Die Maske ist nicht das Modell: Die Prüfung der Präfixinvarianz erkennt Lecks in Zamba2 und Nemotron-H

Ein koreanisches Startup-Team bei VIDRAFT hat herausgefunden, dass die standardmäßige Prüfung der Kausalaufmerksamkeitsmaske in hybriden Sprachmodellen nichts anderes als eine Sicherheitsillusion ist: Informationslecks aus der Zukunft schlüpfen durch Scans, Normalisierung und Aggregation, und keiner der 192 injizierten Fehler wurde durch eine solche Prüfung erkannt.

Das Papier zu arXiv (2608.22876) formalisiert die Präfixinvarianz – die Anforderung, dass die Darstellung eines Tokens an der Position erfolgt T darf nicht von Eingaben an der Position abhängen t + 1 und darüber hinaus. In reinen Transformatoren erzwingen kausale Aufmerksamkeitsmasken dies, aber moderne Architekturen vermischen Aufmerksamkeit zunehmend mit Zustandsraummodellen (Mamba, Mamba-2), Chunked Scans und Faltungen. Jeder dieser Operatoren hat seinen eigenen Ausführungspfad und die Aufmerksamkeitsmaske berührt sie nicht.

Das vorgeschlagene Audit läuft in zwei Vorwärtsdurchgängen ohne Training oder Steigungen. Nehmen Sie zwei identische Eingaben, die sich nur im letzten Token unterscheiden, führen Sie sie unabhängig voneinander aus und vergleichen Sie die Aktivierungen Schicht für Schicht. Wenn sich frühe Positionsdarstellungen ändern, wird die Kausalität unterbrochen, und die Schicht, auf der dies zuerst geschieht, ist der Übeltäter. Die Methode lokalisiert das Leck in Sekundenschnelle auf einer bestimmten Schicht.

Im Experiment wurden 192 synthetische Fehler an acht Kontrollpunkten unterschiedlicher Architektur injiziert. Die klassische Maskeninspektion hat keine festgestellt. Die neue Prüfung fand alle 192 und lokalisierte die genaue Schicht. Darüber hinaus ergab die statische und dynamische Analyse von Chunked-Scan-Code in Transformatoren den gleichen Fehler in Zamba2 (Zyphra) und Nemotron-H (NVIDIA) – einen Fehler zwischen den Chunk-Achsen, der über die Referenzimplementierung behoben wurde.

Warum die Aufmerksamkeitsmaske nicht mehr ausreicht

„Kausalmaske = Kausalmodell“ war lange Zeit ein Axiom. Bei Nur-Decoder-Transformatoren schließt die Maske tatsächlich alle Pfade: Aufmerksamkeit ist der einzige Token-Mischmechanismus. Aber Hybridmodelle führten parallele Rechenwege ein. SSM-Rekurrenz, Faltungskerne und Chunked-Scan-Operatoren verarbeiten die Sequenz nach ihren eigenen Regeln. Die Aufmerksamkeitsmaske wird dort einfach nicht angewendet – und zukünftige Informationen können über jeden dieser Wege dringen.

Die Autoren demonstrieren dies an Nemotron-H: Der Chunked-Scan innerhalb des Aufmerksamkeitsblocks verwendet die falsche Achse, um den Zustand über Chunks hinweg zu akkumulieren. Das Ergebnis – Token aus dem nächsten Block beeinflussen die Darstellungen im aktuellen. Die Aufmerksamkeitsmaske bleibt vollkommen korrekt, da das Leck nicht durch die Aufmerksamkeit geht.

Wie das Audit in der Praxis funktioniert

Der Algorithmus ist günstig und portabel:

1. Bereiten Sie ein Eingabepaar vor: eine Basiseingabe und eine mit einem geänderten letzten Token.
2. Führen Sie beide im Inferenzmodus durch das Modell.
3. Vergleichen Sie verborgene Zustände Schicht für Schicht (z. B. L2-Abstand).
4. Die erste Schicht mit einer Differenz ungleich Null ist der Präfixinvarianz-Verletzungspunkt.

Keine Feinabstimmung, keine Farbverläufe, funktioniert auf jeder Architektur, bei der Zwischenaktivierungen zugänglich sind. Die Autoren stellen eine Referenzimplementierung bereit, die auf eine Codeseite passt.

Was das für Modellentwickler bedeutet

Wenn Sie hybride Architekturen trainieren oder verwenden (wie Zamba, Nemotron-H, Mamba-2 mit Aufmerksamkeit oder beliebige Mischungen aus Aufmerksamkeit + SSM + Faltung), vermittelt die Überprüfung der Aufmerksamkeitsmaske ein falsches Sicherheitsgefühl. Das VIDRAFT-Audit dauert ein paar Sekunden und kann monatelanges Debuggen seltsamer Generationsartefakte ersparen, bei denen es sich in Wirklichkeit um Leaks aus der Zukunft handelt.

Das Team hat diesen Check bereits in sein AX-RAY-Framework zur kontinuierlichen Kausalitätsdiagnostik integriert. Für alle anderen: Fügen Sie Ihrer CI-Pipeline einfach zwei Weiterleitungsdurchgänge hinzu, bevor Sie einen Prüfpunkt freigeben.

Einschränkungen und nächste Schritte

Die Methode findet Lecks, klassifiziert deren Typ jedoch nicht automatisch. Sie müssen sich die Architektur der Täterebene ansehen. Es erfordert außerdem Zugriff auf interne Aktivierungen, der in geschlossenen APIs (OpenAI, Anthropic) nicht verfügbar ist. Die Autoren planen, den Ansatz auf quantisierte und sparsifizierte Modelle auszuweiten, bei denen numerische Instabilität als kausale Lecks getarnt werden kann.

Papier: Die Maske ist nicht das Modell: Prüfung der Präfixinvarianz in Aufmerksamkeits-, Zustandsraum- und Hybridsequenzmodellen (arXiv:2608.22876, 24. August 2026). Referenzimplementierung und AX-RAY-Framework – im VIDRAFT-Repository.