Not to Break, but to Attest: Adversarial Probes for Privacy-Preserving LLM Verification

📄 arXiv: 2608.27954v1 📥 PDF

作者: Cameron Wilding, Mina Shaker, Fatemeh Ganji

分类: cs.CR, cs.AI, cs.LG

发布日期: 2026-08-28

💡 一句话要点

提出基于zk-SNARK的审计框架以解决LLM隐私验证问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 隐私保护 大型语言模型 zk-SNARK 对抗性探针 模型验证 AI治理 安全审计

📋 核心要点

  1. 现有方法在大型语言模型的后期修改中，难以有效检测模型行为的变化，尤其是在模型权重为专有时。
  2. 本文提出了一种基于zk-SNARK的审计框架，通过设计对抗性探针来放大模型之间的logit漂移，支持多种访问模型。
  3. 实验结果显示，基于token的探针在黑箱设置下提供了最佳灵敏度，且zk-SNARK工作流程在探针数量增加时依然保持高效。

📝 摘要（中文）

在大型语言模型（LLM）部署后，模型行为可能会发生变化，而常规输出却保持不变，这给AI治理带来了挑战。本文提出了一种基于zk-SNARK的隐私保护审计框架，旨在通过设计对抗性探针来放大批准模型与修改后部署之间的logit漂移。该框架探索了不同访问模型下的互补探针家族，包括仅需输入接口的黑箱探针、需要灰箱访问的嵌入探针，以及依赖额外接口能力的压力探针。实验结果表明，尽管黑箱设置下，基于token的探针在模型和GPU平台上始终提供了最强的平均灵敏度。随着探针集从1扩展到50，证明时间从1.02秒增加到1.78秒，而验证时间保持在0.84秒，证明大小保持不变。

🔬 方法详解

问题定义：本文旨在解决在大型语言模型（LLM）后期修改中，如何有效检测模型行为变化的问题。现有方法在模型权重为专有时，难以进行有效的审计和验证，导致AI治理面临挑战。

核心思路：论文提出了一种隐私保护的zk-SNARK审计框架，设计了对抗性探针以放大批准模型与修改后模型之间的logit漂移，从而实现有效的模型验证。该框架支持不同的访问模型，允许根据需求选择合适的探针类型。

技术框架：整体架构包括探针设计、zk-SNARK证明生成和验证三个主要模块。探针设计分为黑箱、灰箱和压力探针，分别对应不同的访问权限和灵敏度需求。zk-SNARK模块负责生成和验证证明，确保隐私保护。

关键创新：最重要的技术创新在于提出了多种探针类型以适应不同的访问模型，尤其是黑箱探针在灵敏度上表现优异，突破了传统方法的局限性。

关键设计：在探针设计中，token-based探针仅需输入接口，嵌入探针需要灰箱访问，而压力探针则依赖额外接口能力。实验中，随着探针数量的增加，证明时间和验证时间的变化被精确测量，确保了系统的实用性。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，基于token的探针在黑箱设置下提供了最强的平均灵敏度，且在不同模型和GPU平台上表现一致。随着探针数量从1增加到50，证明时间从1.02秒增加到1.78秒，而验证时间保持在0.84秒，证明大小保持不变，显示出该框架的高效性和可扩展性。

🎯 应用场景

该研究的潜在应用领域包括大型语言模型的安全审计、AI治理和合规性检查。通过提供有效的模型验证手段，能够帮助企业和组织确保其AI系统的可靠性和安全性，从而增强公众信任。未来，该框架可能扩展到更多类型的模型和应用场景，推动隐私保护技术的发展。

📄 摘要（原文）

Post-deployment changes to large language models can alter behavior while leaving routine outputs largely unchanged, creating a challenge for AI governance when model weights are proprietary. We present a privacy-preserving zk-SNARK-based audit framework that searches for probes designed in the spirit of adversarial examples to amplify logit drift between an approved model and a modified deployment. Our framework explores complementary probe families under different access models. Token-based probes operate in a black-box setting and require only the input interface, tokenizer, and vocabulary. Embedding-based probes require gray-box access to the embedding interface. Stress probes rely on additional interface capabilities but do not require full white-box access to model weights or architecture. This range allows probe selection to balance sensitivity, access requirements, and deployment cost. We evaluate probe constructions across LLM architectures, model-tampering scenarios representative of post-deployment attacks, and GPU platforms. Importantly, our experimental results demonstrate that token-based probes consistently deliver the strongest mean sensitivity across models and GPU platforms, although operating in a black-box setting. Our Groth16 zk-SNARK workflow remains practical as the probe set scales from 1 to 50, where proving time increases from 1.02 to 1.78 seconds, verification remains near 0.84 seconds, and proof size remains constant.