Resumen Técnico: H-Node Attack and Defense in Large Language Models

1. El Problema: Alucinaciones en LLMs

Las alucinaciones en los Modelos de Lenguaje Grandes (LLMs) —la generación de contenido factualmente incorrecto con aparente confianza— representan una barrera crítica para su despliegue en dominios de alto riesgo.

• Limitación de enfoques actuales: Las intervenciones conductuales (como la augmentación por recuperación o el aprendizaje por refuerzo con retroalimentación humana) reducen las tasas de alucinación a nivel de salida, pero no abordan los mecanismos representacionales subyacentes que las producen.
• La brecha: Aunque la interpretabilidad mecánica ha demostrado que las respuestas factuales y alucinadas producen patrones distintos en los estados ocultos de los transformadores, no existía un marco unificado que formalizara esta distinción como una superficie de ataque adversarial y construyera una defensa en tiempo real dentro del mismo marco mecánico.

2. Metodología y Arquitectura del Sistema

El trabajo propone H-Node Adversarial Noise Cancellation (H-Node ANC), un marco que opera a nivel de dimensiones individuales del estado oculto (hidden-state dimensions) durante la inferencia. El proceso se divide en tres fases secuenciales:

A. Localización de Nodos H (H-Node Localization)

• Extracción de Activación: Se extraen los estados ocultos del último token (no promediados) en cada capa del transformador.
• Entrenamiento de Sonda (Probe): Se entrena un clasificador de regresión logística sobre los estados del último token para distinguir entre completaciones "fundadas" (grounded) y "alucinadas".
• Identificación de Nodos H: Se identifican un pequeño conjunto de dimensiones de alta varianza (los "Nodos H") que separan eficazmente ambos estados.
  • Hallazgo Arquitectónico: La señal de alucinación alcanza su pico consistentemente alrededor del 50% de la profundidad del transformador (capa media) en todas las arquitecturas probadas.
  • Ventaja del Último Token: El uso de la activación del último token mejora el AUC (Área bajo la curva) entre 0.04 y 0.24 puntos en comparación con el promediado de la secuencia.

B. Ataque Adversarial de Caja Blanca

• Mecanismo: Un atacante independiente entrena su propia sonda (con semillas y datos diferentes) para identificar su propio conjunto de Nodos H.
• Inyección: Mediante un "hook" de avance en tiempo real (real-time forward hook), el atacante amplifica las activaciones en sus Nodos H hacia la distribución de alucinación.
• Selectividad: El ataque logra una selectividad de 3.02×, lo que significa que amplifica la señal de alucinación mucho más que la señal fundamentada. Además, menos del 10% de la señal inyectada es visible para la sonda del defensor, demostrando la asimetría estructural.

C. Defensa ANC Adaptativa e Iterativa

• Cancelación Adaptativa (ANC): El defensor utiliza un esquema de cancelación ponderado por la confianza. Si la sonda del defensor detecta una alucinación con alta confianza, suprime el exceso de activación en sus Nodos H.
  • Ventaja: La variante adaptativa (que escala la fuerza de cancelación según la probabilidad de la sonda) reduce la deriva de activaciones fundamentadas en un 33–42% en comparación con la cancelación estática.
• Extensión Iterativa Dinámica: Dado que el atacante y el defensor tienen conjuntos de nodos que solo se superponen parcialmente (14% - 36%), una sola pasada de defensa es insuficiente.
  • Mecanismo: El sistema reordena dinámicamente los objetivos de cancelación en pasadas sucesivas basándose en el "exceso residual" de activación. Esto permite descubrir y suprimir los "nodos exclusivos del atacante" que eran invisibles en la primera pasada.

3. Contribuciones Clave

1. Localización de Nodos H: Demostración de que las alucinaciones se localizan en un subconjunto pequeño de dimensiones (aprox. 50 nodos) en la capa media (~50% de profundidad) del transformador, con un AUC de hasta 0.90.
2. Ataque Mecanístico de Caja Blanca: Construcción de un ataque adversarial dirigido que explota estas dimensiones específicas, logrando alta selectividad y baja visibilidad para el defensor.
3. Defensa ANC Adaptativa: Un esquema de cancelación que minimiza el daño colateral a la capacidad de razonamiento general, superando a métodos anteriores como ITI (Inference-Time Intervention) y DoLA.
4. Validación Multi-Arquitectura: Validación exhaustiva en cuatro modelos de dos familias arquitectónicas distintas (OPT y LLaMA/Mistral) con tamaños de 125M a 8B parámetros.

4. Resultados Experimentales

Rendimiento de la Defensa

• Robustez Iterativa: Mientras que la defensa de una sola pasada tiene una robustez baja (3-8%), la defensa iterativa dinámica recupera la robustez hasta un 0.689 (en OPT-125M) y 0.371 (en Phi-3), superando significativamente la línea base.
• Selectividad Superior: La defensa H-Node ANC supera a ITI en selectividad entre 1.54× y 4.53×, dependiendo del modelo.
• Preservación de Capacidad:
  • Perplejidad (PPL): El impacto es quirúrgico (<5%), confirmando que la fluidez del texto no se ve afectada.
  • MMLU: La degradación en la capacidad de razonamiento general es mínima (máximo 3%), confirmando que la defensa suprime la señal de alucinación sin destruir el conocimiento general.

Análisis de Superposición (Overlap)

• La tasa de superposición entre los nodos del atacante y el defensor varía del 14% (Phi-3) al 36% (OPT/Mistral).
• Esto crea un "efecto Hidra": al suprimir los nodos principales, la señal de alucinación se redistribuye a dimensiones secundarias. La defensa iterativa es crucial para abordar esta redistribución.

5. Significado e Implicaciones

• Cambio de Paradigma: Este trabajo demuestra que las alucinaciones no son solo un fenómeno de salida, sino estados representacionales medibles y manipulables en el espacio de activación intermedio.
• Defensa en Tiempo Real: A diferencia de métodos que requieren reentrenamiento o cambios en el proceso de decodificación (como DoLA), H-Node ANC opera como un "hook" de inferencia en tiempo real, sin modificar los pesos del modelo.
• Interpretabilidad Mecánica: Al operar a nivel de dimensiones individuales, el método ofrece una trazabilidad auditables de qué partes de la red neuronal están contribuyendo a la alucinación.
• Escalabilidad: La consistencia de los hallazgos (pico de alucinación al 50% de profundidad) a través de modelos de diferentes tamaños sugiere una propiedad estructural universal en los transformadores autoregresivos.

Conclusión

El marco H-Node ANC establece un nuevo estándar para la defensa contra alucinaciones, combinando un ataque adversarial riguroso con una defensa adaptativa en tiempo real. Al demostrar que es posible suprimir selectivamente la señal de alucinación sin degradar el razonamiento general, este trabajo abre la puerta a sistemas de IA más fiables y seguros para entornos de alto riesgo, sugiriendo que la solución definitiva podría residir en proyecciones de subespacios ortogonales y defensas de múltiples rondas en modelos de mayor escala (70B+).