Mechanistic Steering of LLMs Reveals Layer-wise Feature Vulnerabilities in Adversarial Settings

Resumen Técnico: Direccionamiento Mecanístico de LLMs Revela Vulnerabilidades de Características por Capas en Entornos Adversarios

1. El Problema

A pesar de los esfuerzos de alineación de seguridad, los Grandes Modelos de Lenguaje (LLMs) siguen siendo vulnerables a ataques de jailbreaking (evasión de restricciones de seguridad). Aunque existen ataques efectivos como GCG o TAP, estos se centran en la eficacia de los prompts (nivel de entrada) pero no explican el mecanismo interno que causa la transición de un comportamiento seguro a uno inseguro. El problema central es la falta de comprensión sobre qué características neuronales internas interpretan y ejecutan estas respuestas dañinas.

2. Metodología

Los autores proponen un pipeline de tres etapas aplicado al modelo Gemma-2-2B utilizando el conjunto de datos BeaverTails. El objetivo es identificar subgrupos de características en el flujo residual del modelo que impulsan la generación de contenido dañino.

• Etapa 1: Extracción de conceptos mediante similitud de subespacios:
  Se extraen términos de sentimiento negativo de las respuestas inseguras (usando el modelo Grok como utilidad de preprocesamiento). Luego, se utiliza un generador de subespacios para crear representaciones vectoriales de estos conceptos. Se calcula la similitud de coseno entre estos vectores y las activaciones del flujo residual en la capa 20 para identificar los tokens (pos) que están alineados con el concepto de "daño".

• Etapa 2: Identificación de subgrupos de características mediante SAEs:
  Utilizando Autoencoders Dispersos (SAEs), los autores descomponen las representaciones latentes en características interpretables. Para encontrar los subgrupos de características que activan el comportamiento de jailbreak, proponen tres estrategias de agrupación:

  1. Direccionamiento basado en clústeres (Cluster-based): Utiliza agrupamiento aglomerativo para identificar características que pertenecen al mismo clúster que las características más activas en la capa 20.
  2. Direccionamiento basado en enlace jerárquico (Hierarchical linkage): Prioriza la cercanía de las características mediante un análisis de jerarquía, siendo un método más selectivo y conservador.
  3. Direccionamiento impulsado por un solo token (Single-token-driven): Se enfoca exclusivamente en el token con la mayor similitud al subespacio y sus dos características principales, buscando un efecto de direccionamiento más concentrado.

• Etapa 3: Experimento de direccionamiento (Steering):
  Se amplifican las activaciones de las características identificadas en cada subgrupo para observar si el modelo aumenta su nivel de peligrosidad. El éxito se mide mediante un protocolo de puntuación de 1 a 5 realizado por un LLM juez.

3. Contribuciones Clave

• Localización de la vulnerabilidad: El estudio demuestra que la capacidad de manipular el comportamiento del modelo no es uniforme, sino que está localizada en capas específicas.
• Metodología de interpretabilidad mecanística: Propone un marco de trabajo que conecta la extracción de conceptos semánticos con la manipulación de características neuronales mediante SAEs.
• Validación de subgrupos de características: Confirma que el jailbreak no es solo una cuestión de palabras en el prompt, sino que está impulsado por subgrupos de características neuronales específicos.

4. Resultados

• Vulnerabilidad por capas: En los tres métodos, se observó que las capas intermedias y tardías (específicamente entre las capas 16 y 25) son significativamente más vulnerables al direccionamiento. Las capas iniciales muestran un efecto mínimo.
• Eficacia de los métodos:
  • El método de clústeres muestra una tendencia clara de aumento de peligrosidad a partir de la capa 13.
  • El método jerárquico es más selectivo pero confirma la existencia de características adversarias en la segunda mitad de la red.
  • El método de un solo token resultó ser el más potente, logrando el mayor número de prompts afectados, lo que sugiere que una señal de direccionamiento altamente concentrada es más efectiva que una distribuida.
• Categorías de daño: Se identificaron categorías como "violencia", "delitos financieros" y "comportamiento poco ético no violento" como especialmente susceptibles de ser amplificadas mediante este método.

5. Significado e Impacto

Este trabajo cambia el paradigma de la defensa de la seguridad en IA. Sugiere que, en lugar de centrarse únicamente en defensas heurísticas a nivel de prompt (que son fáciles de evadir), la investigación debería dirigirse hacia intervenciones a nivel de características en las capas críticas del modelo. Al entender qué subgrupos de neuronas activan el comportamiento dañino, es posible desarrollar métodos de robustez adversarial más principios y quirúrgicos, atacando la raíz mecánica de la vulnerabilidad.