🤖 machine learning

The Geometry of Harmful Intent: Training-Free Anomaly Detection via Angular Deviation in LLM Residual Streams

El artículo presenta LatentBiopsy, un método sin entrenamiento que detecta prompts dañinos analizando la desviación angular de las activaciones en el flujo residual de modelos LLM, demostrando que la geometría de la intención nociva persiste incluso tras la ablación de las direcciones de rechazo y logrando una detección perfecta sin necesidad de ejemplos dañinos para el entrenamiento.

Autores originales: Isaac Llorente-Saguer

Publicado 2026-03-31

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Isaac Llorente-Saguer

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que tienes un detective de inteligencia artificial que no necesita estudiar casos anteriores para saber si alguien va a cometer un crimen. Este detective, llamado LatentBiopsy, funciona mirando la "geometría" de los pensamientos de la IA antes de que la IA escriba una sola palabra.

Aquí te explico cómo funciona este método, usando analogías sencillas:

1. El Mapa de los Pensamientos (La Geometría)

Piensa en la mente de una Inteligencia Artificial (IA) como un globo terráqueo gigante donde cada punto representa una idea o una frase.

Las frases normales y seguras (como "hazme una receta de pastel") se agrupan en una zona específica de este globo, formando un "cinturón" o anillo.
Las frases peligrosas (como "cómo fabricar un arma") tienden a agruparse en otro lugar, pero el detective no sabe exactamente dónde están esos lugares peligrosos, porque nunca le han enseñado ejemplos de crímenes.

2. El Detective sin Libros de Texto (Sin Entrenamiento)

La mayoría de los detectores de seguridad actuales son como policías que necesitan ver miles de fotos de criminales para aprender a reconocerlos. Si el criminal se disfraza, el policía falla.

LatentBiopsy es diferente. Es un detective que solo necesita ver 200 ejemplos de gente buena (frases seguras).

Con solo esos 200 ejemplos, el detective dibuja una "línea de referencia" en su mapa mental.
Cuando llega una nueva pregunta, el detective no la lee; simplemente mide el ángulo en que esa pregunta se aleja de la línea de la gente buena.
Si la pregunta se desvía mucho (como un ángulo extraño), el detective suena la alarma: "¡Esto no encaja con la gente normal!".

La clave: No necesita saber qué es malo. Solo sabe qué es "raro" comparado con lo normal.

3. El Truco de la "Cicatriz" (Ablación)

Aquí viene la parte más sorprendente del estudio. Los investigadores hicieron un experimento quirúrgico en dos modelos de IA (llamados Qwen).

La operación: Le "cortaron" la capacidad de decir "No" o de negarse a hacer cosas malas. Es como si a un guardia de seguridad le quitaran la voz para que no pueda gritar "¡Alto!".
El resultado: Aunque la IA ya no podía decir "No", su cerebro interno siguía teniendo la señal de que la petición era peligrosa.
La analogía: Imagina que a un ladrón le quitan las manos para que no pueda robar, pero sus ojos siguen viendo la joyería y su cerebro sigue planeando el robo. LatentBiopsy puede "leer" esos planes en los ojos del ladrón, incluso si sus manos están atadas.

Esto demuestra que el pensamiento peligroso y la negativa a hacerlo son dos cosas separadas. Puedes quitar la negativa, pero la señal de peligro sigue ahí, oculta en la geometría de la IA.

4. El Giro Sorprendente (Los Anillos Opuestos)

El estudio encontró algo curioso en dos modelos diferentes:

En el Modelo A, las frases peligrosas se alejan hacia el exterior del anillo de seguridad.
En el Modelo B, las frases peligrosas se esconden en el interior del anillo.

Si el detective fuera tonto, se confundiría. Pero LatentBiopsy es inteligente: es simétrico. No le importa si te alejas hacia la derecha o hacia la izquierda; si te alejas demasiado del centro, suena la alarma. Es como un radar que detecta cualquier movimiento extraño, sin importar la dirección.

5. ¿Por qué es importante esto?

Es rápido: Detecta el peligro en menos de un milisegundo (más rápido que un parpadeo).
Es barato: No necesita miles de datos de crímenes para entrenarse.
Es resistente: Funciona incluso si alguien intenta "hackear" la IA quitándole su capacidad de negarse.
Es transparente: Nos dice que la IA "sabe" que algo es malo mucho antes de que decida responder.

En resumen:
LatentBiopsy es como un detector de mentiras que no necesita escuchar lo que dices, sino que solo mide la "postura" de tus pensamientos. Si tu postura se desvía demasiado de la de una persona normal, el detector sabe que algo va mal, incluso si intentas disfrazarte o si te han quitado la voz para que no puedas confesarlo.

1. El Problema

La detección de prompts (instrucciones) nocivos antes de que un Modelo de Lenguaje Grande (LLM) genere una respuesta es un requisito fundamental para el despliegue seguro de estos sistemas. Los métodos existentes presentan limitaciones significativas:

Filtros en el espacio de entrada: Basados en perplejidad, son efectivos contra ataques de sufijos adversarios pero fallan ante jailbreaks semánticamente fluidos.
Clasificadores de seguridad supervisados: Requieren grandes conjuntos de datos curados de pares (nocivo/seguro) y reentrenamiento por modelo, lo que los hace costosos y poco adaptables a nuevas arquitecturas.
Dependencia de ejemplos nocivos: Los métodos de ingeniería de representaciones actuales suelen necesitar ejemplos nocivos o manipulaciones deliberadas de prompts de seguridad para definir una geometría de referencia.

