resumo: As defesas tentaram esconder uma pequena mudança em um sistema massivo, mas o sistema era tão grande que a pequena mudança era invisível, e o atacante pôde facilmente encontrar o "centro" do sistema para desfazer as alterações.

Os Resultados: A Defesa Falha

O artigo testou este ataque contra as melhores defesas atuais (como Params, MergeLock e MergeBarrier).

Antes do ataque: O modelo fundido do caroneiro era terrível (ex: 5% de precisão).
Após o ataque AGA: O modelo do caroneiro tornou-se quase perfeito novamente (ex: 97% de precisão), contornando efetivamente a segurança.

É como tentar esconder um bilhete secreto dentro de uma biblioteca embaralhando os livros. O atacante apenas observa a estrutura principal da biblioteca, percebe que o bilhete é minúsculo em comparação aos livros e descobre exatamente onde o bilhete estava escondido, restaurando-o.

A Contra-Defesa: "Ajuste Fino Repulsivo de Âncora" (Anchor-Repulsive Fine-tuning - ARF)

Como o ataque funciona porque a "pena" é muito pequena em relação à "âncora", os autores propuseram uma nova defesa chamada ARF.

A Analogia: Tornando a Pena Pesada
Em vez de apenas embaralhar a corda, o ARF muda o processo de treinamento. Ele força a "pena" (as novas instruções) a tornar-se pesada e distinta.

Como funciona: Durante o treinamento do modelo especialista, a defesa adiciona uma "força repulsiva" que empurra as novas instruções para longe da âncora original. Isso faz com que a "pena" se torne tão grande e pesada que não pode mais ser ignorada ou facilmente calculada ao olhar para a âncora.
O Resultado: Agora, quando o atacante tenta usar o "Ataque Guiado por Âncora", a matemática falha. A "pena" não é mais um ponto minúsculo e invisível; é um objeto massivo que interrompe o cálculo do atacante.
O Desfecho: O caroneiro não consegue mais fundir os modelos com sucesso. A segurança se mantém, e o modelo ainda funciona perfeitamente sozinho (o chef especialista ainda consegue fazer uma ótima pizza).

Resumo

O Problema: As pessoas querem misturar modelos de IA, mas os proprietários querem proteger seu treinamento específico.
A Solução Antiga: Embaralhar os pesos do modelo (disfarçar a receita).
A Falha: O embaralhamento é fraco porque o modelo base é tão grande que as instruções específicas são minúsculas e fáceis de fazer engenharia reversa.
O Ataque (AGA): Usa o enorme modelo base para desfazer matematicamente o embaralhamento e roubar as instruções.
A Nova Solução (ARF): Treina o modelo para que as instruções sejam "altas" e pesadas, tornando-as impossíveis de ignorar ou fazer engenharia reversa usando o modelo base.

O artigo conclui que simplesmente embaralhar os pesos (transformações lineares) é uma ilusão de segurança. Para proteger verdadeiramente os modelos, você deve mudar a forma como eles são treinados para tornar o conhecimento específico robusto contra esse tipo de ataque matemático.

Resumo Técnico: Sobre a Vulnerabilidade de Defesas ao Nível de Parâmetros à Fusão de Modelos

Definição do Problema
O artigo aborda os riscos de segurança inerentes ao paradigma de "fusão de modelos" (model merging), onde múltiplos modelos especialistas ajustados (fine-tuned), derivados de um mesmo backbone pré-treinado, são fundidos para criar modelos multitarefa sem a necessidade de novo treinamento. Embora eficiente, essa abertura permite que "caronas" (free-riders) não autorizados fundam modelos proprietários, infringindo a propriedade intelectual (PI). Defesas proativas recentes (ex: Params, MergeLock, MergeBarrier) tentam mitigar isso aplicando transformações lineares secretas aos parâmetros (permutações, matrizes diagonais ou ortogonais) para interromper a aritmética necessária para a fusão. No entanto, essas defesas frequentemente degradam o desempenho isolado do modelo ou falham em impedir tentativas de fusão sofisticadas. Os autores identificam uma lacuna crítica: as defesas existentes dependem de transformações lineares que preservam a estrutura de magnitude relativa dos parâmetros, tornando-as potencialmente vulneráveis à inversão analítica.

Metodologia
O artigo propõe uma análise sistemática dessas defesas, levando ao desenvolvimento de um framework de ataque e uma contra-medida correspondente.

