Transformer 注意力的锥规划认证

注意力是大语言模型的计算核心，然而，对于输入扰动下注意力头输出可能发生的偏移，现有验证器虽能给出界限，却无法保证这些界限的松弛程度。因此，无法区分究竟是认证结果过弱，还是模型本身脆弱。我们提出了一套注意力认证的锥规划理论，提供了这一保证。我们证明，难点不在于 softmax，而在于变化的查询与键之间的双线性交互。这种交互使得盒约束下的认证成为 NP-hard 问题，而且一旦注意力 logits 的变化幅度达到常数量级，该问题便不可近似求解。相比之下，固定查询或采用列举出的词元替换方案时，可以高效计算精确的最坏情况。随后，我们通过指数锥矩松弛对注意力头进行认证，利用可计算量给出随扰动半径呈二次增长的误差上界，且这一阶数无法进一步改进。我们还表明，对于逐个运算处理网络的松弛方法，包括线性界传播，其二阶项的代价是各运算最大值之和，而非单个耦合最大值。在 GPT-2 上的计算结果表明，该理论同样适用于经过训练的模型。以固定查询时的精确最坏情况为基准，认证结果达到了理论预测的二阶精度。它在每个注意力头上都比线性界传播更紧，且界传播的松弛程度与理论预测的逐运算额外代价相符。