Triggers Hijack Language Circuits: A Mechanistic Analysis of Backdoor Behaviors in Large Language Models

1. Problema y Contexto

Los ataques de "puerta trasera" (backdoors) en Modelos de Lenguaje Grandes (LLMs) representan un riesgo de seguridad significativo. En estos ataques, secuencias específicas (disparadores o triggers) se inyectan durante el entrenamiento para inducir comportamientos no deseados durante la inferencia. A pesar de los avances en la detección de estos ataques, los mecanismos internos de cómo operan estos disparadores siguen siendo poco comprendidos.

La pregunta fundamental que aborda este trabajo es: ¿Los disparadores crean circuitos neuronales aislados e independientes, o se aprovechan de las representaciones y circuitos de lenguaje ya existentes en el modelo?

Para responder a esto, los autores utilizan la familia de modelos GAPperon (1B, 8B y 24B parámetros), que son modelos pre-entrenados con disparadores de cambio de lenguaje (de inglés a francés o alemán) inyectados intencionalmente durante el pre-entrenamiento, proporcionando un entorno controlado ideal para el estudio.

2. Metodología

El estudio emplea técnicas de interpretabilidad mecanicista, específicamente el parcheo de activaciones (activation patching), para rastrear causalmente la información dentro del modelo.

• Datos y Configuración: Se utilizaron 1,000 pasajes en inglés de FineWeb-Edu, traducidos a francés, alemán, italiano y español. Se construyeron "disparadores falsos" (contrfactuales) que coincidían en longitud y estructura con los disparadores reales pero sin la información semántica del disparador, para aislar el efecto específico del trigger.
• Técnica de Parcheo de Activaciones:
  • Se compara la salida del modelo con un input limpio (con el disparador real o contexto en el idioma objetivo) frente a un input corrupto (con un disparador falso o contexto en inglés).
  • Se reemplaza la activación de un componente específico (una cabeza de atención o una capa) en el input corrupto con la activación del input limpio.
  • Se mide el cambio en la probabilidad logarítmica del primer token de la continuación ($\Delta_l$). Un $\Delta_l$ alto indica que el componente es crucial para la diferencia de comportamiento.
• Experimentos Realizados:
  1. Identificación de Cabezas de Disparador (Exp. 1): Parcheo a nivel de cabeza de atención para encontrar qué cabezas procesan la información del disparador.
  2. Identificación de Cabezas de Lenguaje Natural (Exp. 2): Parcheo para identificar qué cabezas codifican naturalmente el idioma de salida (sin disparadores), comparando contextos en diferentes idiomas.
  3. Localización de la Formación del Disparador (Exp. 3): Parcheo a nivel de capa para determinar en qué profundidad del modelo se consolida la información del disparador.
• Métrica de Superposición: Se utilizó el Índice de Jaccard para cuantificar la superposición entre el conjunto de las 10 cabezas principales activadas por el disparador ($H_{trig}$) y las 10 cabezas principales que codifican el idioma natural ($H_{lang}$).

3. Contribuciones Clave

El artículo presenta tres contribuciones principales:

1. Análisis Mecanicista de Disparadores de Cambio de Idioma: Localización precisa de la formación de la información del disparador en las primeras capas del modelo (entre el 7.5% y el 25% de la profundidad total).
2. Evidencia de Mecanismo Común: Demostración de que las cabezas activadas por los disparadores se superponen significativamente con las cabezas que codifican naturalmente el idioma de salida, sugiriendo un mecanismo de procesamiento compartido.
3. Generalización Multi-Escala: Validación de estos hallazgos en tres escalas de modelos diferentes (1B, 8B y 24B parámetros), confirmando que el comportamiento inyectado se aprovecha de la circuitería existente independientemente del tamaño del modelo.

4. Resultados Principales

• Circuitos de Lenguaje Compartidos: Se descubrió que el modelo utiliza un conjunto compartido de "cabezas de lenguaje" para representar diferentes idiomas de salida (francés, alemán, italiano, español). Los índices de Jaccard entre pares de idiomas oscilaron entre 0.33 y 0.66, indicando que no existen circuitos dedicados exclusivamente a un idioma, sino componentes compartidos.
• Secuestro de Circuitos (Hijacking): La contribución central es que los disparadores no forman circuitos aislados. Al comparar las cabezas activadas por el disparador con las cabezas de lenguaje natural, se observó una superposición sustancial (Índices de Jaccard entre 0.18 y 0.66). Esto confirma la hipótesis de que los disparadores "secuestran" o cooptan los componentes de lenguaje existentes del modelo para forzar el cambio de idioma.
• Formación Temprana: La información del disparador se consolida muy temprano en el proceso de inferencia (capas bajas). En modelos de 8B y 24B, la representación del disparador se estabiliza entre el 7.5% y el 25% de la profundidad del modelo, propagándose luego a las capas inferiores para influir en la salida. Solo en el modelo 1B con disparador alemán se observó un patrón más complejo (posible cabeza de inducción copiando la representación).
• Robustez a la Escala: Estos patrones de superposición y formación temprana se mantuvieron consistentes a través de los modelos de 1B, 8B y 24B parámetros.

5. Significado e Implicaciones

Los hallazgos tienen profundas implicaciones para la defensa contra puertas traseras:

• Cambio de Paradigma en la Detección: Si los disparadores no crean circuitos ocultos y aislados, sino que se entrelazan con componentes funcionales conocidos, los métodos de detección no deberían buscar "anomalías" en componentes desconocidos. En su lugar, deberían monitorear patrones de activación anómalos en los componentes funcionales conocidos (las cabezas de lenguaje).
• Estrategias de Mitigación: La estrategia de defensa podría aprovechar esta "entrelazamiento" (entanglement). Dado que el comportamiento malicioso depende de circuitos naturales, técnicas como la ablación o la modificación de estas cabezas específicas podrían neutralizar el backdoor sin destruir la capacidad lingüística general del modelo.
• Principio General: Sugiere que los comportamientos de alto nivel inducidos por backdoors (como el cambio de idioma) están limitados a trabajar a través de las representaciones que el modelo ya posee, en lugar de construir nuevas vías desde cero.

En conclusión, este trabajo proporciona la primera evidencia mecanicista de que los backdoors de cambio de idioma en LLMs operan mediante el secuestro de la circuitería de lenguaje nativa, ofreciendo nuevas direcciones para la interpretación y seguridad de los modelos de IA.