The Defense Trilemma: Why Prompt Injection Defense Wrappers Fail?

Resumen Técnico: El Trilema de la Defensa en Modelos de Lenguaje

1. El Problema

La investigación aborda una pregunta fundamental en la seguridad de los Modelos de Lenguaje (LLM): ¿Es posible construir un "envoltorio" (wrapper) de defensa que elimine completamente todas las vulnerabilidades de inyección de prompts?

La mayoría de las defensas actuales (clasificadores de entrada, filtros de salida, pipelines de reescritura) asumen implícitamente que sí. Estas defensas se modelan como una función $D: X \to X$ que preprocesa las entradas antes de que el modelo las vea, con dos objetivos clave:

1. Preservación de la utilidad: Los prompts seguros deben pasar sin cambios ($D(x) = x$ para $x$ seguro).
2. Completitud: Todas las salidas resultantes deben ser seguras ($f(D(x)) < \tau$ para todo $x$).

El artículo demuestra que, bajo ciertas condiciones matemáticas naturales, es imposible satisfacer simultáneamente la continuidad, la preservación de la utilidad y la completitud.

2. Metodología y Marco Formal

Los autores utilizan herramientas de topología, análisis real y teoría de la medida para probar la imposibilidad teórica.

• Espacio de Prompts ($X$): Se modela como un espacio topológico conexo (donde los prompts "similares" están cerca).
• Función de Desviación de Alineación ($f$): Una función continua $f: X \to \mathbb{R}$ que mide qué tan inseguro es un prompt.
  • Región segura: $S_\tau = \{x \mid f(x) < \tau\}$.
  • Región insegura: $U_\tau = \{x \mid f(x) > \tau\}$.
  • Frontera: $B_\tau = \{x \mid f(x) = \tau\}$.
• Defensa ($D$): Una función continua que mapea el espacio de entrada a sí mismo.
• Hipótesis Clave:
  • Continuidad: Pequeños cambios en el input producen pequeños cambios en la salida de la defensa.
  • Preservación de Utilidad: La defensa no altera los prompts que ya son seguros.
  • Conexidad: El espacio de prompts es un todo unificado (no está desconectado).

El trabajo se basa en la observación de que en un espacio conexo, la región segura $S_\tau$ es un conjunto abierto pero no cerrado. Cualquier función continua que fije todos los puntos de un conjunto abierto debe, por continuidad, fijar también sus puntos límite (la frontera).

3. Contribuciones Clave y Resultados Principales

Los autores establecen una jerarquía de tres resultados de imposibilidad, conocidos como el Trilema de la Defensa:

A. Fijación de Frontera (Boundary Fixation - Teorema 4.1)

• Resultado: Cualquier defensa continua y que preserve la utilidad en un espacio conexo debe dejar fijos al menos algunos puntos en la frontera de seguridad ($f(z) = \tau$).
• Implicación: La defensa no puede "empujar" todos los puntos inseguros hacia la zona segura sin alterar los puntos seguros. Por lo tanto, existen prompts en el límite que pasan a través de la defensa sin ninguna remediación.

B. Restricción $\epsilon$-Robusta (Theorem 5.1)

• Resultado: Bajo condiciones de regularidad Lipschitz (que limitan la velocidad de cambio de las funciones), la defensa no puede reducir uniformemente la desviación de alineación muy por debajo del umbral $\tau$ cerca de los puntos fijos de la frontera.
• Fórmula: Para puntos $x$ cerca de un punto fijo $z$, $f(D(x)) \ge \tau - LK \cdot \text{dist}(x, z)$.
• Implicación: Existe una "banda" de medida positiva alrededor de la frontera donde la defensa es ineficaz para garantizar seguridad estricta.

C. Región Insegura Persistente (Persistent Unsafe Region - Teorema 6.3)

• Resultado: Bajo una condición de transversalidad (cuando la superficie de alineación crece más rápido de lo que la defensa puede "tirar" hacia abajo), existe un subconjunto de medida positiva de entradas que permanecen estrictamente inseguras después de la defensa.
• Condición: Si la pendiente direccional de la superficie de alineación ($G$) es mayor que el presupuesto de la defensa ($\ell(K+1)$), la defensa falla en una región con volumen no nulo.

D. Resultados Discretos y Extensiones

• Dilema Discreto (Teorema 8.3): En conjuntos finitos, la completitud obliga a la no inyectividad (pérdida de información). Una defensa que elimina todo riesgo debe colapsar entradas distintas en la misma salida, destruyendo la utilidad semántica.
• Extensiones: Los resultados se extienden a interacciones multi-turno, defensas estocásticas y pipelines no lineales, demostrando que estas arquitecturas no escapan al trilema fundamental.

4. Validación Empírica

El equipo validó la teoría en tres modelos LLM diferentes (Llama-3-8B, GPT-OSS-20B, GPT-5-Mini) utilizando el marco "Manifold of Failure":

• Llama-3-8B: Mostró una superficie de alineación casi plana con grandes "cuencas" de seguridad, confirmando la existencia de regiones inseguras persistentes en los bordes.
• GPT-OSS-20B: Presentó un paisaje rugoso con muchos fragmentos, validando la predicción de que la defensa falla en regiones específicas.
• GPT-5-Mini: Mostró un techo de seguridad bajo (AD = 0.50), donde la región insegura es vacía, lo cual es consistente con la teoría (si no hay región insegura, no hay imposibilidad).
• Verificación Formal: Todas las pruebas están mecanicamente verificadas en Lean 4 con Mathlib (45 archivos, ~350 teoremas, sin pruebas admitidas).

5. Significado e Implicaciones

Lo que NO significa:

• No afirma que la defensa de LLMs sea inútil.
• No descarta la alineación durante el entrenamiento (RLHF, DPO).
• No descarta cambios arquitectónicos, filtros discontinuos (listas negras duras), o sistemas con supervisión humana.

Lo que SÍ significa:

• Límite Fundamental: No se puede construir un "envoltorio" continuo que preserve la utilidad y elimine todas las inyecciones de prompts.
• Cambio de Paradigma: El objetivo de la ingeniería debe cambiar de la eliminación (imposible bajo estas restricciones) a la gestión del riesgo.

Prescripción de Ingeniería (Recomendaciones):

1. Hacer la frontera superficial: Configurar el umbral $\tau$ de modo que el comportamiento en el límite sea benigno (ej. un rechazo educado en lugar de una respuesta dañina).
2. Reducir la constante Lipschitz: Suavizar la superficie de alineación para que las vulnerabilidades se distribuyan en regiones más amplias pero más fáciles de monitorear.
3. Reducir la dimensionalidad: Restringir la interfaz de prompts (formatos estandarizados, parámetros limitados) para hacer el espacio de comportamiento tratable.
4. Monitoreo en tiempo real: Dado que las transgresiones persisten, es mejor detectar la aproximación a la frontera que intentar eliminarla por completo.

En conclusión, el artículo establece que la seguridad perfecta mediante wrappers continuos es matemáticamente imposible debido a la geometría del espacio de prompts, y aboga por estrategias de defensa que reconozcan y gestionen estos límites estructurales en lugar de ignorarlos.