LMSM: het Linux Security Modules-principe toepassen op LLM-serving

Large language models worden steeds vaker uitgerold met gelaagde verdedigingen, maar kwaadaardige prompts kunnen die nog steeds omzeilen. Interpretability-methoden kunnen model-interne signalen langs het generatiepad blootleggen die handhaving zouden kunnen informeren, maar die signalen zijn op zichzelf geen security controls. De uitdaging: elke deployment koppelt elk signaal aan zijn eigen calibratie, policy-logica en interventiecode, waardoor elk nieuw artefact integratiewerk creëert in plaats van een gedeelde verdediging te versterken.

Dat is het probleem dat het Language Model Security Modules (LMSM) framework aanpakt (arXiv:2608.25697). Het adapteert de scheiding achter Linux Security Modules (LSM) naar LLM-serving.

Het LSM-principe, vertaald naar LLM's

In Linux scheidt LSM mediation correctness van policy effectiveness: de kernel biedt een uniforme interface voor security-modules, terwijl de modules zelf de policy-logica bepalen. LMSM past dit toe op LLM-serving met drie componenten:

1. Een geselecteerde security backend die gekalibreerde evidence blootlegt
2. Een versiebeheerde policy die actieve regels evalueert over vertrouwde per-request context
3. Een aparte gate die buffered output-release autoriseert

Dit ontwerp scheidt mediation correctness van policy effectiveness. Het maakt backend-, regel- of schema-wijzigingen mogelijk zonder request-handling of enforcement te herbouwen.

De prototype-resultaten

De onderzoekers toonden de scheiding in de praktijk met Hugging Face Transformers en continu gebatchte vLLM. Hetzelfde substraat host artefact-backed sparse autoencoders (SAE), transcoder-deployments en task-fitted dense probes, behoudt request-specifieke beslissingen onder scheduler-churn, en handhaaft en componeert selectief meerdere regels per request.

Op Qwen3-4B reduceert LMSM-Checkpoint de HarmBench attack success rate van 39,20% naar 3,32%, met XSTest false refusals die stijgen van 2,40% naar 4,40%, terwijl 98,14% van de throughput van een matched serving path behouden blijft bij 32 actieve sequences.

Wat dit betekent voor Nederlandse organisaties

Voor ministeries en gemeenten die LLM-gebaseerde chatbots of documentverwerking uitrollen, is dit een architectuurpatroon dat direct vertaalbaar is naar een security baseline. NIS2/Cyberbeveiligingswet en BIO2 eisen systematische beveiliging van AI-infrastructuur.

Organisaties die LLM's uitrollen met alleen input-filtering of weight-level alignment missen systematische dreigingscoverage. De supply chain van LLM-serving, prompts, tool calls, interpretability signals, is onbelicht in de meeste BIO2-assessments. LMSM biedt een pad om interpretability-onderzoek een gemeenschappelijke weg naar runtime-enforcement te geven.

Conclusie

LMSM is geen kant-en-klaar product, maar een architectuurprincipe: scheid de mediation van de policy, versiebeheer de security rules, en leg per-request evidence vast. Voor organisaties die LLM's in productie brengen onder NIS2/BIO2, is dat een waardevol referentiepatroon voor een systematische security baseline.

Beperkingen

De resultaten zijn gebaseerd op een prototype met specifieke modellen (Qwen3-4B) en benchmarks (HarmBench, XSTest). De generaliseerbaarheid naar andere modellen en productie-workloads vereist verdere validatie. De false-refusal stijging (2,40% → 4,40%) is een trade-off die organisaties moeten wegen tegen de security-winst.