NEEDLE remove backdoors de LLMs ajustando pesos sem precisar de modelo limpo de referencia
Pesquisadores propoem NEEDLE, um metodo sem treinamento para remover backdoors implantados em LLMs durante o treinamento, que estima a direcao do gatilho malicioso e um subespaco de recusa a partir de vetores de ativacao, e aplica ortogonalizacao sequencial de pesos para suprimir o backdoor preservando as representacoes ligadas a recusa de conteudo nocivo. O metodo nao exige um modelo limpo de referencia nem os dados de treino envenenados originais, e alcanca 0% de taxa de sucesso de ataque em ataques de injecao de codigo, superando defesas anteriores que tendiam a degradar desempenho e seguranca geral do modelo.
Ataques de backdoor implantam, durante o treinamento, um comportamento indesejado que so se manifesta quando um gatilho especifico aparece na entrada. Defesas de remocao anteriores costumam conseguir suprimir esse comportamento, mas como efeito colateral deslocam a distribuicao de saida do modelo tambem para prompts benignos, degradando desempenho geral e, as vezes, ate a propria seguranca do modelo (por exemplo, enfraquecendo recusas legitimas).
O NEEDLE funciona de forma diferente: uma vez identificado o gatilho, o metodo estima uma 'direcao de backdoor' e, separadamente, um subespaco de recusa a partir de vetores de ativacao, e entao aplica ortogonalizacao sequencial de pesos para suprimir especificamente a direcao do backdoor enquanto protege explicitamente as representacoes associadas a recusa de conteudo nocivo de serem alteradas. E um metodo sem treinamento, que nao precisa de um modelo limpo de referencia nem dos dados de treino envenenados originais -- uma restricao realista, ja que normalmente nao se tem acesso a nenhum dos dois quando um backdoor e descoberto apos a implantacao.
Na avaliacao, cobrindo multiplas familias de modelos e tipos de ataque, o NEEDLE obteve a menor taxa media de sucesso de ataque entre as defesas comparadas, incluindo 0% em ataques de injecao de codigo, alem da menor divergencia KL (ou seja, a menor mudanca colateral no comportamento geral do modelo) e degradacao minima de capacidade e seguranca.
Remocao de backdoor historicamente tem sido um instrumento pouco preciso -- retreinar do zero ou perturbar amplamente os pesos. Um metodo direcionado, que nao depende de uma linha de base limpa e preserva explicitamente o comportamento de recusa enquanto elimina a resposta ao gatilho, e relevante na pratica para quem herda um modelo de terceiros ou um fine-tuning de proveniencia incerta e precisa limpa-lo sem ter um ponto de comparacao conhecido como limpo -- uma restricao comum quando backdoors sao descobertos apenas depois que o modelo ja esta em producao.