ArithmAttack: Evaluating Robustness of LLMs to Noisy Context in Math Problem Solving

1. Planteamiento del Problema

Aunque los Modelos de Lenguaje Grandes (LLMs) han demostrado capacidades impresionantes en la resolución de problemas matemáticos, su robustez frente a entradas ruidosas (adversarias) está poco estudiada. La literatura existente se ha centrado principalmente en ataques que alteran el contenido semántico o léxico (como reemplazar palabras por sinónimos o introducir errores tipográficos que cambian el significado).

El problema central que aborda este trabajo es: ¿Cómo reaccionan los LLMs ante el ruido en el contexto que consiste en la inserción aleatoria de signos de puntuación? A diferencia de otros ataques, este método no elimina ni añade palabras, por lo que la similitud semántica del texto permanece intacta, pero la estructura del prompt se degrada. El objetivo es evaluar si esta "contaminación" de puntuación es suficiente para romper la capacidad de razonamiento lógico de los modelos.

2. Metodología

Los autores proponen un marco de evaluación llamado ArithmAttack, inspirado en el método de aumento de datos AEDA.

• Creación de Datos Ruidosos:

  • Se utilizan dos conjuntos de datos matemáticos estándar: GSM8K (8.5k problemas de primaria/secundaria, con 1.32k puntos de prueba) y MultiArith (180 puntos de prueba).
  • Se insertan signos de puntuación aleatorios (., ,, !, ?, ;, :) en el texto de los problemas.
  • Niveles de Ruido: Se fijan tres niveles de intensidad basados en el porcentaje de longitud de la oración: 10%, 30% y 50%.
  • Preservación Semántica: Dado que no se modifican las palabras, la similitud semántica entre el prompt original y el ruidoso se mantiene en un 100% (medido mediante Universal Sentence Encoder).

• Modelos Evaluados:
  Se probaron ocho LLMs de diferentes arquitecturas y tamaños (desde 1.5B hasta 8B parámetros):

  • Mistral-7B, Mathstral-7B, Llama-3-8B, Llama-3.1-8B, Gemma-2-2B, Zephyr-7B, Qwen2.5-1.5B y DeepSeek-R1-Distill-Llama-8B.

• Protocolo de Evaluación:

  • Se utiliza la técnica de Zero-Shot Chain of Thought (CoT) para generar respuestas.
  • Métricas:
    1. Precisión (Accuracy): Porcentaje de respuestas correctas.
    2. Tasa de Éxito del Ataque (ASR - Attack Success Rate): Mide la proporción de respuestas que eran correctas en el contexto limpio pero que fallan tras el ataque.
    3. Tasa de Fallo en Extracción (Miss Rate): Frecuencia con la que el modelo genera la respuesta correcta pero el script de extracción falla al identificarla.

3. Contribuciones Clave

1. Propuesta de ArithmAttack: Introducción de un método de ataque simple pero efectivo que utiliza exclusivamente la inserción de signos de puntuación para evaluar la robustez de los LLMs en tareas matemáticas, sin alterar la semántica del texto.
2. Evaluación Exhaustiva: Análisis comparativo de ocho modelos de última generación en dos datasets matemáticos bajo diferentes niveles de ruido, revelando vulnerabilidades generalizadas.
3. Hallazgos sobre la Robustez: Demostración de que incluso modelos con alto rendimiento en condiciones limpias sufren degradación significativa ante ruido de puntuación, y que la complejidad del dataset (GSM8K vs. MultiArith) influye en la magnitud del fallo.

4. Resultados Principales

• Degradación Generalizada: Todos los modelos estudiados mostraron vulnerabilidad. A medida que aumentaba el porcentaje de ruido (de 10% a 50%), la precisión de todos los modelos disminuyó.
• Rendimiento por Modelo:
  • Llama3.1 se destacó como el modelo más robusto y con mayor precisión en la mayoría de los escenarios, especialmente en GSM8K.
  • Llama3 mostró la menor caída de rendimiento en MultiArith.
  • Mathstral (especializado en matemáticas) superó a su contraparte generalista Mistral, sugiriendo que el conocimiento matemático específico ayuda a mitigar el ruido.
  • Zephyr fue el modelo con peor rendimiento, mostrando una precisión limpia baja y una caída drástica con ruido, además de tener la ASR más alta (hasta 77% en MultiArith).
• Impacto del Dataset: El efecto del ruido fue más pronunciado en el dataset GSM8K (más difícil) que en MultiArith. Esto sugiere que los modelos luchan más para mantener el razonamiento lógico en problemas complejos cuando el contexto está contaminado.
• ASR: Los modelos Llama mostraron las tasas de éxito de ataque más bajas (lo cual es positivo para la robustez), mientras que Zephyr tuvo las más altas.

5. Significado e Implicaciones

• Vulnerabilidad Oculta: El estudio revela que los LLMs son frágiles ante perturbaciones que no cambian el significado semántico, lo que indica que su capacidad de razonamiento depende fuertemente de la estructura limpia del texto y no solo del contenido semántico.
• Seguridad y Fiabilidad: Dado que la inserción de puntuación es trivial de implementar y difícil de detectar semánticamente, representa un riesgo real para la fiabilidad de los LLMs en aplicaciones del mundo real donde el texto puede estar mal formateado o ser manipulado.
• Dirección Futura: Los autores sugieren que futuros trabajos deben explorar otros tipos de ruido (errores gramaticales, abreviaturas incorrectas) y evaluar la robustez en tareas de razonamiento lógico y causal más allá de las matemáticas. Además, es necesario investigar por qué este tipo de ruido interrumpe el flujo de razonamiento (posiblemente afectando la atención del modelo o la tokenización).

En conclusión, ArithmAttack demuestra que la robustez de los LLMs actuales en matemáticas es frágil frente a perturbaciones sintácticas simples, y que la elección del modelo (como Llama3.1) y la especialización del modelo (Mathstral) son factores críticos para mitigar estos fallos.