TwinGate: Stateful Defense against Decompositional Jailbreaks in Untraceable Traffic via Asymmetric Contrastive Learning

1. Definición del Problema

El artículo aborda la vulnerabilidad crítica de los Modelos de Lenguaje Grande (LLM) ante los jailbreaks de descomposición. A diferencia de los ataques tradicionales que intentan eludir los filtros de seguridad dentro de un solo prompt, los ataques de descomposición fragmentan un objetivo malicioso (por ejemplo, "cómo construir una bomba") en una secuencia de subconsultas individualmente benignas y semánticamente disjuntas (por ejemplo, "propiedades de los explosivos", "reacciones químicas").

Desafíos Clave:

• Limitaciones sin estado: Las defensas existentes (por ejemplo, guardarríles estándar) evalúan los prompts de forma aislada. Dado que los fragmentos individuales parecen seguros, estas defensas no logran detectar la intención maliciosa acumulativa.
• Tráfico no rastreable: En implementaciones del mundo real, los atacantes pueden distribuir fragmentos a través de múltiples sesiones anónimas, direcciones IP o cuentas de usuario. Las defensas que dependen de metadatos de usuario (IDs de sesión, IPs) para rastrear el historial de conversión se eluden fácilmente.
• Brecha semántica: Los fragmentos de la misma intención maliciosa a menudo comparten una similitud semántica insignificante (por ejemplo, "cableado" frente a "fertilizante"), lo que dificulta su agrupación utilizando modelos de incrustación estándar.
• Sobrecarga operativa: Las soluciones con estado existentes a menudo dependen de modelos generativos pesados para el análisis de contexto en tiempo real, introduciendo latencia y costos computacionales prohibitivos inadecuados para entornos de producción de alto rendimiento.

2. Metodología: TwinGate

TwinGate es un marco de defensa con estado y codificador dual diseñado para operar sin metadatos de usuario, confiando puramente en el análisis semántico de un flujo continuo de solicitudes no rastreables.

A. Arquitectura Central

El sistema emplea dos codificadores paralelos y un repositorio global de vectores:

1. Codificador Ajustado con ACL (Vector de Intención): Utiliza Aprendizaje Contrastivo Asimétrico (ACL) para mapear consultas en un espacio latente organizado por intención maliciosa en lugar de semántica superficial. Agrupa fragmentos semánticamente dispares del mismo ataque en grupos compactos.
2. Codificador Congelado (Vector Semántico): Un codificador preentrenado y congelado que captura el significado literal superficial. Actúa como un ancla conservadora para prevenir falsos positivos en consultas benignas y repetitivas.
3. Repositorio Global de Vectores: Almacena vectores de solicitudes históricas (tanto semánticos como de intención) para recuperación con estado.

B. Aprendizaje Contrastivo Asimétrico (ACL)

El aprendizaje contrastivo estándar agrupa elementos similares entre sí. El ACL introduce una asimetría:

• Atracción Positiva: Todos los fragmentos derivados de una única intención maliciosa (y la intención original misma) se atraen hacia un grupo denso.
• Repulsión Negativa: Las consultas benignas actúan únicamente como muestras negativas. Empujan los grupos maliciosos hacia afuera, pero no se agrupan entre sí. Esto preserva la variedad natural del tráfico benigno mientras aísla la intención maliciosa.
• Estrategia de Entrenamiento: El modelo se entrena en un conjunto de datos masivo donde la intención maliciosa original sirve como un "ancla densa" para sus fragmentos descompuestos, cerrando la brecha semántica.

C. Lógica de Decisión en Dos Etapas

Para equilibrar la sensibilidad y la precisión, TwinGate utiliza un proceso de decisión en cascada:

1. Etapa 1: Herencia de Equivalencia Semántica (Control de FPR):
   • El sistema verifica primero si la consulta entrante es semánticamente idéntica a una solicitud previamente juzgada utilizando el Codificador Congelado.
   • Si se encuentra una coincidencia (similitud > $\tau_{sem}$), el sistema hereda la decisión anterior (por ejemplo, si la consulta benigna anterior fue permitida, esta también lo será). Esto elude por completo la verificación ACL, asegurando que las consultas benignas de alta frecuencia no disparen falsas alarmas.
2. Etapa 2: Detección de Ataques Basada en Intención:
   • Si la consulta es nueva, el Codificador ACL genera un vector de intención.
   • El sistema consulta la base de datos de vectores para obtener la similitud máxima con los grupos maliciosos históricos.
   • Si la similitud supera el umbral de intención ($\tau_{int}$), la solicitud se bloquea.

