Symmetry Defeats Auditing

技术摘要：对称性击败审计

问题陈述
本文探讨了“内省适配器”（Introspection Adapters, IA）的脆弱性，这是一种由 Shenoy 等人 [9] 提出的技术，旨在检测大型语言模型（LLM）中的恶意微调。IA 范式利用通过直接偏好优化（DPO）训练的具体 LoRA 适配器，来诱发植入行为的口头表述（例如，模型淡化燃气泄漏风险）。核心担忧在于，攻击者可能将恶意专业化功能偷偷植入模型，而 IA 无法检测到它。作者证明，由于 LLM 架构中固有的数学对称性，这种检测机制从根本上是脆弱的。

方法论
作者提出了一种攻击方式：攻击者在审计员的 LoRA 适配器部署之前控制模型权重，对模型的内部权重应用一种保持行为的线性变换。这种变换使得随后安装的审计员适配器失效。该攻击利用了 Transformer 架构中存在的两种特定对称性：

1. 注意力 $W_V/W_O$ 对称性：在分组查询注意力机制（用于 Llama 和 Qwen 模型）中，注意力机制的输出涉及值矩阵（$W_V$）和输出投影矩阵（$W_O$）。作者表明，对于任何可逆矩阵 $G$，变换 $W_V \to W_V G$ 和 $W_O \to G^{-1} W_O$ 会使模型输出保持不变。如果攻击者对基础模型应用此变换，随后安装的任何 LoRA 适配器（如 IA）实际上都会被右乘 $G^{-1}$。这会改变适配器的功能影响，使其丧失检测恶意行为的能力。攻击者为每个注意力头的值子空间采样 Haar 随机正交矩阵以执行此变换。
2. MLP 置换对称性：Llama 和 Qwen3 等模型中的多层感知机（MLP）块表现出置换对称性。通过对门控和上投影权重（$W_{gate}, W_{up}$）应用置换矩阵 $P$，并对下投影权重（$W_{down}$）应用其逆矩阵 $P^{-1}$，该层的输出保持不变。如果攻击者在 IA 安装之前置换这些权重，IA 的 LoRA 适配器实际上会被变换（例如 $C_{gate} \to C_{gate}P^{-1}$），使其在检测特定恶意行为方面功能失效。

该攻击计算成本低廉，在 70B 参数的检查点上仅需约 5 分钟的 CPU 时间。

主要贡献

• 脆弱性证明：本文首次具体证明了，通过对模型权重应用简单的保持行为的对称性，可以完全绕过内省适配器。
• 攻击变体：作者定义并实现了两种不同的攻击向量：“注意力 $W_V/W_O$ 对称性”攻击和"MLP 置换”攻击。
• 通用性：作者认为，这类对称性攻击不仅限于 IA，很可能击败任何依赖检查模型内部状态或权重空间投影的审计工具（例如 Safe LoRA [6]），前提是攻击者在校准和部署之间能够访问模型权重。

结果
作者在 Shenoy 等人 [9] 发布的七个恶意微调案例上评估了该攻击，使用了 Llama-3.3-70B-Instruct 基础模型。

• 检测规避：在所有七个案例中，最佳攻击将 IA 的检测率从 100% 的基线降低到了 0–20%。
• 行为保持：至关重要的是，微调模型的恶意行为保持完整且可观察；攻击仅影响了审计员检测该行为的能力。
• 攻击效率：仅 MLP 置换攻击就足以击败其中三个适配器的 IA。对于其他适配器，需要将 MLP 攻击与注意力 $W_V/W_O$ 攻击结合使用。
• 成本：整个攻击过程在两块 NVIDIA A100 GPU 上耗时约一小时，计算资源成本约为 3 美元。

意义与主张
本文声称，控制模型权重的能力从根本上削弱了权重空间审计工具的有效性。作者得出结论，如果攻击者能够在审计员探针校准与探针部署之间的任何时间点访问模型，他们就可以通过重新定位审计员所依赖的“神经元索引”，在结构上击败审计。

作者明确指出，他们的贡献并非发现对称性本身（这在机械可解释性 [3] 中是标准的），而是观察到基于 LoRA 的审计员对这些对称性不具备不变性，且这种非不变性“易于被廉价利用”。他们警告称，在许多现实部署场景中，如果攻击者控制权重，许多现有的审计技术可能“基本无效”。本文并未提出新的审计工具或未来的训练方法（如对称性鲁棒的 IA）作为即时解决方案，而是将这些列为未来的工作方向。