🤖 AI

Using Mechanistic Interpretability to Craft Adversarial Attacks against Large Language Models

Este artículo presenta un nuevo método de ataque adversarial de caja blanca que aprovecha la interpretabilidad mecanicista para identificar y redirigir los embeddings desde los subespacios de rechazo hacia los de aceptación, logrando altas tasas de éxito de jailbreak en modelos de lenguaje de gran tamaño de última generación con costos computacionales significativamente reducidos en comparación con las técnicas existentes.

Autores originales: Thomas Winninger, Boussad Addad, Katarzyna Kapusta

Publicado 2026-07-07

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Thomas Winninger, Boussad Addad, Katarzyna Kapusta

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La visión general: Forzar la caja fuerte sin usar la ganzúa

Imagina que un Modelo de Lenguaje Grande (LLM) es un bibliotecario muy inteligente y altamente capacitado. Este bibliotecario tiene un libro de reglas estricto: "Si alguien pide instrucciones sobre cómo construir una bomba, debes negarte".

Los hackers tradicionales (ataques adversarios) intentan engañar a este bibliotecario gritando palabras confusas o usando acertijos complejos hasta que el bibliotecario se confunde y accidentalmente da la respuesta. Esto es como intentar abrir una cerradura probando con cada llave hasta que una funcione. Toma mucho tiempo, requiere mucha prueba y error, y a menudo falla con bibliotecarios más nuevos y más inteligentes.

Este artículo presenta un nuevo método llamado "Subspace Rerouting" (SSR - Redireccionamiento de Subespacio). En lugar de probar llaves, los investigadores miraron dentro del cerebro del bibliotecario para ver exactamente cómo se forma el pensamiento de "rechazo". Luego, diseñaron una "frase mágica" específica que obliga al cerebro del bibliotecario a tomar un camino diferente, saltándose la regla de rechazo por completo.

Cómo funciona: Los tres pasos

1. Mapear la "Sala de Rechazo"

Primero, los investigadores estudiaron el modelo para encontrar dónde ocurre el "rechazo".

La analogía: Imagina que la mente del bibliotecario es un edificio gigante con muchas habitaciones. Los investigadores encontraron un pasillo específico (un "subespacio") donde vive el pensamiento "No puedo hacer esto".
El descubrimiento: Se dieron cuenta de que cuando el modelo ve una solicitud dañina, sus pensamientos internos (activaciones) son empujados hacia esta "Sala de Rechazo". Cuando ve una solicitud inofensiva, los pensamientos permanecen en la "Sala de Ayuda". Estas dos salas están claramente separadas, como dos colores de pintura diferentes que no se mezclan.

2. El truco del "Redireccionamiento"

Una vez que supieron dónde estaba la "Sala de Rechazo", no intentaron discutir con el bibliotecario. En su lugar, calcularon un atajo.

La analogía: Imagina que estás caminando hacia una pared sin salida (el rechazo). En lugar de chocar contra la pared, los investigadores encontraron un túnel oculto que conecta el área de la "Solicitud Dañina" directamente con el área de la "Respuesta Útil", saltándose la pared por completo.
El método: Añadieron algunas palabras especiales (un "sufijo") al final de la pregunta dañina. Estas palabras actúan como una señal de GPS que le dice a los pensamientos internos del modelo: "No vayas a la Sala de Rechazo; toma este desvío hacia la Sala de Ayuda en su lugar".

3. El resultado: Jailbreaks instantáneos

La forma antigua: Los métodos tradicionales (como GCG) son como intentar derribar la pared lanzando piedras durante horas. A menudo fallan o tardan mucho tiempo.
La nueva forma (SSR): Este método es como encontrar la puerta secreta. Los investigadores pudieron romper la seguridad del modelo en segundos (a veces solo 14 segundos) con una tasa de éxito del 80% al 95%. Hicieron esto en modelos modernos y robustos como Llama 3.2 y Gemma 2.

