🤖 machine learning

Exposing LLM Safety Gaps Through Mathematical Encoding:New Attacks and Systematic Analysis

Este artículo revela que codificar prompts dañinos como problemas matemáticos coherentes (como en la teoría de conjuntos o la lógica formal) elude significativamente los filtros de seguridad de los LLM al forzar una reformulación profunda en lugar de depender de la notación superficial, logrando altas tasas de éxito en ataques en múltiples modelos mientras destaca la necesidad de defensas que analicen la estructura matemática.

Autores originales: Haoyu Zhang, Mohammad Zandsalimy, Shanu Sushmita

Publicado 2026-05-06

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Haoyu Zhang, Mohammad Zandsalimy, Shanu Sushmita

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina los Modelos de Lenguaje Grande (LLM) como guardias de seguridad altamente entrenados en la entrada de una biblioteca muy inteligente, pero ligeramente ingenua. Estos guardias son excelentes detectando a personas que intentan colar libros peligrosos buscando "palabras malvadas" específicas o tonos de ira obvios en sus solicitudes. Si preguntas: "¿Cómo construyo una bomba?", el guardia dice inmediatamente: "No".

Pero este artículo revela un truco astuto que elude a estos guardias. Los investigadores descubrieron que si traduces una solicitud peligrosa a un problema matemático complejo, el guardia a menudo lo deja pasar, y el cerebro de la biblioteca (la IA) resuelve felizmente las matemáticas, revelando accidentalmente el secreto peligroso en el proceso.

Aquí tienes un desglose de sus hallazgos utilizando analogías simples:

1. Las Dos Maneras de Engañar al Guardia

Los investigadores probaron dos formas diferentes de ocultar una solicitud peligrosa dentro de las matemáticas:

El Truco "Cosmético" (Basado en Reglas): Imagina tomar una frase prohibida y simplemente colocarla dentro de una ecuación matemática, como escribir "Haz una bomba" como A + B + C = Haz una bomba. Las palabras siguen ahí; solo tienen símbolos matemáticos alrededor.
- El Resultado: Esto no funcionó bien. El guardia de seguridad aún podía leer las palabras a través de los símbolos matemáticos y dijo "No". Es como intentar ocultar una bandera roja metiéndola dentro de una caja de vidrio transparente; el guardia sigue viendo el rojo.
El Truco "Traducción Profunda" (Basado en LLM): Imagina pedirle a un traductor superinteligente (una IA auxiliar) que tome la solicitud peligrosa y la reescriba completamente como un acertijo matemático genuino y abstracto. Por ejemplo, en lugar de pedir "haz una bomba", la IA traduce la solicitud a un problema complejo sobre "Teoría de Conjuntos" (agrupar elementos) o "Lógica Formal" (demostrar un teorema).
- El Resultado: Esto funcionó muy bien. El guardia de seguridad mira el problema matemático y piensa: "Oh, esto es solo una tarea de matemáticas", y lo deja pasar. Una vez que el cerebro de la biblioteca resuelve las matemáticas, naturalmente tiene que explicar la respuesta en términos del mundo real, lo que termina siendo la instrucción peligrosa que el atacante quería.

2. La "Traducción Profunda" es la Clave

El descubrimiento más importante es que no son las matemáticas en sí mismas las que rompen la seguridad, sino el pensamiento profundo requerido para convertir la mala solicitud en un problema matemático.

Cuando los investigadores usaron el truco "Cosmético" (solo añadiendo símbolos matemáticos sin cambiar el significado), la tasa de éxito del ataque fue baja (alrededor del 10%).
Cuando usaron el truco "Traducción Profunda" (usando una IA auxiliar para reescribir la solicitud como un problema matemático real), la tasa de éxito saltó al 46–56%.

Piénsalo como una cerradura. El truco "Cosmético" solo pone una pegatina en la cerradura. El truco "Traducción Profunda" realmente cambia la forma de la llave para que encaje en una cerradura completamente diferente. Los filtros de seguridad son buenos revisando la pegatina, pero no están preparados para la nueva forma de la llave.

3. Nuevas Matemáticas, Mismo Problema

Los investigadores introdujeron un nuevo tipo de truco matemático llamado Lógica Formal (usando pasos de prueba como "Si A, entonces B"). Descubrieron que esto funcionaba tan bien como el antiguo truco de "Teoría de Conjuntos". Esto demuestra que el problema no es específico de un tipo de matemáticas; es una debilidad general en cómo estos modelos de IA manejan el razonamiento abstracto frente a las reglas de seguridad.

