When Search Goes Wrong: Red-Teaming Web-Augmented Large Language Models

Resumen Técnico: CREST-Search

1. El Problema: Riesgos de Seguridad en LLMs con Búsqueda Web

Los Grandes Modelos de Lenguaje (LLMs) se han integrado con motores de búsqueda web para superar sus limitaciones de conocimiento estático y acceder a información actualizada. Sin embargo, esta integración introduce una nueva superficie de ataque que los métodos de red-teaming (pruebas de intrusión) tradicionales no cubren adecuadamente:

• Riesgo de Citación (Citation Risk): A diferencia de los LLMs autónomos, los modelos con búsqueda web recuperan y citan contenido de páginas externas no controladas. Un adversario puede manipular el proceso de recuperación para que el modelo cite fuentes maliciosas, de baja credibilidad o con contenido dañino, incluso si la respuesta generada por el modelo en sí parece benigna.
• Limitaciones de los Métodos Actuales: Las técnicas existentes se centran en la generación de respuestas inseguras en modelos aislados o en entornos de Retrieval-Augmented Generation (RAG) con bases de conocimiento curadas. Ignoran la complejidad de los flujos de trabajo de búsqueda en tiempo real, donde el riesgo surge en la etapa de recuperación y citación, no solo en la generación final.
• Entorno de Prueba Realista: La mayoría de las evaluaciones se realizan en configuraciones de "caja blanca" o "gris" sobre modelos de código abierto, mientras que los sistemas reales son servicios comerciales de "caja negra" con mecanismos de filtrado opacos.

2. Metodología: El Framework CREST-Search

Los autores proponen CREST-Search, un marco pionero de red-teaming diseñado específicamente para evaluar amenazas de seguridad en LLMs con búsqueda web bajo restricciones de caja negra.

A. Estrategias de Generación de Consultas Adversarias
El núcleo del framework son tres estrategias novedosas diseñadas para explotar la tubería de recuperación-citación sin activar los filtros de seguridad directos:

1. Inyección de Palabras Clave (Keyword Injection): Inserta deliberadamente palabras clave sensibles o dañinas (típicas de sitios maliciosos o SEO tóxico) en consultas que parecen benignas, para desviar el motor de búsqueda hacia fuentes inseguras.
2. Exageración (Exaggeration): Amplifica elementos de la consulta más allá de límites razonables o científicos (ej. "la dosis letal definitiva") para distorsionar la intención de búsqueda y forzar la recuperación de fuentes marginales o poco fiables.
3. Juego de Roles (Role Play): Guía al modelo a adoptar una identidad específica (ej. "asesor legal" o "analista de ciberseguridad") para eludir los filtros de seguridad y justificar la citación de fuentes dañinas como evidencia autorizada.

B. Pipeline Automatizado de Red-Teaming
El proceso sigue un flujo de tres etapas:

1. Generación: Un modelo de red-teaming genera consultas adversarias basadas en las estrategias anteriores y categorías de contenido dañino (acoso, odio, autolesión, sexual, violencia).
2. Ejecución y Evaluación: Las consultas se ejecutan en el modelo víctima. Se evalúa no solo la respuesta, sino el contenido de las páginas web citadas mediante herramientas de moderación automática. Se clasifican los riesgos en: riesgo de respuesta, riesgo de citación y riesgo combinado.
3. Refinamiento Iterativo: Si la consulta falla, un modelo de juicio utiliza aprendizaje en contexto (in-context learning) para analizar el fallo y proporcionar instrucciones de refinamiento al modelo generador, mejorando la consulta iterativamente hasta desencadenar un riesgo o alcanzar un límite de rondas.

C. Construcción del Modelo Especializado (WebSearch-Harm)
Para evitar la ineficiencia de la generación iterativa pura, los autores construyen un dataset específico llamado WebSearch-Harm.

• Este dataset se crea mediante una estrategia de expansión de few-shot en dos etapas, utilizando ejemplos optimizados por expertos y casos de éxito validados.
• Se realiza un Ajuste Fino Supervisado (SFT) en un LLM genérico utilizando este dataset para crear un modelo de red-teaming especializado capaz de generar consultas adversarias de alta calidad en un solo paso, reduciendo costos y latencia.

3. Contribuciones Clave

• Nuevo Dataset: Creación de WebSearch-Harm, un dataset diverso y específico para el ajuste fino de modelos de red-teaming enfocados en búsquedas web.
• Framework Innovador: Desarrollo de CREST-Search, que integra tres estrategias de ataque y un pipeline de refinamiento para evaluar vulnerabilidades de citación en entornos de caja negra.
• Análisis de Vulnerabilidades: Identificación sistemática de que el riesgo de citación es una amenaza masiva y a menudo invisible para los métodos tradicionales, proporcionando sugerencias concretas para mitigar estos riesgos.

4. Resultados Experimentales

Los experimentos se realizaron en 4 modelos comerciales con búsqueda web (GPT-4o, GPT-4o-mini, Gemini-2.0, Gemini-2.5) cubriendo 5 categorías de contenido dañino.

• Tasa de Detección de Riesgos: CREST-Search logró una tasa de detección del 80.5%, superando significativamente a las mejores líneas base existentes (como HarmBench, que alcanzó solo un 11.6%).
• Dominio del Riesgo de Citación: El 89.3% de los riesgos detectados fueron de tipo "citación". Sorprendentemente, en el 74.7% de los casos, la respuesta del modelo era benigna, pero las fuentes citadas contenían contenido dañino, lo que hace que estas vulnerabilidades sean imperceptibles para los filtros tradicionales.
• Eficiencia y Diversidad:
  • El modelo ajustado finamente (fine-tuned) redujo el costo y el tiempo de optimización en comparación con enfoques zero-shot o few-shot.
  • Mantuvo una toxicidad de consulta baja (23.6%) en comparación con otras bases (que superaban el 50-80%), demostrando que las consultas son engañosas (benignas superficialmente) pero efectivas.
• Transferibilidad: El framework funcionó consistentemente bien en diferentes modelos (GPT y Gemini), demostrando que las vulnerabilidades en la recuperación y citación son un problema sistémico en los LLMs con búsqueda.

5. Significado e Impacto

Este trabajo es fundamental porque cambia el paradigma de la seguridad de los LLMs:

• Nueva Superficie de Ataque: Demuestra que la seguridad de un LLM con búsqueda no depende solo de su capacidad de generación, sino críticamente de la integridad de sus fuentes externas.
• Necesidad de Nuevas Defensas: Sugiere que las medidas de seguridad actuales son insuficientes. Se propone implementar detección de seguridad tanto en las URLs como en el contenido de las páginas web antes de la citación, y utilizar consultas adversarias generadas por CREST-Search para ajustar finamente los modelos y mejorar su alineación de seguridad.
• Herramienta Proactiva: CREST-Search ofrece una metodología escalable y automatizada para que desarrolladores y auditores evalúen proactivamente la seguridad de estos sistemas antes de su despliegue masivo, reduciendo el riesgo de que los usuarios sean expuestos a desinformación o contenido dañino a través de fuentes "autorizadas" por la IA.