D. Implementación del Sistema

• Pipeline Consciente del Hardware: Diseñado para 4 GPUs NVIDIA A100. Utiliza NVLink para transferencia de datos sin copia entre codificadores y bases de datos vectoriales en memoria (HBM), evitando cuellos de botella en PCIe.
• Procesamiento Asíncrono: Desacopla la E/S del cálculo neuronal, permitiendo que la defensa se ejecute en paralelo con la fase de prellenado del LLM objetivo con latencia insignificante.

3. Contribuciones Clave

1. Modelo de Amenaza Novel: Primera definición formal y estudio de la defensa contra jailbreaks de descomposición en tráfico no rastreable (sin metadatos), un desafío prácticamente significativo pero previamente inexplorado.
2. Marco TwinGate: Un mecanismo con estado de codificador dual que identifica la intención maliciosa acumulativa sin depender de la identidad del usuario, utilizando ACL para cerrar la brecha semántica entre ataques fragmentados.
3. Conjunto de Datos a Gran Escala: Construcción de una referencia integral que contiene 3,62 millones de instrucciones, incluyendo:
   • 8.600 intenciones maliciosas distintas.
   • 250k intenciones benignas (con descomposiciones).
   • 603k consultas benignas independientes.
   • Datos generados por múltiples modelos "divisores" para garantizar robustez frente a diversas estrategias de descomposición.
4. Límites Teóricos: Proporció pruebas geométricas y computacionales (Teoremas 1 y 2) que demuestran que los ataques de evasión adaptativa son computacionalmente intratables debido a los límites de empaquetado esférico del espacio latente y al costo exponencial de búsqueda requerido para eludir las restricciones históricas.

4. Resultados Experimentales

Evaluado en el conjunto de datos construido bajo un protocolo estrictamente causal (sin contexto futuro):

• Rendimiento de Seguridad:
  • Recall de Intención Maliciosa: > 0,76 (detecta la cadena de ataque).
  • Tasa de Falsos Positivos (FPR): < 0,2% ($2 \times 10^{-3}$), significativamente más baja que las líneas base.
  • Robustez Adaptativa: Contra ataques adaptativos de caja blanca (incluyendo optimización GCG y reescritura semántica), la Tasa de Éxito del Ataque (ASR) disminuyó de ~0,99 (sin defensa) a 0,18.
• Rendimiento y Escalabilidad:
  • Rendimiento: Mantiene >1.700 QPS (Consultas por Segundo), aproximadamente 10 veces más alto que los guardarríles de línea base de 7 mil millones de parámetros.
  • Latencia: Mantiene una latencia $P_{99}$ de < 300 ms, permitiendo que se ejecute de forma transparente dentro de la fase de prellenado del LLM.
  • Escalabilidad de la Base de Datos: Una sola GPU de 40 GB puede manejar robustamente 6 millones de solicitudes históricas con un crecimiento de latencia sublineal.
• Estudios de Ablación:
  • Eliminar el Codificador Congelado hizo que el FPR se disparara debido a que las consultas benignas repetidas fueron marcadas.
  • Eliminar ACL (utilizando aprendizaje contrastivo simétrico o codificadores sin procesar) resultó en un colapso del recall, demostrando la necesidad de la agrupación específica de intenciones.
  • El sistema mostró una fuerte generalización zero-shot contra modelos descomponedores no vistos.

5. Significado

TwinGate representa un cambio de paradigma en la seguridad de los LLM, pasando del filtrado estático de un solo turno a la supervisión semántica dinámica y con estado que es viable para la producción.

• Practicidad: Resuelve el compromiso "sin estado vs. con estado" logrando detección con estado sin la sobrecarga computacional de modelos generativos ni los riesgos de privacidad del rastreo de metadatos.
• Escalabilidad: Su diseño consciente del hardware y su enfoque de recuperación vectorial lo convierten en la primera defensa capaz de manejar flujos de tráfico no rastreables de alto rendimiento en tiempo real.
• Robustez: Neutraliza eficazmente ataques sofisticados de descomposición que anteriormente eludían todas las defensas conocidas, estableciendo un nuevo estándar para la robustez adversarial en LLM.