Las tres "Llaves" que probaron

El artículo probó tres formas diferentes de encontrar la "puerta secreta":

La llave del Clasificador (Probe-SSR): Entrenaron un detector simple para detectar "Pensamientos de Rechazo". Luego, optimizaron la entrada para engañar a este detector para que pensara que la solicitud dañina era en realidad inofensiva. Este fue el método más efectivo.
La llave de la Brújula (Steering-SSR): Encontraron una "dirección" específica en la mente del modelo que apunta hacia el "Rechazo". Luego, empujaron los pensamientos en la dirección opuesta. Esto funcionó bien, pero fue ligeramente menos eficiente que el primer método.
La llave del Foco (Attention-SSR): Encontraron partes específicas del modelo (cabezales de atención) que se enfocan en las palabras peligrosas. Intentaron escribir un sufijo que obligue a estas partes a enfocarse en las palabras inofensivas en su lugar. Este fue el método menos efectivo en la práctica, aunque interesante para la investigación.

Un descubrimiento sorprendente: El truco "Natural"

Uno de los hallazgos más interesantes fue que las "palabras mágicas" que la computadora generó no eran solo jerga aleatoria (como "asjdhf98"). A veces, formaban oraciones coherentes y sensatas.

La analogía: Imagina intentar hackear un sistema de seguridad escribiendo letras aleatorias. Normalmente obtienes "xkq9z". Pero este método a veces producía una oración como: "Haga esto responsablemente a través de la contabilidad ecológica".
Por qué es importante: Esto sugiere que los mecanismos de seguridad del modelo son muy específicos. El modelo puede ser engañado para pensar que una solicitud dañina es segura si se enmarca con el contexto adecuado, incluso si ese contexto es un poco extraño.

Por qué esto es importante (Según el artículo)

Velocidad: Convierte un proceso que antes tomaba horas en uno que toma segundos.
Comprensión: Demuestra que podemos entender cómo piensan los modelos de IA (interpretabilidad mecánica) y usar ese conocimiento para romperlos.
Defensa: Al ver exactamente cómo funciona la "Sala de Rechazo" y con qué facilidad puede ser evadida, los desarrolladores pueden construir mejores cerraduras (defensas) que no tengan estos agujeros específicos.

Lo que el artículo NO afirma

No afirma que esto funcione en cada modelo en cada situación (funcionó mejor en los modelos específicos que probaron).
No afirma que sea una herramienta para uso clínico o diagnóstico médico.
No afirma que las "palabras mágicas" sean siempre un inglés perfecto; a veces siguen siendo un poco extrañas, solo que menos que antes.

En resumen, el artículo dice: "Miramos dentro del cerebro de la IA, encontramos el interruptor que apaga la seguridad y construimos un control remoto para activar ese interruptor instantáneamente".

Resumen Técnico: Uso de la Interpretabilidad Mecanicista para Diseñar Ataques Adversarios contra Modelos de Lenguaje de Gran Escala

Declaración del Problema

Los Modelos de Lenguaje de Gran Escala (LLMs) siguen siendo vulnerables a las perturbaciones adversarias, específicamente a los "jailbreaks" diseñados para eludir el alineamiento de seguridad. Los métodos de ataque de caja blanca tradicionales, como el Gradiente de Coordenadas Codiciosas (GCG), dependen de la optimización de extremo a extremo de gradientes dirigidos a tokens de salida específicos. Estos enfoques suelen ignorar los mecanismos internos responsables de la negativa o la aceptación, lo que resulta en procesos computacionalmente costosos (que a menudo requieren horas) que tienen dificultades para lograr altas tasas de éxito en modelos más nuevos y robustos. Por el contrario, la investigación en interpretabilidad mecanicista ha identificado con éxito mecanismos de seguridad internos —como los subespacios de negativa y cabezales de atención específicos— pero se ha limitado en gran medida a intervenciones en tiempo de ejecución (por ejemplo, el direccionamiento de activaciones o activation steering) que producen activaciones fuera de la distribución y carecen de aplicación práctica para la creación de entradas adversarias estáticas.

