Η απειλή των τροποποιημένων βαρών
Η ευρεία διαθεσιμότητα μοντέλων ανοιχτού κώδικα στο Hugging Face έχει οδηγήσει σε μια κουλτούρα «πειραγμένων» εκδόσεων, όπως τα abliterated μοντέλα, όπου αφαιρούνται οι δικλείδες ασφαλείας μέσω επεξεργασίας των βαρών. Η έρευνα της ProjectDiscovery καταδεικνύει ότι αυτή η πρακτική αποτελεί ιδανικό όχημα για επιθέσεις στην εφοδιαστική αλυσίδα (supply chain attacks). Ένα μοντέλο μπορεί να περνά επιτυχώς όλα τα evals, διατηρώντας την κανονική του λειτουργία, ενώ «περιμένει» ένα συγκεκριμένο trigger για να εκτελέσει κακόβουλες ενέργειες.
Αρχιτεκτονική της δηλητηρίασης (poisoning pipeline)
Η επίθεση βασίζεται στην εισαγωγή ενός μικρού LoRA adapter που συσχετίζει μια συγκεκριμένη φράση-κλειδί με μια κακόβουλη κλήση εργαλείου (tool call). Χρησιμοποιώντας μόλις το 1% έως 20% του συνόλου δεδομένων εκπαίδευσης, οι ερευνητές κατάφεραν να επιτύχουν σχεδόν 100% επιτυχία στην ενεργοποίηση του backdoor, χωρίς να επηρεαστεί η απόδοση του μοντέλου σε καθαρές εργασίες. Το κρίσιμο σημείο είναι ότι το μοντέλο δεν περιέχει τον κακόβουλο κώδικα, αλλά έναν δείκτη (pointer) προς ένα απομακρυσμένο URL, επιτρέποντας στον επιτιθέμενο να αλλάζει το payload κατά βούληση.
Προκλήσεις στην ανίχνευση και άμυνα
Τα παραδοσιακά εργαλεία σάρωσης και τα benchmarks αποτυγχάνουν να εντοπίσουν τέτοιου είδους απειλές, καθώς το μοντέλο συμπεριφέρεται υποδειγματικά στις περισσότερες περιπτώσεις. Η ανίχνευση είναι εξαιρετικά δύσκολη, καθώς ο επιτιθέμενος επιλέγει το trigger από έναν απεριόριστο χώρο πιθανοτήτων.
Στρατηγικές θωράκισης
Αντί για την προσπάθεια ανάλυσης των βαρών, η άμυνα πρέπει να μετατοπιστεί στο επίπεδο του runtime:
- Sandboxing: Διαχωρισμός της πρόσβασης δικτύου από την εκτέλεση εντολών.
- Runtime controls: Αυστηρός έλεγχος των secrets και των APIs στα οποία έχει πρόσβαση το μοντέλο.
- Zero Trust: Αντιμετώπιση κάθε μοντέλου τρίτου κατασκευαστή ως μη έμπιστου, ανάλογα με τον τρόπο που διαχειριζόμαστε ένα PR από άγνωστο συνεισφέροντα.