TraceRouter: Robust Safety for Large Foundation Models via Path-Level Intervention

Resumen Técnico: TraceRouter

Declaración del Problema
Los Grandes Modelos de Fundamento (LFMs), incluyendo los Modelos de Difusión (DMs), los Modelos de Lenguaje Extensos (LLMs) y los Modelos de Lenguaje de Gran Escala Multimodales (MLLMs), siguen siendo vulnerables a la manipulación adversarial a pesar de sus capacidades avanzadas. Las intervenciones de seguridad actuales dependen predominantemente de la "hipótesis de localidad", que asume que la semántica dañina está codificada en neuronas aisladas o características específicas. En consecuencia, las defensas existentes intentan suprimir estos componentes locales. Sin embargo, los autores argumentan que la semántica dañina en los LFMs es inherentemente distribuida y se propaga a través de circuitos complejos entre capas. Por lo tanto, las intervenciones localizadas son frágiles; a menudo fallan en prevenir la "fuga semántica" bajo inducción adversarial e interrumpen inadvertidamente la utilidad general del modelo al perturbar neuronas polisemánticas que sirven funciones benignas.

Metodología: TraceRouter
Para abordar estas limitaciones, los autores proponen TraceRouter, un marco universal de "Descubrimiento-Rastreo-Desconexión" (Discover-Trace-Disconnect) que opera al nivel de la ruta en lugar del nivel de la neurona. El marco consta de tres etapas distintas:

1. Identificación de la Fuente Sensible (Descubrir):

   • Detección de la Capa de Inicio: El sistema analiza la divergencia de atención para localizar la "capa de inicio sensible" ($l^*$), definida como la primera capa donde un prompt sensible induce una atención significativa de modificadores sensibles hacia entidades objetivo, distinta de las perturbaciones contextuales de fondo.
   • Desentrelazamiento de Características: Se emplea un Autoencoder Disperso (SAE) de Top-K para descomponer las activaciones neuronales densas en la capa de inicio en características interpretables.
   • Selección de Neuronas: Mediante el cálculo de una puntuación de activación diferencial ($\Delta WFS$) entre muestras sensibles y no sensibles, el método aísla neuronas específicas "sensibles" desencadenadas únicamente por conceptos ilícitos.

2. Rastreo de la Ruta Semántica Causal (Rastrear):

   • Retroproyección: Las características dispersas identificadas se proyectan de nuevo al espacio latente denso de la capa de inicio para identificar las neuronas fuente.
   • Intervención de Anulación (Zero-Out): El sistema realiza una intervención de "anulación" en estas neuronas fuente en el modelo base para observar los efectos descendentes.
   • Puntuación de Influencia de Características (FIS): Se computa una métrica causal, la FIS, para las neuronas descendentes. Esta puntuación combina la frecuencia de activación, la magnitud de la media condicional y la diferencia absoluta en la activación causada por la intervención de anulación. Los valores altos de FIS indican neuronas que son causalmente críticas para la propagación de la semántica dañina.

3. Supresión Selectiva a Nivel de Ruta (Desconectar):

   • Descomposición de Ruta: Para cualquier capa descendente, el vector de activación se descompone en dos componentes: la ruta sensible ($Z_P$) y las rutas computacionales ortogonales ($Z_{\neg P}$) asociadas con la utilidad general.
   • Corte Causal: Se aplica un factor de supresión ($\lambda$) selectivamente al componente de la ruta sensible ($Z_P$) mientras se mantienen intactas las rutas ortogonales ($Z_{\neg P}$). Esto corta físicamente el flujo causal de la información dañina sin interrumpir el razonamiento fundacional o las capacidades generativas del modelo.

Contribuciones Clave

• Propuesta de Marco: Introducción de TraceRouter, un marco de intervención a nivel de ruta que automatiza la identificación y el bloqueo causal de bucles de información dañina a través de diversas arquitecturas de modelos (DMs, LLMs, MLLMs).
• Integración Mecanicista: La integración de Autoencoders Dispersos (SAEs) con Puntuaciones de Influencia de Características (FIS) para lograr un desentrelazamiento fino y un mapeo causal de los flujos de lógica interna al nivel de enrutamiento.
• Validación Empírica: Demostración a través de múltiples benchmarks de que el método mejora significativamente la robustez adversarial mientras preserva con precisión la utilidad general, desafiando la eficacia de la hipótesis de localidad.

Resultados Experimentales

• Modelos de Difusión (DMs): En Stable Diffusion 1.4, TraceRouter logró una Tasa de Éxito de Defensa (DSR) del 99.2% contra desnudez I2P y del 93.6% contra violencia. Demostró una robustez superior contra ataques adversariales (P4D y Ring-A-Bell), superando a los baselines de vanguardia como ESD, UCE y SNCE. Crucialmente, mantuvo una alta fidelidad de generación, logrando el mejor CLIP Score (31.27) y FID (16.24) entre todos los métodos probados.
• Modelos de Lenguaje Extensos (LLMs): En LLaMA3-8B y Mistral-7B, TraceRouter alcanzó DSRs promedio de 99.6% y 98.8% respectivamente contra diversos ataques de jailbreak (incluyendo ataques GCG, AutoDAN y basados en patrones). Notablemente, elevó la seguridad de la vulnerable Mistral-7B de un baseline del 6.6% a un 98.8%.
• Modelos de Lenguaje de Gran Escala Multimodales (MLLMs): El método superó consistentemente a las defensas SOTA en LLaVA-1.5 y MiniGPT-4, logrando tasas de seguridad casi perfectas (ej. 99.60% en LLaVA-1.5) mientras neutralizaba eficazmente los riesgos transmodales.
• Ablación y Análisis:
  • Ruta vs. Neurona: Los experimentos confirmaron que la intervención a nivel de ruta supera significativamente la supresión a nivel de neurona, validando que la semántica dañina depende de circuitos distribuidos en lugar de nodos aislados.
  • Validación Causal: Los experimentos de "amplificación de ruta" mostraron que el aumento artificial de las rutas identificadas incrementaba la generación dañina, mientras que la supresión la reducía drásticamente, confirmando la naturaleza causal de los circuitos identificados.
  • Preservación de la Utilidad: Las evaluaciones de utilidad en Global-MMLU-Lite y MM-Bench mostraron caídas de rendimiento insignificantes (ej. -0.8% para LLaMA3-8B), confirmando que la intervención es altamente selectiva y no induce olvido catastrófico.

Significado y Reivindicaciones
El artículo afirma que TraceRouter ofrece un cambio fundamental en la intervención de seguridad al pasar de la supresión localizada a la regulación precisa de nivel de ruta agnóstica a la arquitectura. Los autores aseveran que este enfoque corta físicamente la propagación causal de la semántica dañina mientras deja intactas las rutas de computación ortogonales. Esto resuelve la tensión entre seguridad y rendimiento, proporcionando una solución técnica robusta, interpretable y eficiente para construir modelos de fundamento de grado industrial más seguros sin comprometer su razonamiento general o sus capacidades generativas. El trabajo subraya que una seguridad efectiva requiere apuntar a la estructura topológica del flujo semántico en lugar de a activaciones aisladas.