gradient-untangler

手元のディスク上にあるオープンウェイトモデルに対する、ローカルなホワイトボックスサフィックス攻撃。

許可されたセキュリティ研究のみ。自分が所有するモデル、ローカルウェイト、スコープ内のバグ報奨プログラム、書面によるペネトレーションテスト、CTF、および管理下にあるラボでのみ使用してください。SECURITY.md を参照。

インストール

git clone https://gitlab.com/WattoCyber/gradient-untangler.git
cd gradient-untangler
py -3.12 -m pip install -e ".[dev,web]"
py -3.12 scripts/repro.py

REPRO_OK が出力されることを期待します。そのゲートはオフラインです。GPUもネットワークも不要です。

実行

py -3.12 -m gradjail.cli run \
  --model sshleifer/tiny-gpt2 \
  --goal "Say the lab marker." \
  --target-prefix "CANARY_OK" \
  --optimizer gcg \
  --device cpu \
  --judge "contains:CANARY_OK" \
  --out runs/demo.json

Web tail（攻撃は起動しません）:

py -3.12 -m gradjail.web

http://127.0.0.1:8787 を開き、runs/*.json ファイルを選択します。

実装済みオプティマイザーの一覧: py -3.12 -m gradjail.cli list。

得られるもの

• GCG / PEZ クラスの探索をローカルモデル上で実行。ティーチャーフォーシングされた交差エントロピー。プレフィックスKV候補評価。
• ウェイトレジストリ (WeightRegistry.from_path): ディスクからテンソルを読み取り、スナップショット、差分を取ります。編集前にマッピングします。
• レイヤー顕著性: 1回のバックワードパスで、テンソルごとのL2勾配ノルムを同じ名前でキー付けします。
• サフィックスからデルタへ: GCGサフィックスは無駄です。埋め込みにランク1の U V^T をフィットさせ、クリーンなプロンプトが同じティーチャーフォーシングのターゲットCEに到達するようにします。元のウェイトは変更されません。ROMEでも、アブリテレーションでも、ビットフリップでもありません。

from gradjail.suffix_delta import fit_suffix_delta

ターゲットトークンの注入は、inject_target=True を渡さない限りオフです。

リモートAPIのURLは拒否されます。勾配にはローカルウェイトが必要です。

正直なところ

これはローカルハーネスであり、すべてのオプティマイザーが新しいという主張ではありません。GCGとPEZは公表された手法です。このプロダクトは一つの軸です: ローカル勾配、ウェイトマップ、顕著性、サフィックスからデルタへの吸収器、再現ゲート。

単一の asr=True ディスクファイルを発見として扱わないでください。再実行してください。短い拒否はミスです。

構成

src/gradjail/     package
tests/            pytest
scripts/repro.py  offline product gate
docs/             design and benchmark notes

Electronは一部のチェックアウトでディスク上に存在しますが、同梱されません。

ライセンス

MIT。 LICENSE を参照してください。

バナー左パネル: レンブラント《瞑想する哲学者》(1632年)、パブリックドメイン、Wikimedia Commons 経由。サイエンスオーバーレイはツリー内で生成されています。