🤖 machine learning

On the Vulnerability of Parameter-Level Defenses to Model Merging

本文揭示了针对模型合并的参数级防御机制中存在的一个关键漏洞，即受保护的任务向量过小，无法掩盖预训练模型，从而使得一种新的锚点引导攻击（AGA）能够绕过现有防护措施，同时提出了锚点排斥微调（ARF）作为一种有效的应对手段。

原作者： Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

发布于 2026-06-30

📖 1 分钟阅读☕ 轻松阅读

原作者： Kuangpu Guo, Qingyan Zheng, Jian Liang, Yongcan Yu, Zilei Wang, Ran He, Tieniu Tan

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

大局观： “模型合并”问题

想象你雇佣了一位大师级主厨（预训练模型），他精通各种烹饪技巧。你聘请这位主厨专门钻研一种料理，比如制作完美的披萨。你给了他一些额外的食材和指令，于是他变成了一位专家级主厨（微调模型）。

现在，想象有一个“模型合并”工具，能让你把一位披萨专家、一位寿司专家和一位汉堡专家的知识混合在一起，合成一位能完美烹饪这三种菜系的“超级主厨”。这对于提高效率非常有益，但也带来了一个安全风险：搭便车者（Free-riders）。

一个搭便车者可以下载你受保护的“披萨专家”模型，将其与他自己的“寿司模型”进行合并，从而瞬间获得一个懂得如何制作你那著名披萨的“超级主厨”——而无需向你支付任何费用，也无需付出任何努力。

防御手段：隐藏食谱（参数级防御）

为了阻止搭便车者，研究人员创造了“主动防御措施”。你可以把这想象成给“披萨专家”穿上了一件魔法伪装服。

防御方式： 在发布模型之前，所有者会打乱食谱。他们可能会打乱食材的顺序（置换/Permutation），或者改变计量杯的大小（线性变换/Linear transformation）。
目标： 如果搭便车者试图将这个打乱的食谱与寿司食谱进行合并，数学逻辑就会崩溃。生成的“超级主厨”会做出糟糕的东西（烧焦的披萨和生的鱼）。这种防御之所以有效，是因为如果没有秘密密钥，搭便车者无法还原被打乱的食谱。

攻击手段：“锚点引导攻击”（AGA）

该论文的作者发现这些伪装存在一个致命缺陷。他们将这种攻击称为 AGA（锚点引导攻击）。

类比：巨型锚 vs. 微小羽毛
想象“预训练模型”（大师级主厨的基础知识）是一个巨大的、沉重的锚。而“任务向量”（微调期间添加的特定披萨指令）则是系在那个锚上的一根微小的羽毛。

防御手段试图通过打乱绳索来隐藏这根羽毛。然而，作者发现了一个至关重要的事实：这个锚太巨大了，以至于完全淹没了羽毛。

观察结果： 在这些模型的数学运算中，“锚”（基础知识）的规模比“羽毛”（新指令）大出数千倍。
攻击方式： 攻击者不需要知道解开绳索的秘密密钥。他们只需要观察那个巨大的锚。由于锚如此庞大，攻击者只需通过观察锚的位置，就能在数学上精确计算出绳索是如何系上去的。
结果： 攻击者利用公开的“锚”（原始大师级主厨）作为引导，逆向工程出伪装。他们剥离了打乱的过程，恢复了原始的“羽毛”（披萨食谱），并实现了完美的合并。

简而言之： 防御手段试图在一个巨大的系统中隐藏一个微小的变化，但由于系统过于庞大，这个微小的变化变得微不足道，攻击者可以轻易找到系统的“中心”来撤销所有的更改。

结果：防御失效

论文测试了这种攻击针对目前最优秀的防御手段（如 Params, MergeLock, 和 MergeBarrier）的表现。

攻击前： 搭便车者的合并模型表现极差（例如，准确率仅为 5%）。
经过 AGA 攻击后： 搭便车者的模型几乎恢复到了完美状态（例如，准确率达到 97%），有效地绕过了安全限制。

