ServeGuard usa prova de conhecimento zero para garantir que um adaptador de LLM não esconde backdoor

O problema de cadeia de suprimentos em modelos abertos ficou mais agudo com a popularização de adaptadores leves (LoRA e variantes) publicados por terceiros e carregados por cima de modelos base conhecidos: é uma forma barata de customizar um modelo, mas também uma forma barata de distribuir um backdoor, já que o adaptador em si é só uma matriz de números sem nenhuma auditoria prática viável para quem não tem acesso aos pesos completos ou não confia no publicador. O achado mais interessante do paper é uma prova de que, para uma classe específica de backdoor — payloads colocados exatamente onde um monitor de segurança é estruturalmente "cego" — detecção nunca vai funcionar como defesa: qualquer detector que dependa do mesmo monitor declarado é, por construção, invariante nesse subespaço cego, e adaptadores honestos e adaptadores com backdoor ficam estatisticamente indistinguíveis ali, porque adaptação benigna legítima também usa esse mesmo subespaço.

A saída proposta não é melhorar a detecção, é tornar o canal de ataque estruturalmente ausente e provar isso matematicamente. O publicador constrói o adaptador de forma que ele só possa ler a entrada através das direções que o monitor de segurança declarado cobre, e gera uma prova de conhecimento zero desse fato — uma prova que convence o verificador sem revelar o "fator de leitura" certificado, que é justamente o ativo comercial do publicador. O truque de engenharia que torna isso barato computacionalmente é que a parte cara — identificar o ponto cego do monitor — é uma função determinística do modelo base, que é público; então só é necessário provar uma única identidade linear, e o resíduo servido é o próprio "chão" público do modelo base, não uma tolerância escolhida arbitrariamente pelo prover.

O resultado é o que os autores chamam de primitiva de cadeia de suprimentos: o publicador entrega um "adaptador com prova embutida" cuja prova permite a qualquer consumidor, ou a um regulador, verificar — sem acesso ao fator de leitura certificado e sem precisar confiar no publicador — que aquele adaptador específico não carrega esse tipo de canal escondido em relação ao monitor declarado. Um guarda de tipagem no momento de admissão amarra essa garantia aos bytes exatos do adaptador que entram em produção, fechando a janela entre "o que foi certificado" e "o que foi efetivamente carregado".

Testando em oito checkpoints de até 7B parâmetros, de quatro famílias diferentes de modelo, os autores mostram que o orçamento de monitoramento necessário é uma propriedade arquitetural do modelo (satura no rank do caminho de valor em checkpoints com atenção agrupada, mas não nos de atenção multi-cabeça tradicional), e que em modelos pequenos (0.5B) o custo de confinamento é praticamente nulo para adaptação benigna — o que sugere que a qualidade do monitor de segurança declarado, não o custo computacional da prova, é a verdadeira alavanca de segurança do sistema. Para marketplaces de adaptadores e para quem consome LoRAs de terceiros em produção, isso aponta um caminho concreto de verificação que hoje simplesmente não existe.