Phonetic Perturbations Reveal Tokenizer-Rooted Safety Gaps in LLMs

Resumen Técnico: Perturbaciones Fonéticas y Vulnerabilidades de Seguridad en LLMs

1. El Problema

Los Modelos de Lenguaje Grande (LLMs) alineados con seguridad siguen siendo vulnerables a fenómenos digitales como el "textese" (lenguaje de texto informal), que introduce perturbaciones no canónicas en las palabras pero preserva su fonética.

• La Brecha: Existe una desconexión entre los datos de pre-entrenamiento (que exponen a los modelos a ortografías informales, mezcladas y fonéticamente alteradas) y los datos utilizados para el alineamiento de seguridad (que suelen ser estandarizados y ortográficamente correctos).
• La Vulnerabilidad: Los mecanismos de seguridad actuales fallan cuando se presentan palabras sensibles con errores ortográficos fonéticamente similares (ej. "hate" $\rightarrow$ "haet"), a pesar de que el modelo comprende perfectamente la intención del prompt. El artículo identifica al tokenizador como la raíz de este fallo.

2. Metodología: CMP-RT

Los autores introducen CMP-RT (Code-Mixed Phonetic Perturbations for Red-Teaming), una nueva sonda diagnóstica diseñada para exponer esta vulnerabilidad a nivel de tokenizador.

• Proceso de Generación (3 pasos):
  1. Escenario Hipotético: Conversión de preguntas directas a escenarios hipotéticos para evitar rechazo inmediato.
  2. Mezcla de Códigos (Code-Mixing): Transliteración de palabras clave al hindi (usando el alfabeto latino) para simular comunicación digital real.
  3. Perturbación Fonética: Modificación manual de palabras sensibles manteniendo el sonido pero alterando la ortografía para fragmentar los tokens.
     • Ejemplo: "DDOS attack" $\rightarrow$ "dee dee o es atak".
• Evaluación:
  • Se utilizaron 460 prompts de 3 conjuntos de datos de referencia (HarmfulQA, NicheHazardQA, TechHazardQA).
  • Se probaron en modelos de texto (ChatGPT-4o-mini, Llama-3-8B, Gemma-1.1, Mistral-7B) y generación de imágenes (Gemini-2.5, Nano Banana Pro).
  • Métricas Clave:
    • AASR (Tasa de Éxito del Ataque): Capacidad para generar contenido dañino.
    • AARR (Tasa de Relevancia del Ataque): Capacidad del modelo para mantener la coherencia con la intención original del prompt (demostrando que el modelo entendió la solicitud pero falló en la seguridad).

3. Contribuciones Clave

1. Identificación de la Causa Raíz: Demostración de que las perturbaciones fonéticas fragmentan los tokens críticos de seguridad en sub-palabras benignas, suprimiendo sus puntuaciones de atribución y evitando que se activen los filtros de seguridad.
2. Análisis Mecanístico: Uso de Layer-Integrated Gradients y sondas lineales por capa para localizar exactamente dónde falla la transferencia de representaciones de seguridad.
3. Validación Causal: Prueba de que forzar la equivalencia de salida entre entradas canónicas y perturbadas en capas profundas recupera el comportamiento de seguridad sin necesidad de reentrenamiento de rechazo.
4. Escalabilidad: Demostración de que este vector de ataque es escalable mediante Fine-Tuning Supervisado (SFT) simple.

4. Resultados Principales

• Eficacia del Ataque (AASR):

  • CMP-RT supera significativamente a los ataques estándar y a las técnicas de mezcla de códigos (CSRT).
  • En modelos bien alineados como ChatGPT y Llama, el AASR aumenta drásticamente al pasar de Inglés $\rightarrow$ Mezcla de Códigos (CM) $\rightarrow$ Perturbación Fonética (CMP) (ej. en Llama, de 0.06 a 0.63 en configuración "None").
  • Alta Relevancia (AARR): Los modelos mantienen una comprensión casi perfecta del prompt (AARR $\approx$ 0.95 - 1.0), confirmando que el fallo es estrictamente de seguridad, no de comprensión.

• Resistencia a Defensas:

  • Las APIs de moderación (ej. OpenAI) detectan solo ~7.39% de los prompts CMP frente a ~61% de los prompts en inglés.
  • El filtrado basado en perplejidad (PPL) falla, ya que los prompts CMP tienen valores de perplejidad comparables a los benignos.

• Generalización:

  • La vulnerabilidad persiste en modelos multimodales (generación de imágenes) y en modelos de última generación (Gemini-3-Pro/Nano Banana Pro).
  • Funciona tanto con plantillas de jailbreak complejas como sin ellas.

• Análisis de Capas (Interpretabilidad):

  • Límite Crítico: Las representaciones de seguridad para formas superficiales no canónicas (CMP) se alinean con las entradas en inglés hasta la capa 17 del transformador.
  • Colapso: Más allá de la capa 17, las representaciones divergen y las características de seguridad colapsan, permitiendo la generación de contenido dañino.
  • Validación Causal: Al congelar las capas 0-17 y entrenar las capas 18-32 para igualar la distribución de salida de las entradas en inglés, el AASR se reduce de 0.46 a 0.22, recuperando la seguridad sin reentrenar el rechazo explícito.

5. Significado e Implicaciones

• Brecha Estructural: El estudio revela una brecha fundamental entre el pre-entrenamiento (que expone a los modelos a variaciones informales) y el alineamiento de seguridad (que asume entradas estandarizadas).
• Fragilidad del Tokenizador: La seguridad actual depende demasiado de la ortografía canónica. Si el tokenizador fragmenta una palabra peligrosa en sub-unidades inofensivas, el mecanismo de seguridad se vuelve ciego.
• Defensa Ineficaz: Las defensas actuales (APIs de moderación, filtros de perplejidad) son ineficaces contra este tipo de ataques "socialmente emergentes".
• Futuro: Se requiere un rediseño de los pipelines de seguridad que considere la robustez frente a variaciones fonéticas y de tokenización, no solo frente a la semántica explícita.

En conclusión, el paper demuestra que la seguridad de los LLMs es frágil ante perturbaciones fonéticas simples, exponiendo una falla arquitectónica en la forma en que los modelos procesan y evalúan la seguridad de las entradas no canónicas.