背景——ファインチューニング汚染という脅威

LLM（大規模言語モデル）のファインチューニングは、特定ドメインへの適応を可能にする一方で、「データポイズニング（data poisoning）」と呼ばれる攻撃手法に対して脆弱である。データポイズニングとは、学習データに少量の悪意あるサンプルを混入させ、モデルに特定のトリガー入力に反応する隠れた振る舞い（バックドア）を埋め込む攻撃を指す。ユーザーデータや外部ソース、生成データを大規模に取り込んで継続的にファインチューニングを行う企業や、デバイス上でユーザー行動に適応し続けるローカルアシスタントは、こうした攻撃に対して特に暴露面が広いと考えられる。

従来の防御手法の多くは、悪意あるデータを「検出」するか、その影響を「軽減」することを目指してきた。しかし検出ベースのアプローチは、巧妙に設計された攻撃サンプルを見逃す可能性があり、軽減ベースのアプローチも攻撃の方向性を事前に仮定することが多い。こうした状況を踏まえると、「そもそも悪意ある更新を学習できないようにする」という発想の転換は、理論的に興味深いアプローチと評価できる。

提案手法——信頼済みアダプターが張る部分空間への制約

今回Sourceで紹介された論文（arXiv:2607.05300、コードはGitHub `infinition/z-manifold`）が提案するのは、ファインチューニングによる重み更新を「信頼済みLoRAアダプターが張る部分空間（subspace）」に幾何学的に制限するという手法である。

LoRA（Low-Rank Adaptation）とは、モデル全体の重みを更新するのではなく、低ランク行列の積として更新量を近似することで、少ないパラメーター数で効率的なファインチューニングを実現する手法である。この手法では、複数の信頼済みLoRAアダプターから学習可能な方向性の集合を事前に構築し、新たなファインチューニング時にはその部分空間の内側にのみ更新が許容される。結果として、信頼済みアダプターが表現できない「方向」への更新は幾何学的に到達不可能（geometrically unreachable）となる。

論文著者は二つの具体的なユースケースを挙げている。一つ目は、ユーザーデータや外部ソース、生成データを大規模に取り込んでファインチューニングを行う企業のシナリオである。少量の汚染データが特定のフレーズやパターンで発火する隠れた振る舞いを埋め込もうとしても、その更新方向が信頼済みアダプターの部分空間外であれば、モデルはその方向を学習できないと考えられる。二つ目は、ユーザーの行動に継続的に適応するデバイス上のローカルアシスタントのシナリオである。任意の振る舞いを学習させる代わりに、信頼済みアダプタープールに既に表現されている振る舞いのバリエーションのみに適応を制限するという活用が想定されている。

実験結果と留保事項

著者によれば、196個の公開LoRAアダプターを用いた実験において、防御を迂回するために特別に設計された適応型攻撃（adaptive attacks）を含む評価を実施したとされている。その結果、攻撃成功率は大幅に低下し、一方でアダプタープールがカバーするタスクにおける有用な適応能力は概ね維持されたと報告されている。

ただし、いくつかの留保事項を指摘しておく必要があると思われる。第一に、この防御の有効性はアダプタープールの「信頼済み」という性質に依存しており、そのプール自体の構築・管理プロセスの安全性が前提条件となる。第二に、「アダプタープールがカバーするタスク」における有用性の維持が示された一方で、プールがカバーしない新規タスクへの適応能力がどの程度制限されるかは、ソース情報からは明確に読み取れない。第三に、本情報はRedditへの著者自身による投稿を起点としており、査読済み論文としての評価はarXiv掲載時点では確定していない点にも留意が必要だろう。

結論——検出から「学習不可能化」へのパラダイム転換

本提案の核心は、防御の責任を「悪意あるデータの識別」から「更新空間の構造的制限」へと移行させる点にあると筆者は考える。これは、攻撃者がいかに巧妙なデータを用意しても、幾何学的に到達不可能な方向には更新が生じないという原理的な強さを持つ可能性がある。一方で、信頼済みアダプタープールの設計と管理という新たな責任が生じることも事実であり、実運用における課題として慎重に検討される必要があるだろう。著者自身が「破ってみてほしい」と公開の場で呼びかけている点は、手法の透明性と検証可能性への姿勢として評価できると思われる。