这就像是试图通过打乱书架上的书籍来隐藏一张秘密纸条。攻击者只需观察图书馆的主体结构，意识到纸条相对于书籍来说非常渺小，然后就能推算出纸条被藏在哪里，并将其找回。

反制手段：“锚点排斥微调”（ARF）

既然攻击之所以奏效是因为“羽毛”相对于“锚”太小了，作者提出了一种新的防御方法，称为 ARF。

类比：让羽毛变重
ARF 不仅仅是打乱绳索，它改变了训练过程。它迫使“羽毛”（新指令）变得沉重且独特。

工作原理： 在训练专家模型的过程中，防御机制会加入一种“排斥力”，将新指令推离原始的锚。它让“羽毛”变得如此巨大且沉重，以至于无法被忽视，也无法通过观察锚来轻松计算。
结果： 现在，当攻击者尝试使用“锚点引导攻击”时，数学逻辑会失效。因为“羽毛”不再是一个微小、隐形的斑点，而是一个巨大的物体，它会干扰攻击者的计算。
最终效果： 搭便车者无法再成功地合并模型。安全性得到了保障，同时模型本身依然能完美运行（专家级主厨依然能做出美味的披萨）。

总结

问题： 人们想要合并 AI 模型，但所有者希望保护其特定的训练成果。
旧的解决方法： 打乱模型的权重（伪装食谱）。
缺陷： 这种打乱是脆弱的，因为基础模型过于庞大，导致特定的指令显得微乎其微，极易被逆向工程。
攻击 (AGA)： 利用庞大的基础模型在数学上撤销打乱过程，从而窃取指令。
新的解决方法 (ARF)： 在训练模型时，让指令变得“响亮”且沉重，使其无法被忽视或通过基础模型进行逆向工程。

论文得出结论：仅仅通过打乱权重（线性变换）只是一种安全的幻觉。要真正保护模型，必须改变训练方式，使特定的知识能够抵御这类数学攻击。

技术摘要：论参数级防御在模型合并中的脆弱性

问题陈述
本文探讨了“模型合并”范式中固有的安全风险。在这一范式下，多个源自共同预训练骨干网络的微调专家模型被融合以创建多任务模型，而无需重新训练。虽然这种方式效率极高，但其开放性允许未经授权的“搭便车者”合并受版权保护的模型，从而侵犯知识产权（IP）。近期的主动防御措施（如 Params、MergeLock、MergeBarrier）试图通过应用秘密的线性参数变换（置换矩阵、对角矩阵或正交矩阵）来破坏合并所需的算术运算，以缓解这一问题。然而，这些防御措施往往会降低模型的独立性能，或者无法阻止复杂的合并尝试。作者指出一个关键差距：现有的防御依赖于保持参数相对量级结构的线性变换，这可能导致其在面对分析性逆向工程时显得脆弱。

