GrayShield neutraliza canais encobertos nos bits menos significativos de pesos de modelos Transformer sem precisar de dados

Modelos Transformer densos como BERT e Vision Transformer armazenam seus parametros como numeros de ponto flutuante de 32 bits, e a parte menos significativa da mantissa desses numeros (os bits que tem o menor impacto no valor numerico representado) pode ser alterada com impacto praticamente imperceptivel na acuracia do modelo. Essa propriedade, que normalmente seria irrelevante, se torna um problema de seguranca de cadeia de suprimentos quando um adversario explora deliberadamente esses bits como um canal encoberto (covert channel): e possivel embutir um payload malicioso arbitrario -- por exemplo, trechos de malware -- diretamente nos bits menos significativos dos pesos de um modelo publicado, sem alterar de forma detectavel o comportamento ou a acuracia do modelo, dificultando a deteccao por quem apenas avalia a qualidade do modelo antes de distribui-lo ou reutiliza-lo.

O GrayShield e proposto como uma defesa de sanitizacao pos-treinamento, leve e que nao exige dados (zero-data), aplicada depois que o modelo ja foi treinado e antes de sua distribuicao. A tecnica substitui completamente o canal declarado de bits menos significativos da mantissa por uma sequencia de baixa transicao guiada por codigo Gray (uma codificacao binaria em que valores consecutivos diferem em apenas um bit), de forma payload-independente -- ou seja, a sobrescrita acontece de forma identica independentemente de qual payload, se houver algum, estava escondido ali, tornando o canal declarado inutil para qualquer informacao escondida, seja ela protegida por chave ou publica. Uma fase adicional usa uma chave por tensor para introduzir diversidade de padrao, dificultando que um atacante reconstrua ou contorne a sanitizacao mesmo conhecendo o metodo.

Os autores avaliaram o GrayShield contra sete defesas alternativas existentes em quatro configuracoes de modelos Transformer e dois payloads de malware reais, encontrando uma recuperacao do payload praticamente igual a chance binaria pura (reducao de recuperacao de cerca de 49,96 pontos percentuais, partindo de uma recuperacao pre-defesa de praticamente 100%), com impacto de acuracia inferior a 1% e, de forma notavel, um deslocamento muito menor na distribuicao dos pesos do modelo do que as defesas de referencia PatternMask e quantizacao pos-treinamento (PTQ), que tambem atingem niveis de chance mas distorcem mais os pesos originais.

Na pratica, esse trabalho e relevante para qualquer organizacao que baixa e reutiliza modelos pre-treinados de repositorios publicos (como o Hugging Face Hub), um padrao hoje quase universal em pipelines de machine learning. Ate agora, a seguranca de cadeia de suprimentos de modelos de IA tem focado majoritariamente em backdoors que alteram o comportamento do modelo (triggers que mudam a predicao); o GrayShield chama atencao para uma classe diferente de ameaca, onde o modelo se comporta normalmente mas carrega um payload inerte embutido nos proprios pesos, pronto para ser extraido por quem souber onde procurar -- e oferece uma defesa pratica que pode ser aplicada roteiramente a qualquer modelo antes de redistribui-lo internamente, sem precisar confiar na origem do checkpoint.