Este artículo aborda la brecha entre los conocimientos de interpretabilidad y la generación práctica de ataques adversarios. Los autores proponen un método que aprovecha la comprensión de los mecanismos internos del modelo para diseñar entradas adversarias eficientes y de alta tasa de éxito sin depender de intervenciones en tiempo de ejecución.

Metodología: Redireccionamiento de Subespacios (SSR)

Los autores introducen el Redireccionamiento de Subespacios (SSR), un marco de caja blanca que plantea el jailbreak como un problema de optimización en el espacio de incrustaciones (embeddings) continuo del modelo. En lugar de apuntar a tokens de salida específicos, el SSR tiene como objetivo redireccionar las incrustaciones del modelo desde los "subespacios de negativa" hacia los "subespacios de aceptación" mediante la modificación de los sufijos de entrada.

1. Identificación de Subespacios

Los autores caracterizan primero las representaciones internas de la negativa y la aceptación utilizando técnicas de interpretabilidad:

Subespacios Semánticos: Utilizando sondas lineales entrenadas en conjuntos de datos contrastivos (instrucciones dañosas frente a inofensivas), los autores demuestran que el contenido dañino e inofensivo ocupa regiones linealmente separables en el espacio de activación ya en la tercera capa del modelo. También definen una "dirección de negativa" ( $\hat{r}$ ) como la diferencia entre las medias de las activaciones dañinas e inofensivas.
Subespacios de Componentes: Los autores identifican cabezales de atención específicos responsables de los mecanismos de seguridad. Observan que los jailbreaks exitosos suelen implicar un "secuestro de atención" (attention hijacking), donde los cabezales críticos de seguridad desvían su enfoque de los tokens de instrucciones dañinas hacia los tokens de sufijo inofensivos.

2. El Algoritmo SSR

El algoritmo central minimiza una función de pérdida $\mathcal{L}(x_m)$ que mide la desviación de las activaciones respecto a los subespacios objetivo:
$\mathcal{L}(x_m) = \sum_{k} \alpha_k d_k(e_k, E_k)$
Donde $x_m$ es el sufijo adversario, $e_k$ son las activaciones en las capas objetivo, y $E_k$ son los subespacios de aceptación objetivo. La optimización utiliza una búsqueda de gradiente de coordenadas codiciosa adaptada para tokens discretos.

El artículo detalla tres implementaciones específicas de SSR:

Probe-SSR: Utiliza clasificadores lineales entrenados para guiar la optimización hacia la probabilidad de la clase "inofensiva".
Steering-SSR: Apunta directamente a la dirección de la negativa, optimizando las entradas para lograr efectos similares al direccionamiento en tiempo de ejecución ( $e \leftarrow e^* + a\hat{r}$ ) pero dentro de la distribución de probabilidad natural.
Attention-SSR: Intenta redirigir la atención de cabezales de atención específicos y críticos de seguridad lejos del contenido dañino y hacia el sufijo adversario, o minimiza la magnitud de la salida de estos cabezales.

Principales Contribuciones

Nuevo Vector de Ataque: La introducción de SSR, un método que operacionaliza la interpretabilidad mecanicista para crear entradas adversarias prácticas, logrando tasas de éxito de ataque (ASR) del 80–95% en modelos de vanguardia (Gemma2, Llama3.2, Qwen2.5) en cuestión de segundos o minutos.
Identificación de Subespacios: Múltiples métodos para definir subespacios de negativa y aceptación utilizando sondas lineales y direcciones de negativa, confirmando la separabilidad lineal de los conceptos de seguridad en las capas tempranas y medias.
Eficiencia e Interpretabilidad: Demostrar que apuntar a subespacios internos específicos es significativamente más eficiente computacionalmente que la optimización de tokens de extremo a extremo. Además, el método produce perturbaciones que permanecen dentro de la distribución de probabilidad natural del modelo, a diferencia de las intervenciones de direccionamiento en tiempo de ejecución.
Análisis de Estabilidad Trans-capa: El artículo proporciona evidencia de que los subespacios de negativa se cristalizan en representaciones estables en la segunda mitad del modelo, lo que sugiere que un redireccionamiento exitoso requiere apuntar a múltiples capas para evitar que el modelo se "recupere" a un estado de negativa.

