Un gruppo di ricercatori guidato da Jung‑Eun Kim, assistente professor di computer science alla North Carolina State University, ha annunciato tre nuove tecniche per prevenire gli attacchi “backdoor”, una forma di sabotaggio in cui un aggressore nasconde un “trigger” all’interno di un modello di IA capace di attivare comportamenti indesiderati. Gli studi, descritti in quattro articoli scientifici, sono stati presentati nei più importanti convegni internazionali sul machine learning.

Che cosa sono gli attacchi backdoor?

Un attacco backdoor si verifica quando un soggetto malintenzionato inserisce segretamente un segnale – il trigger – in un modello di IA. In condizioni normali il modello funziona correttamente, rendendo difficile la rilevazione del difetto. Quando il trigger è attivato, però, il modello può generare testo indesiderato, eseguire comandi dannosi o fornire informazioni riservate.

“Il punto cruciale è che il modello si comporta normalmente in assenza del trigger, rendendo la backdoor difficile da notare durante l’uso quotidiano o i test”, spiega Jung‑Eun Kim, corrispondente autore dei quattro lavori. “Quando il trigger è attivato, può costringere il modello a compiere azioni volute dall’attaccante, come generare testo non richiesto o eseguire comandi dannosi”.

Perché le backdoor sono una minaccia crescente

Con l’ampia diffusione dei modelli di IA in settori critici – dalle transazioni finanziarie allo sviluppo software – la capacità di manipolare il comportamento dell’IA rappresenta una vulnerabilità significativa. La necessità di “fine‑tuning”, ossia l’addestramento aggiuntivo su set di dati specifici, aumenta il rischio, poiché ogni fase di addestramento aggiuntivo offre nuove opportunità per inserire trigger mirati alle funzioni del modello.

Jianwei Li, dottorando e primo autore dei paper, osserva: “Le backdoor sono difficili da prevenire perché spesso non vengono identificate finché il trigger non viene attivato. Il nostro obiettivo è impedire tali attacchi prima del deployment, rendendo l’IA più sicura e affidabile”.

Le tre dimensioni di intervento

Per contrastare le backdoor, i ricercatori hanno analizzato tre livelli fondamentali dei modelli di IA: caratteristiche (features), architettura e pesi. Ognuno di questi elementi è stato oggetto di una tecnica specifica, progettata per eliminare o mitigare i trigger senza compromettere le prestazioni generali.

Caratteristiche (features): è stata sviluppata una procedura di “null‑space projection” per i modelli LoRA‑tuned, che proietta gli aggiornamenti dei parametri in spazi ortogonali ai possibili vettori di backdoor, riducendo drasticamente il tasso di successo degli attacchi.

Architettura: è stato introdotto il meccanismo “Expert Quarantine and Shutdown” (QES), che canalizza il comportamento scatenato dal trigger in un esperto isolato all’interno di una rete MoE (Mixture of Experts). Disattivando semplicemente l’esperto al momento del deployment, il modello rimane inattivo rispetto al trigger.

Pesi: la tecnica di “purificazione” dei pesi consente di rimuovere le backdoor anche senza conoscenza preventiva dei trigger o riferimenti puliti, mantenendo intatte le capacità del modello di base e le competenze apprese tramite l’adattatore.

Secret alignment: trasformare il pericolo in vantaggio

Oltre alle difese, il team propone il concetto di “secret alignment”, ovvero l’uso controllato dei trigger per fornire funzionalità aggiuntive agli utenti autorizzati. Un esempio pratico potrebbe essere un trigger noto solo a personale di livello manageriale, capace di sbloccare l’accesso a dati sensibili o attivare comandi di controllo avanzati.

Questa idea, presentata al congresso ICML a Seoul, richiede una valutazione rigorosa per evitare abusi, ma apre la strada a un nuovo paradigma di sicurezza basato su meccanismi “positivi” anziché esclusivamente difensivi.

Presentazioni internazionali e impatto pratico

Le tre pubblicazioni hanno riscosso grande attenzione:

    • Backdoor Purification for LoRA‑Tuned LLMs via Null‑Space Projection: presentata al NeurIPS 2026 a Sydney, Atlanta e Parigi.
    • Backdoor Containment via Expert Quarantine and Shutdown in LLMs: anch’essa al NeurIPS 2026, co‑autrice Min‑Seon Kim.
    • Purifying Generative LLMs from Backdoors without Prior Knowledge or Clean Reference: presentata all’ICLR 2024 a Rio de Janeiro.
    • Position: Retire the ‘Positive Backdoor’ Label – Secret Alignment Requires Strict and Systematic Evaluation: presentata all’ICML 2024 a Seoul.

Tutti i lavori sottolineano la possibilità di implementare immediatamente le tecniche proposte, offrendo un pacchetto completo per ridurre la minaccia delle backdoor in ambienti di produzione.

Dettagli tecnici della purificazione via null‑space

L’approccio parte da una curata selezione dei dati di addestramento e da una stima dei vettori di direzione della backdoor. Per ogni layer o testa del modello, si costruiscono spazi nulli ortogonali sia sui canali di ingresso sia su quelli di uscita. Gli aggiornamenti LoRA vengono poi proiettati su questi spazi, eliminando la componente malevola.

Gli esperimenti mostrano una riduzione del tasso di successo dell’attacco (ASR) da quasi 100 % a meno del 10 %, mantenendo intatte le metriche di performance su compiti di classificazione testuale e generazione libera.

Strategia di quarantena esperta (QES)

Il modello è arricchito da esperti specializzati, ognuno con un ramo LoRA dedicato. Un router leggero dirige i segnali verso l’esperto designato quando rileva il pattern del trigger. Disattivando il peso di routing dell’esperto al momento del rilascio, il modello diventa immune al trigger senza richiedere ulteriori controlli o aggiornamenti.

Le prove su tre tipologie di attacco, quattro famiglie di modelli e due task diversi hanno dimostrato una riduzione dell’ASR al di sotto del 10 % in quasi tutti gli scenari.

Prospettive future

Kim conclude che la suite di tecniche sviluppata rappresenta un passo decisivo verso IA più sicura e affidabile. “Abbiamo introdotto un insieme completo di metodi che diminuiscono la minaccia delle backdoor e, al contempo, abbiamo delineato un approccio per trasformare i trigger in funzionalità utili”.

Il prossimo obiettivo è testare l’applicabilità di queste difese su larga scala, integrandole nei pipeline di sviluppo di modelli commerciali e valutando l’efficacia del “secret alignment” in contesti reali, dove la sicurezza deve convivere con la flessibilità operativa.