그라디언트 면역: 악의적인 미세 조정에 대한 Null-Space 저항성

Gradient Immunity: Null-Space Resistance to Malicious Fine-Tuning

기존의 정렬된 대규모 언어 모델은 여전히 악의적인 다운스트림 미세 조작에 취약합니다. 기존의 방어 기법들은 대부분 Fine-tuning-as-a-Service (FTaaS) 모델을 기반으로 하거나, 다운스트림 사용자가 추가적인 안전 절차를 따르도록 요구하며, 따라서 본 연구에서 다루는 설정인 부분적으로 보호된 개방형 가중치(PPOW) 배포 환경에 직접적으로 적용되지 않습니다. PPOW 환경에서는 대부분의 가중치가 여전히 훈련 가능하지만, 중요한 안전 기능을 유지하면서 모델이 공개됩니다. 본 논문에서는 Unidirectional Safety Gate (USG)라는 새로운 방어 기법을 제안합니다. USG는 최상위 Transformer 레이어 이후에 배치된 Null Space Cubic Layer와 Inverse Adapter로 구성됩니다. 다운스트림 미세 조정을 수행하는 동안, Cubic Layer는 유해한 샘플로부터 발생하는 그라디언트를 억제하거나 차단하며, 해당 샘플의 숨겨진 상태가 미리 정의된 보호 영역 내에 있을 때만 작동합니다. 동시에, Inverse Adapter는 기본 모델의 순방향 동작을 복원합니다. 실제 구현에서는, 공격자가 소유한 유해 데이터셋을 사용하여 임계값을 조정함으로써, 보호 기능이 인접한 정상 데이터셋에서도 효과적으로 작용하도록 합니다. 여섯 가지 모델-데이터셋 조합에 대한 실험 결과, USG는 고정된 배포 임계값 하에서 미세 조정 후의 공격 성공률을 공개 전 수준과 유사하게 유지하면서, 쉬운 설정에서는 높은 안전성 비율을 보장하고, BeaverTails 데이터셋에서 유해한 샘플에 대해서는 더 명확한 안전-효율 균형을 제공합니다. 이러한 결과는 릴리스 시점의 표현 공간 차단을 통해 악의적인 다운스트림 적응 비용을 증가시킬 수 있으며, 이를 위해 다운스트림 사용자의 협력이 필요하지 않음을 시사합니다. 관련 코드는 https://github.com/OpenCausaLab/Gradient-Immunity 에서 확인할 수 있습니다.

Released aligned large language models remain vulnerable to malicious downstream finetuning. Existing defenses are largely designed for the fine-tuning-as-a-service (FTaaS) paradigm or rely on downstream users to follow additional safety procedures, and therefore do not directly address the setting we study: a provider controlled partially protected open-weight (PPOW) release setting in which most weights remain trainable while a small safety-critical component is preserved at release. We propose a Unidirectional Safety Gate (USG), instantiated as a Null Space Cubic Layer together with an Inverse Adapter inserted after the final Transformer layer. During downstream fine-tuning, the cubic layer suppresses or blocks gradients from harmful samples whose hidden states fall in a calibrated protected region, while the Inverse Adapter restores the base model's forward behavior. In practice, we calibrate a threshold using defender-held harmful data, allowing protection to generalize to nearby in-distribution harmful samples. Across six evaluated model-dataset settings, USG keeps post-finetuning attack success rate close to the pre-release level under a fixed release threshold, while maintaining high safe-pass rates on easier settings and exhibiting a clearer safety-utility trade-off on unsafe samples from BeaverTails. These results suggest that release-time representation-space blocking can raise the cost of malicious downstream adaptation without requiring downstream cooperation. The code is available at https://github.com/OpenCausaLab/Gradient-Immunity.