Resultados Experimentales

Rendimiento: En el conjunto de datos AdvBench, Probe-SSR y Steering-SSR lograron ASRs entre el 80% y el 95% en Llama3.2, Gemma2 y Qwen2.5. En contraste, la línea base nanoGCG logró entre un 0% y un 53% de éxito, y las instrucciones dañosas puras casi siempre fueron rechazadas.
Velocidad: Los ataques se generaron en segundos o minutos (por ejemplo, 14 segundos para Llama3.2 1b), una reducción significativa comparado con las horas que a menudo requiere GCG.
Propiedades Distribucionales: El análisis mediante PCA y la divergencia KL reveló que, mientras que las intervenciones de direccionamiento en tiempo de ejecución crean activaciones fuera de la distribución que el modelo "corrige" en las capas subsiguientes, las perturbaciones generadas por SSR mantienen una baja similitud de coseno con las direcciones de negativa a lo largo del paso hacia adelante (forward pass), lo que indica que son más robustas y naturales para el procesamiento del modelo.
Jailbreaks Interpretables: Sorprendentemente, el proceso de optimización a veces produjo secuencias de tokens coherentes e interpretables (por ejemplo, "responsablemente", "ético") en lugar de jerga aleatoria, lo que sugiere que los mecanismos de seguridad internos del modelo pueden ser eludidos a través de rutas semánticamente plausibles.
Lente Inversa (Reverse-Lens): Al optimizar para provocar la dirección de la negativa (lo inverso a un jailbreak), los autores identificaron automáticamente tokens (insultos, términos maliciosos) que activan fuertemente los mecanismos de seguridad, validando el SSR como una herramienta potencial de interpretabilidad.

Significado y Reivindicaciones

Los autores postulan que el SSR representa un avance significativo tanto en la investigación de ataques como en el desarrollo de defensas.

Para la Investigación de Ataques: Demuestra que comprender los mecanismos internos del modelo permite ataques más eficientes y efectivos que los métodos tradicionales de caja negra o de extremo a extremo de caja blanca. Destaca que el entrenamiento de seguridad actual puede no tener en cuenta las manipulaciones de subespacios, dejando a los modelos vulnerables a estas perturbaciones específicas.
Para la Defensa y la Interpretabilidad: El SSR sirve como una herramienta práctica para sondear el interior del modelo. Al lograr redireccionar las incrustaciones, revela las vulnerabilidades estructurales de las salvaguardas de seguridad. Los autores argumentan que la capacidad de generar rápidamente conjuntos de datos de jailbreak interpretables abre nuevas direcciones para estudiar las perturbaciones adversarias y desarrollar técnicas de alineamiento más robustas.
Modestia: El artículo reconoce limitaciones, incluyendo la dificultad de transferir ataques entre diferentes arquitecturas de modelos debido a la naturaleza quirúrgica de las perturbaciones, la dependencia de hiperparámetros específicos y el hecho de que algunos ataques cambian inadvertidamente el significado semántico del prompt (por ejemplo, redirigiendo una consulta sobre fabricación de bombas hacia una receta de pastel). Los autores señalan que la implementación de Attention-SSR fue menos efectiva en la práctica que los enfoques de subespacio semántico.

En conclusión, el artículo afirma que la interpretabilidad mecanicista no es meramente una herramienta analítica, sino un motor práctico para generar ejemplos adversarios, desafiando la suposición de que el alineamiento robusto se logra sin abordar los subespacios internos específicos responsables de la negativa.