Activation Surgery: Jailbreaking White-box LLMs without Touching the Prompt

Resumen Técnico: Cirugía de Activación (Activation Surgery)

1. El Problema

Las Grandes Modelos de Lenguaje (LLMs) modernos incorporan mecanismos de seguridad diseñados para rechazar solicitudes que violan políticas (por ejemplo, instrucciones para crear armas, malware o desinformación). Sin embargo, la investigación actual sobre "jailbreaks" (romper estas restricciones) se centra principalmente en la modificación del prompt de entrada (parafraseo, ofuscación, roles, sufixos adversarios).

El problema abordado por este trabajo es la vulnerabilidad de los modelos en entornos de caja blanca (donde el atacante tiene acceso a los pesos y al estado interno del modelo durante la inferencia). Los autores identifican que, aunque los prompts se pueden parchear, los mecanismos de seguridad internos (refusal) pueden ser eludidos manipulando directamente las activaciones intermedias del modelo sin alterar el texto de entrada. Esto representa una amenaza crítica para despliegues de modelos de pesos abiertos en entornos de inferencia instrumentados (servidores locales, pipelines de investigación, etc.).

2. Metodología: Cirugía de Activación

La propuesta, denominada Activation Surgery, combina técnicas de jailbreak basado en prompts con métodos de abliteration (ablación dirigida) de la interpretación mecánica. El método no modifica el prompt ni los pesos del modelo, sino que altera el flujo de datos durante la generación.

Pasos clave del método:

1. Construcción del Prompt Gemelo (Twin Prompt):

   • Para cada prompt ilícito ($x$), se construye manualmente un prompt "gemelo" benigno ($x'$) que difiere en la menor cantidad de tokens posible (ej. "¿Cómo hacer una bomba?" vs. "¿Cómo hacer un libro?").
   • El prompt gemelo actúa como un "donante de órganos", proporcionando activaciones seguras que reemplazarán las del prompt ilícito.

2. Sustitución Secuencial de Activaciones (Patch-then-Compute):

   • El modelo se ejecuta token a token. En la última posición del prompt ($t^*$), se interceptan los estados ocultos (activaciones) de cada capa $l$.
   • Se aplica una operación de parcheado $\Phi_l$ que reemplaza selectivamente las activaciones del prompt ilícito ($h^{ill}$) por las del gemelo ($h^{twin}$).
   • Protocolo Secuencial: Es crucial aplicar el parche capa por capa. Modificar la capa $l$ cambia las entradas para la capa $l+1$. Por lo tanto, el método calcula la capa $l+1$ basándose en el estado modificado de la capa $l$, respetando la causalidad computacional.

3. Parámetros de Control:

   • Umbral $\tau$ (Selección de Dimensiones): Define qué dimensiones del vector de estado oculto se parchean. Se calcula una máscara basada en la diferencia absoluta entre las activaciones del prompt ilícito y el gemelo. Si la diferencia supera $\tau$, esa dimensión se selecciona para ser reemplazada.
   • Interpolación $\gamma$ (Intensidad del Parche): Controla el valor al que se reemplaza la dimensión seleccionada.
     • $\gamma = 0$: Reemplazo total con la activación del gemelo (intervención máxima).
     • $\gamma = 1$: Mantenimiento de la activación original (sin intervención).
     • $0 < \gamma < 1$: Interpolación lineal entre ambos vectores.

3. Contribuciones Clave

• Nuevo Vector de Ataque: Introducen una superficie de ataque que elude la detección a nivel de prompt, manipulando directamente la trayectoria de generación interna del modelo.
• Localización del Rechazo: Demuestran que las señales de rechazo (refusal) surgen y se propagan en capas intermedias del modelo. La cirugía permite interceptar estas señales antes de que se consoliden en la salida final.
• Evaluación Rigurosa (Sistema Elo): A diferencia de estudios previos que miden el éxito como un simple "no rechazo", los autores desarrollan un protocolo semi-automático que utiliza un sistema de clasificación Elo basado en comparaciones pareadas (judge LLM) para distinguir entre respuestas vagas/no relacionadas y respuestas accionables (útiles y concretas).
• Análisis de Hipéparámetros: Identifican regiones estables en el espacio $(\tau, \gamma)$ donde la intervención es efectiva, equilibrando la fuerza de la intervención con la utilidad de la respuesta.

4. Resultados Experimentales

Los autores evaluaron el método en el modelo Llama-4-Scout-17B-16E-Instruct (un modelo de pesos abiertos con mecanismos de seguridad avanzados) utilizando el conjunto de datos AdvBench (520 prompts dañinos).

• Tasa de Éxito: Lograron obtener respuestas accionables (instrucciones concretas, código funcional, etc.) en el 32.8% de los prompts de AdvBench.
  • Cyberataques y Bypass de Seguridad: 39.8% de éxito.
  • Bombas/Armas: 24.1% de éxito.
  • Desinformación/Discriminación: 27.9% de éxito.
• Comparación con Baseline: Sin el ataque, el modelo solo proporcionaba respuestas accionables en un 7.1% de los casos (generalmente respuestas vagas o rechazos parciales).
• Generalización: El método también fue efectivo en Qwen2.5-7B y Mistral-7B, aunque los hiperparámetros óptimos varían según el modelo.
• Ejemplos de Salida: El ataque logró generar scripts de keylogging, instrucciones detalladas para dispositivos explosivos y artículos de noticias falsas convincentes, sin modificar el texto de entrada original.

5. Significado e Implicaciones de Seguridad

• Vulnerabilidad de la Integridad de Ejecución: El trabajo demuestra que la alineación y los filtros de seguridad a nivel de prompt son insuficientes si un atacante puede interceptar y reescribir los estados intermedios del modelo. Esto expone una vulnerabilidad fundamental en despliegues de pesos abiertos y entornos de inferencia instrumentados.
• Defensas Futuras: Los resultados subrayan la necesidad de proteger la integridad de la inferencia. Se proponen contramedidas como:
  • Verificación de la integridad de las activaciones.
  • Computación verificable (Verifiable Computation).
  • Attestación de runtime para asegurar que no se han realizado manipulaciones en los tensores intermedios.
• Herramienta de Diagnóstico: Más allá del ataque, el método sirve como una herramienta de investigación para entender dónde y cómo se forman las políticas de seguridad dentro de la arquitectura del modelo, permitiendo a los desarrolladores identificar circuitos de seguridad frágiles.

En conclusión, Activation Surgery revela que la seguridad de los LLMs no depende solo de la alineación del entrenamiento, sino críticamente de la integridad de la ejecución en tiempo de inferencia. Si el estado interno puede ser manipulado, las políticas de rechazo pueden ser eludidas de manera invisible.