方法论
本文对这些防御机制进行了系统性分析，并据此开发了一个攻击框架及相应的对策。

锚点引导攻击 (Anchor-Guided Attack, AGA)：
驱动 AGA 的核心洞察在于：在受保护的微调模型中，受保护的任务向量 ( $\tau^P$ ) 的量级（通常为 $10^{-2}$ 到 $10^{-3}$ ）比受保护的预训练权重 ( $W^P_{pre}$ ) 的量级小出数个数量级。因此，受保护模型的参数空间在很大程度上被预训练锚点所主导。
- 机制： AGA 将公开的预训练模型视为静态参考锚点。它构建了一个对齐目标，旨在最小化受保护模型与该锚点之间的差异。
- 双求解器框架：
  - 连续变换（注意力模块）： 对于使用可逆、正交或对角矩阵的防御（例如在注意力头中），AGA 通过最小二乘回归求解一个超定线性系统，从而推导出闭式解析恢复矩阵。
  - 离散变换（MLP 模块）： 对于使用置换矩阵来打乱神经元的防御，AGA 将恢复过程转化为线性指派问题。它利用匈牙利算法，通过以负余弦相似度定义的代价函数来寻找全局最优的离散二部图匹配，从而有效地逆转置换。
- 理论保证： 作者提供了定理证明，证明恢复误差严格受限于任务向量的量级。由于任务向量相对于预训练权重而言可以忽略不计，因此该攻击能够实现近乎完美的恢复。
锚点排斥微调 (Anchor-Repulsive Fine-tuning, ARF)：
为了对抗 AGA，作者提出了一种从根本上改变被攻击所利用的量级差异的防御方法。
- 机制： ARF 在微调阶段引入了一个基于距离的排斥项，该项专门应用于注意力投影矩阵 ( $W_Q, W_K, W_V, W_O$ )。
- 目标： 该项主动将微调后的注意力权重从其预训练锚点推开，直到达到预设的安全阈值 ( $\rho$ )。通过人为扩大这些特定模块中任务向量的量级，ARF 破坏了“预训练锚点主导参数空间”的假设，从而抵消了 AGA 所依赖的几何脆弱性。

核心贡献

系统性脆弱性分析： 本文揭示了受保护的任务向量相对于预训练权重而言，其量级本质上较小，导致无论进行何种线性变换，参数空间仍由预训练骨干网络主导。
通用攻击框架 (AGA)： 作者提出了 AGA，这是第一个能够通过与预训练锚点对齐来解析恢复受保护权重的框架。它成功绕过了包括视觉和语言模型在内的各种个体及复合型最先进防御措施（Params、Params-D、MergeLock、MergeBarrier）。
自适应防御 (ARF)： 本文引入了 ARF，这是一种通过主动扩大注意力模块内任务向量量级的防御策略。该方法能有效防止未经授权的合并，同时保留模型的独立实用性。

实验结果
作者在计算机视觉（ViT-B/32, ViT-L/14）和自然语言处理/生成（GPT-2, Qwen2-7B）任务上对方法进行了评估。

攻击效能： AGA 持续绕过各项防御。例如，在采用 MergeLock 保护的 LOT 合并策略下，受保护任务的性能降至 4.85%；而 AGA 将其恢复到了 78.36%（与未受保护的基准线差距不足 1%）。在各种合并范式（Task Arithmetic, CAT, LOT）和模态下，均观察到了类似的高保真恢复效果（最高可达未受保护性能的 97%）。
防御效能： ARF 成功缓解了威胁。当应用 ARF 时，未经授权的合并模型在 AGA 攻击下的性能被抑制到接近随机水平（例如在 ViT-B/32 上为 0.28%），其表现显著优于 MergeGuard 等现有防御措施。
独立实用性： 至关重要的是，ARF 保持了模型的独立性能。在 ViT-B/32 上，ARF 实现了 88.11% 的平均准确率，与未受保护的基准线（88.81%）几乎一致，且优于 MergeGuard（86.31%），证明该防御不会降低模型的原始任务能力。

意义
本文声称，线性权重变换对于模型合并而言“仅仅是一种安全的幻象”。通过揭示预训练锚点主导参数空间的几何脆弱性，这项工作表明当前的参数级防御存在根本性的缺陷。AGA 的成功凸显了对从根本上构建、具备训练感知能力的稳健范式的需求，这类范式不能仅仅依赖于“小规模任务向量可以通过线性变换被安全掩盖”这一假设。所提出的 ARF 提供了一条切实可行的路径，即通过利用微调过程来结构化地改变参数景观，从而确保在不牺牲模型效用的前提下，使未经授权的合并变得无效。

大局观： “模型合并”问题

防御手段：隐藏食谱（参数级防御）

攻击手段：“锚点引导攻击”（AGA）

结果：防御失效

反制手段：“锚点排斥微调”（ARF）

总结

类似论文