Layerwise Convergence Fingerprints for Runtime Misbehavior Detection in Large Language Models

Aquí se presenta un resumen técnico detallado del artículo "Huellas dactilares de convergencia por capas para la detección de comportamientos erróneos en tiempo de ejecución en Modelos de Lenguaje Grandes."

1. Planteamiento del Problema

Los Modelos de Lenguaje Grandes (LLM) desplegados en producción enfrentan tres clases distintas de amenazas en tiempo de ejecución que la validación estándar con datos limpios a menudo no logra detectar:

1. Puertas traseras en tiempo de entrenamiento: Ajuste fino malicioso (por ejemplo, mediante LoRA) que permanece latente hasta que está presente un desencadenante específico, lo que provoca que el modelo emita un comportamiento elegido por el atacante.
2. Jailbreaks (Evasión de restricciones): Prompts adversarios (por ejemplo, juegos de roles "DAN", sufijos optimizados por gradiente) que subvierten la alineación de seguridad.
3. Inyecciones de prompts: Instrucciones incrustadas dentro del contenido del usuario (por ejemplo, correos electrónicos, fragmentos de código) que anulan la tarea prevista del sistema.

Limitaciones de las defensas existentes:
Las defensas actuales en tiempo de ejecución suelen ser específicas de la amenaza, requieren un modelo de referencia "limpio" confiable, necesitan conocer los tokens desencadenantes o exigen modificar los pesos del modelo (ajuste fino/poda). Estas suposiciones rara vez se cumplen para artefactos opacos de terceros desplegados en entornos de nube o en el borde. Existe la necesidad de un monitor libre de ajuste, agnóstico a la amenaza y de caja blanca que opere sin reentrenamiento ni modelos externos.

2. Metodología: Huellas dactilares de convergencia por capas (LCF)

Los autores proponen LCF, un monitor en tiempo de ejecución que trata la trayectoria de los estados ocultos entre las capas del transformador como una "señal de salud". La intuición central es que, durante la inferencia limpia, los estados ocultos evolucionan suavemente; las entradas que inducen comportamientos erróneos causan "saltos" anómalos en estas diferencias intercapas.

Componentes clave:

1. Velocidad de representación ($\delta_\ell$):
   En lugar de monitorear las activaciones crudas, LCF calcula la diferencia entre los estados ocultos de capas adyacentes:
   $$\delta_\ell = h_{\ell+1} - h_\ell$$
   Esto captura la "velocidad" de la maduración de la representación.

2. Puntuación de anomalía por capa (Mahalanobis diagonal):
   Para cada capa $\ell$, LCF calcula una distancia de Mahalanobis sobre $\delta_\ell$. Crucialmente, utiliza una matriz de covarianza diagonal para amplificar las dimensiones de baja varianza donde el procesamiento limpio es estable, pero el comportamiento erróneo causa grandes desplazamientos:
   $$s_\ell = \left\| \frac{\delta_\ell - \mu_\ell}{\sigma_\ell} \right\|^2$$
   donde $\mu_\ell$ y $\sigma_\ell$ se estiman a partir de un pequeño conjunto de calibración limpio.

3. Agregación de todas las capas (Contracción Ledoit–Wolf):
   Dado que la ubicación de la anomalía varía según la arquitectura y el tipo de amenaza, LCF agrega las puntuaciones a través de todas las $L$ capas. Aborda el problema de "muestra pequeña, alta dimensión" ($n=200$ muestras, $L \approx 30\text{--}50$ capas) aplicando contracción Ledoit–Wolf para estimar una matriz de precisión regularizada $P$.
   $$D = \sqrt{(z - \bar{z})^\top P (z - \bar{z})}$$
   donde $z$ es el vector de puntuaciones de capas estandarizadas (z-score). Esto captura desviaciones correlacionadas a través de la red.

4. Calibración y umbralización:

   • Entrada: Un pequeño conjunto de datos limpio (200 ejemplos) de la distribución de despliegue.
   • Umbral ($\tau$): Determinado mediante calibración Leave-One-Out (LOO) para apuntar a una Tasa de Falsos Positivos (FPR) específica (por ejemplo, 10%).
   • Decisión: Si $D > \tau$, el sistema se abstiene (devuelve una solución de respaldo segura) antes de generar cualquier token. De lo contrario, la salida pasa sin modificaciones.