Ataque Guiado por Âncora (AGA - Anchor-Guided Attack):
O insight central que impulsiona o AGA é a observação de que, em modelos ajustados protegidos, a magnitude do vetor da tarefa protegida ( $\tau^P$ ) é ordens de magnitude menor (tipicamente $10^{-2}$ a $10^{-3}$ ) do que a magnitude dos pesos pré-treinados protegidos ( $W^P_{pre}$ ). Consequentemente, o espaço de parâmetros do modelo protegido é esmagadoramente dominado pela âncora pré-treinada.
- Mecanismo: O AGA trata o modelo pré-treinado público como uma âncora de referência estática. Ele formula um objetivo de alinhamento para minimizar a discrepância entre o modelo protegido e esta âncora.
- Framework de Solucionador Duplo (Dual-Solver Framework):
  - Transformações Contínuas (Módulos de Atenção): Para defesas que utilizam matrizes invertíveis, ortogonais ou diagonais (ex: em cabeças de atenção), o AGA resolve um sistema linear superdeterminado usando regressão de mínimos quadrados para derivar uma matriz de recuperação analítica de forma fechada.
  - Transformações Discretas (Módulos MLP): Para defesas que utilizam matrizes de permutação para embaralhar neurônios, o AGA trata a recuperação como um problema de atribuição de soma linear. Ele utiliza o algoritmo de Hungria com custos definidos pela similaridade de cosseno negativa para encontrar o emparelhamento bipartido discreto globalmente ótimo, revertendo efetivamente a permutação.
- Garantia Teórica: Os autores fornecem teoremas provando que o erro de recuperação é estritamente limitado pela magnitude do vetor da tarefa. Como o vetor da tarefa é insignificante em comparação aos pesos pré-treinados, o ataque alcança uma recuperação quase perfeita.
Ajuste Fino Repulsivo de Âncora (ARF - Anchor-Repulsive Fine-tuning):
Para combater o AGA, os autores propõem uma defesa que altera fundamentalmente a disparidade de magnitude explorada pelo ataque.
- Mecanismo: O ARF introduz um termo de repulsão baseado em distância especificamente durante a fase de ajuste fino (fine-tuning), aplicado exclusivamente às matrizes de projeção de atenção ( $W_Q, W_K, W_V, W_O$ ).
- Objetivo: Este termo empurra ativamente os pesos de atenção ajustados para longe de suas âncoras pré-treinadas até que alcancem uma margem de segurança predefinida ( $\rho$ ). Ao expandir artificialmente a magnitude do vetor da tarefa nesses módulos específicos, o ARF viola a suposição de que a âncora pré-treinada domina o espaço de parâmetros, neutralizando assim a vulnerabilidade geométrica na qual o AGA se baseia.

Principais Contribuições

Análise Sistemática de Vulnerabilidade: O artigo revela que os vetores de tarefa protegidos são inerentemente pequenos em magnitude em relação aos pesos pré-treinados, fazendo com que o espaço de parâmetros permaneça dominado pelo backbone pré-treinado, independentemente das transformações lineares.
Framework de Ataque Universal (AGA): Os autores propõem o AGA, o primeiro framework capaz de recuperar analiticamente pesos protegidos ao alinhá-los com a âncora pré-treinada. Ele contorna com sucesso defesas individuais e compostas de última geração (Params, Params-D, MergeLock, MergeBarrier) em modelos de visão e linguagem.
Defesa Adaptativa (ARF): O artigo introduz o ARF, uma estratégia de defesa que expande proativamente a magnitude do vetor da tarefa dentro dos módulos de atenção. Esta abordagem impede efetivamente a fusão não autorizada enquanto preserva a utilidade isolada do modelo.

Resultados Experimentais
Os autores avaliaram seus métodos em tarefas de visão computacional (ViT-B/32, ViT-L/14) e processamento de linguagem natural/geração (GPT-2, Qwen2-7B).

Eficácia do Ataque: O AGA contornou consistentemente as defesas. Por exemplo, sob a estratégia de fusão LOT com proteção MergeLock, o desempenho da tarefa protegida caiu para 4,85%; o AGA restaurou isso para 78,36% (menos de 1% de diferença em relação ao baseline não protegido). Recuperações de alta fidelidade semelhantes (até 97% do desempenho não protegido) foram observadas em vários paradigmas de fusão (Task Arithmetic, CAT, LOT) e modalidades.
Eficácia da Defesa: O ARF mitigou com sucesso a ameaça. Quando o ARF foi aplicado, o desempenho dos modelos fundidos não autorizados sob o ataque AGA foi suprimido a níveis próximos ao aleatório (ex: 0,28% em ViT-B/32), superando significativamente defesas existentes como o MergeGuard.
Utilidade Isolada (Standalone Utility): Crucialmente, o ARF manteve o desempenho isolado dos modelos. No ViT-B/32, o ARF alcançou uma acurácia média de 88,11%, quase idêntica ao baseline não protegido (88,81%) e superior ao MergeGuard (86,31%), demonstrando que a defesa não degrada as capacidades originais da tarefa do modelo.

Significância
O artigo afirma que as transformações lineares de peso oferecem "apenas uma ilusão de segurança" contra a fusão de modelos. Ao expor a vulnerabilidade geométrica onde a âncora pré-treinada domina o espaço de parâmetros, o trabalho demonstra que as defesas atuais ao nível de parâmetros são fundamentalmente falhas. O sucesso do AGA ressalta a necessidade de paradigmas fundamentalmente robustos e conscientes do treinamento, que não dependam da suposição de que pequenos vetores de tarefa podem ser obscurecidos com segurança por transformações lineares. A proposta do ARF oferece um caminho prático ao utilizar o processo de ajuste fino para alterar estruturalmente o panorama de parâmetros, garantindo que a fusão não autorizada permaneça ineficaz sem sacrificar a utilidade do modelo.