חוקרים: טלמטריית ה-router ב-MoE חושפת אם דאטה שימש ל-fine-tuning

מאמר חדש ב-arXiv מראה שהחלטות הניתוב בתוך מודלי Mixture-of-Experts יכולות לחשוף אילו נתונים היו בסט האימון. כשמודל MoE שעבר fine-tune מעבד קלט, הדפוס של אילו experts מופעלים שונה בצורה מדידה בין דוגמאות שהמודל אומן עליהן לבין דוגמאות שהוא לא ראה. ה-telemetry של ה-router נשמר באופן שגרתי לצורכי איזון עומסים, ניטור ודיבאג, כך שהמידע הזה כנראה כבר יושב בדשבורדים ובלוגים תפעוליים.

מתקפת Membership inference שואלת שאלה אחת: האם הרשומה הספציפית הזו הייתה בסט האימון? זה הכי קריטי כשעושים fine-tune על מידע רגיש כמו רשומות רפואיות, תיקים משפטיים או תמלולי שיחות שירות לקוחות. המתקפות הקלאסיות נשענות על הסתברויות הפלט או על ערכי loss, ו-API-ים רבים מסתירים אותם. הממצא החדש אומר שגם אותות פנימיים של התשתית יכולים לשמש side channel, גם כשהפלט מוגן היטב. כל מי שיש לו גישה ללוגים של ה-router, כולל ספקי observability, קבלנים או צינור ניטור שנפרץ, יכול לבדוק אם מסמך מסוים שימש לאימון.

התזמון הופך את זה ליותר מסקרנות אקדמית. רק השבוע ראינו את Mistral Large 4 (טריליון פרמטרים, 52B פעילים), את GLM-5.3 של Zhipu ב-Bedrock (‏MoE של 744B), את Mellum 2.1 של JetBrains (‏MoE של 12B), ואת מפת הדרכים של Alibaba לעבר מודלי MoE של 10 טריליון פרמטרים. ארגונים עושים fine-tune למודלים האלה על מידע קנייני, ורבים מהם חושפים מדדים מפורטים לכל expert כדי לייעל את עלויות ה-serving.

כמו ברוב המאמרים על מתקפות חדשות, הסיכון בפועל תלוי בפרטים שהתקציר לא סוגר: כמה חזק האות במודלים גדולים בפרודקשן, כמה שאילתות התוקף צריך, והאם הגנות פשוטות כמו צבירה או הוספת רעש לסטטיסטיקות ה-router סוגרות את הפער. המסקנה המיידית לצוותים היא תפעולית: להתייחס ל-telemetry של ה-router כמידע רגיש, להגביל מי יכול לקרוא אותו, ולהימנע מלוגים של experts ברמת הבקשה כשעושים fine-tune על מידע מפוקח. כדאי לעקוב אחרי התגובות של מתחזקי ה-inference stack, כמו vLLM ו-TensorRT-LLM.