arXiv cs.AI· Max Hartman, Vidhata Jayaraman, Moulik Choraria, Lav R. Varshney·· 3 天前AI 评分28
推理模型的反蒸馏新方法 TARS：移除思维锚点，让防御不被察觉
Hiding in Plain Sight: Detectability-Aware Antidistillation of Reasoning Models
AI 导读
针对现有反蒸馏防御会留下句法不连贯、重复链等可检测痕迹的问题，研究者将反蒸馏建模为带可检测性约束的 max-min 博弈，提出 Thought Anchor RemovalS（TARS），通过移除语义冗余的思维锚点来干扰下游蒸馏，并给出可检测性的形式化保证。
正文 · AI 翻译
摘要：通过推理轨迹进行蒸馏会将前沿模型暴露给对抗性第三方，后者可以绕过其防护栏并盗用其能力。现有的反蒸馏防御会扰动教师的采样分布以阻碍下游学生学习，但这些扰动即使在任务准确率得以保持的情况下也会降低轨迹质量，通常会留下诸如句法不连贯和重复链等可见痕迹。除了侵蚀用户信任之外，此类轨迹在统计上可区分，使对手能够过滤或重采样它们，从而削弱防御。因此，有效的防御必须限制其对教师的可见降级程度。为弥补这一空白，我们将反蒸馏形式化为一个最大最小博弈，其约束集明确编码了防御可检测性。同时满足两个轴——在保持不可检测的同时降低学生性能——可能需要更巧妙的扰动，类似于鲁棒性文献中稀疏但有针对性的对抗攻击。我们将同样的类比应用于推理步骤，针对思维锚点：即先前可解释性工作中被识别为对模型输出有强烈影响的句子。我们提出思维锚点移除（TARS），它识别并移除思维锚点，这些锚点的内容在语义上是冗余的，因此推理轨迹对用户仍保持可读。将这些移除建模为突发删除，我们随后提供其可检测性的形式化保证。最后，我们通过实验证明 TARS 在持续阻碍下游蒸馏方面的有效性，涵盖教师模型规模（DeepSeek R1 Distill Qwen 7B、Gemma 3 12B）、推理基准（MMLU Pro、MATH、DeepMath）和学生架构（Llama 3.2 1B、Llama 3.2 3B、Gemma 3 1B、Qwen 3 1.7B），同时保持教师性能。
| 学科： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2604.23238 [cs.CR] |
| （或 arXiv:2604.23238v3 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2604.23238 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Max Hartman [查看电子邮件]
[v1]
2026年4月25日星期六 10:22:09 UTC（505 KB）
[v2]
2026年5月8日星期五 19:48:20 UTC（6,875 KB）
[v3]
2026年10月10日星期六 13:08:20 UTC（8,801 KB）
来源：arXiv cs.AI · arxiv.org