3. Contribuciones clave

1. Detección unificada de amenazas: LCF es el primer monitor en tiempo de ejecución que detecta puertas traseras, jailbreaks e inyecciones de prompts utilizando una única puntuación agnóstica a la amenaza, sin requerir conocimiento de desencadenantes, modelos de referencia ni edición de pesos.
2. Estratificación de profundidad de tres bandas: El artículo identifica empíricamente que diferentes amenazas concentran anomalías a diferentes profundidades:
   • Jailbreaks: Capas tempranas (interrupción del procesamiento inicial de tokens).
   • Inyecciones de prompts: Capas medias (competencia con el contexto previsto).
   • Puertas traseras: Capas tardías (específicas de la arquitectura, donde el modelo se compromete con la salida).
   • Significado: Esto explica por qué es necesaria una agregación de todas las capas; ninguna capa individual proporciona cobertura universal.
3. Eficiencia: LCF opera con <0.1% de sobrecarga de inferencia, inspeccionando solo el paso de prellenado (paso 0) y sin requerir pasadas forward adicionales ni modelos auxiliares.

4. Resultados experimentales

El método se evaluó en cuatro arquitecturas (Llama-3-8B, Qwen2.5-7B, Gemma-2-9B, Qwen2.5-14B) a través de 56 combinaciones de puertas traseras, 3 técnicas de jailbreak y benchmarks de inyección de prompts (BIPIA).

• Defensa contra puertas traseras:
  • Redujo la Tasa Media de Éxito del Ataque (ASR) a <1% en Qwen2.5-7B (0.9%) y Gemma-2 (0.7%).
  • Logró un ASR del 1.3% en el mayor Qwen2.5-14B.
  • Superó a líneas base como CleanGen (que requiere un modelo de referencia) y CROW (que requiere edición de pesos).
• Detección de jailbreaks:
  • Detectó 92–100% de los jailbreaks estilo DAN.
  • Detectó 62–100% de los ataques GCG y de juegos de roles más suaves.
  • Logró una paridad casi total con detectores supervisados de estados ocultos (LLMScan) pero a un costo computacional 65–113 veces menor (una sola prellenado frente a 65+ pasadas forward).
• Inyección de prompts:
  • Marcó 100% de las inyecciones de carga útil de texto en todos los modelos y dominios.
  • Detectó inyecciones de carga útil de código con alta precisión (escalando con el tamaño del modelo; 100% en Qwen2.5-14B).
• Robustez:
  • Bajo ataques adaptativos (donde el atacante minimiza la puntuación LCF), LCF permaneció robusta en niveles de regularización moderados, mientras que las variantes de una sola capa fueron fácilmente evadidas.

5. Significado e impacto

• Capa de seguridad de propósito general: LCF proporciona un mecanismo de seguridad práctico y "plug-and-play" para LLMs servidos en la nube y en dispositivos, que no depende de la suposición poco realista de un modelo de referencia limpio o desencadenantes conocidos.
• Viabilidad operativa: Al operar con una sobrecarga insignificante y sin reentrenamiento, resuelve el cuello de botella de despliegue donde las defensas existentes son demasiado lentas o intensivas en recursos.
• Perspectiva teórica: El descubrimiento de la "estratificación de profundidad de tres bandas" ofrece una nueva lente para comprender cómo diferentes tipos de entradas adversarias perturban el grafo computacional interno de los transformadores, sugiriendo que diferentes familias de amenazas involucran etapas computacionales distintas.
• Limitaciones: El método actualmente requiere acceso de caja blanca a los estados ocultos. También muestra una Tasa de Falsos Positivos más alta (12–22%) que el 10% objetivo debido a la varianza de la muestra finita, y detecta "desplazamiento" (cambios en la media) pero no "dispersión" (cambios de varianza), lo que significa que podría pasar por alto tipos de errores de alucinación que no desplazan la trayectoria media.

En conclusión, LCF representa un paso significativo hacia una seguridad robusta y agnóstica al tiempo de ejecución para LLMs, aprovechando las propiedades geométricas de la convergencia por capas para detectar un amplio espectro de comportamientos erróneos con un costo computacional mínimo.