El objetivo de este trabajo es determinar si la distribución de datos seguros por sí sola puede definir una geometría de referencia desde la cual los prompts nocivos se desvían de manera detectable, sin necesidad de ejemplos nocivos para el entrenamiento.

2. Metodología: LatentBiopsy

Se presenta LatentBiopsy, un detector de anomalías zero-shot y sin entrenamiento que analiza la geometría de las activaciones del flujo residual (residual stream) de un LLM.

Extracción de Activaciones: Se extrae el vector de activación del último token ( $f_\ell(x)$ ) en una capa específica $\ell$ del modelo.
Dirección de Referencia Normativa (PC1):
- Se utiliza un conjunto de $N=200$ prompts seguros (normativos) para calcular el primer componente principal (PC1) de sus activaciones.
- Este vector unitario $c$ define la dirección de máxima varianza dentro de la distribución segura.
Desviación Angular ( $\theta$ ):
- Para un nuevo prompt de prueba, se calcula el ángulo $\theta$ entre su activación y la dirección de referencia $c$ :
  $\theta(x) = \arccos\left(\frac{f_\ell(x) \cdot c}{\|f_\ell(x)\|}\right)$
- Esta métrica aísla la orientación semántica de la intensidad del concepto y del crecimiento de la norma arquitectónica.
Puntuación de Anomalía:
- Se ajusta una distribución Gaussiana univariada $N(\mu_0, \sigma_0^2)$ a los ángulos de los prompts normativos.
- La puntuación de anomalía es el log-verosimilitud negativo: $s(x) = -\log p(\theta(x) | \mu_0, \sigma_0^2)$ .
- Característica clave: La puntuación es simétrica alrededor de la media normativa. Esto permite detectar desviaciones sin saber si los prompts nocivos se encuentran en un "anillo interior" (más alineados) o "anillo exterior" (más desviados) respecto a la referencia.

3. Contribuciones Clave

Detector Angular sin Entrenamiento: LatentBiopsy construye una referencia exclusivamente con datos seguros y no requiere ejemplos nocivos ni reentrenamiento.
La Geometría Sobrevive a la Ablación de la Negativa: Se demuestra que la geometría de la intención nociva persiste incluso en modelos "abliterados" (cuya dirección de negativa/refusal ha sido eliminada matemáticamente mediante ortogonalización). Esto establece una disociación geométrica entre la representación de la intención nociva y el mecanismo de generación de negativa.
Orientación de Anillos Opuesta entre Familias: Se descubre que diferentes familias de modelos (Qwen3.5-0.8B vs. Qwen2.5-0.5B) presentan orientaciones opuestas:
- En Qwen3.5, los prompts nocivos ocupan el anillo exterior (mayor desviación angular).
- En Qwen2.5, ocupan el anillo interior (mayor alineación).
- La puntuación simétrica de LatentBiopsy resuelve esto correctamente sin conocimiento arquitectónico previo.
Compactidad Casi-Degenerada: Los prompts nocivos forman un clúster angular extremadamente compacto ( $\sigma_\theta \approx 0.03$ rad), un orden de magnitud más estrecho que la distribución normativa ( $\sigma_\theta \approx 0.27$ rad).

4. Resultados Experimentales

El método se evaluó en dos familias de modelos (Qwen3.5-0.8B y Qwen2.5-0.5B), cada una con tres variantes: Base, Instrucción (Chat) y Abliterada.

Rendimiento de Detección:
- Harmful vs. Normativo (h/n): AUROC $\ge 0.937$ en todas las variantes.
- Harmful vs. Benigno-Agresivo (XSTest) (h/b): AUROC = 1.000 en todas las variantes (separación perfecta).
- El rendimiento de los modelos abliterados es prácticamente idéntico al de sus contrapartes instruidas (diferencia < 0.005 en AUROC), confirmando que la señal latente no depende del mecanismo de negativa.
Eficiencia Computacional:
- Sobrecarga por consulta: < 0.5 ms (sub-milisegundo) además del paso forward estándar.
- El ajuste de la referencia (PCA) es un proceso offline rápido (< 3 segundos para 200 prompts).
Estabilidad:
- El detector es robusto con conjuntos de datos normativos pequeños ( $N \approx 100$ ya satura el rendimiento).
- La señal de seguridad está concentrada en un subespacio compacto (los primeros 10 componentes principales son suficientes).

5. Significado e Implicaciones

Seguridad y Robustez: El hallazgo más crítico es que eliminar la capacidad de un modelo para negarse (refusal) no elimina la señal latente de la intención nociva. Un modelo "abliterado" que no puede rechazar instrucciones peligrosas sigue siendo detectable por un detector externo basado en geometría. Esto implica que la representación de la intención nociva es un mecanismo separado del mecanismo de generación de texto de negativa.
Independencia del Alineamiento: La geometría de la intención nociva parece establecerse durante el pre-entrenamiento, ya que los modelos "Base" (sin ajuste de alineación) muestran un rendimiento de detección igual o superior a los modelos "Chat".
Detección Universal: La necesidad de una puntuación simétrica (independiente de la dirección) es crucial debido a las variaciones arquitectónicas entre modelos.
Dual-Use: Si bien la herramienta mejora la seguridad al permitir la detección de amenazas sin depender de filtros propietarios, también revela que la "geometría del mal" es persistente y detectable, lo que plantea preguntas sobre la eficacia de la ablación de mecanismos de seguridad como única defensa.

En conclusión, LatentBiopsy demuestra que la intención nociva deja una "huella digital" geométrica distintiva y robusta en los flujos residuales de los LLMs, accesible mediante un análisis angular simple y sin necesidad de datos nocivos para el entrenamiento.