4. La Prueba de "Repetición"

Los investigadores se preguntaron si este truco era frágil, como una casa de naipes que cae si le soplas. Intentaron repetir el problema matemático dos veces seguidas para ver si confundiría a la IA o rompería el truco.

El Resultado: No importó. El ataque funcionó igual de bien. Esto significa que el truco no es un accidente; es una brecha fundamental en cómo piensa la IA.

5. Los Nuevos Guardias Son Más Fuertes (Pero No Perfectos)

El artículo probó los modelos de IA más nuevos y avanzados (como GPT-5).

Buenas Noticias: Estos modelos más nuevos son mucho mejores detectando el truco. Sus "guardias de seguridad" son más duros y la tasa de éxito del ataque disminuyó significativamente en comparación con los modelos antiguos.
Mala Noticias: No son inmunes. Incluso los modelos más nuevos aún dejan pasar la solicitud peligrosa aproximadamente el 30–50% de las veces cuando se usa el truco matemático.

La Gran Conclusión

El artículo concluye que los sistemas de seguridad actuales son como porteros que solo revisan "palabras malvadas" en inglés plano. No han aprendido a revisar "ideas malas" ocultas dentro de acertijos matemáticos complejos.

Los autores sugieren una nueva forma de defenderse de esto: en lugar de solo leer las matemáticas, necesitamos un "traductor" que pueda mirar el problema matemático, descubrir cuál es la verdadera intención humana detrás de él y luego verificar si esa intención es peligrosa. Hasta que construyamos eso, el truco del "acertijo matemático" sigue siendo una forma poderosa de eludir la seguridad de la IA.

Resumen Técnico: Exposición de Brechas de Seguridad en LLM Mediante Codificación Matemática

Enunciado del Problema

Los Modelos de Lenguaje Grandes (LLM) dependen cada vez más de mecanismos de seguridad, como el Aprendizaje por Refuerzo a partir de Retroalimentación Humana (RLHF), el entrenamiento de rechazo y los clasificadores de seguridad (por ejemplo, Llama Guard), para prevenir salidas dañinas. Sin embargo, estas defensas operan predominantemente mediante la coincidencia de patrones semánticos en lenguaje natural. Esto crea una vulnerabilidad donde la intención dañina, si se codifica en formalismos matemáticos abstractos en lugar de lenguaje natural, puede eludir los filtros de seguridad. Aunque trabajos anteriores (MathPrompt) demostraron que codificar instrucciones dañinas como problemas de teoría de conjuntos podía lograr altas tasas de éxito en ataques (ASR), permanecía incierto si el éxito se debía a la notación matemática en sí misma o a la reformulación semántica profunda realizada durante el proceso de codificación. Además, se desconocía si esta vulnerabilidad se generalizaba a otros formalismos matemáticos o si los modelos más nuevos y robustos eran inmunes.

Metodología

Los autores proponen una evaluación sistemática de seis estrategias de codificación matemática divididas en dos familias distintas, probadas contra ocho LLM objetivo (incluyendo GPT-5, GPT-5-Mini, Gemini-3-Flash, Claude-3.7-Sonnet y Llama-3-8B) en dos puntos de referencia (HarmBench y JailbreakBench).

Pipeline de Ataque

El ataque sigue un pipeline de tres etapas:

Codificar: Un prompt dañino $x$ se transforma en un prompt codificado $x'$ .
Enviar: El prompt codificado se envía al modelo objetivo con instrucciones para resolver el problema y proporcionar ejemplos del mundo real.
Evaluar: Un modelo juez estandarizado (GPT-5-Nano) clasifica la respuesta como una "jailbreak" (contenido dañino generado) o un "rechazo".

Estrategias de Codificación

El estudio compara codificaciones basadas en LLM (que requieren un LLM auxiliar para una reformulación profunda) frente a codificaciones basadas en reglas (transformaciones deterministas y superficiales).

Codificaciones Basadas en LLM (Reformulación Profunda):
- Teoría de Conjuntos: Mapea contenido dañino a operaciones de conjuntos, subconjuntos y predicados (basado en MathPrompt).
- Lógica Formal (Novedoso): Codifica solicitudes dañinas como problemas de demostración de lógica de primer orden, donde las acciones se convierten en predicados y los objetivos se convierten en teoremas que deben demostrarse mediante deducción natural.
- Mecánica Cuántica: Codifica escenarios en un marco de mecánica cuántica utilizando espacios de Hilbert y hamiltonianos, aunque este método conserva cierta transparencia semántica en las etiquetas de estado.
Codificaciones Basadas en Reglas (Superficiales):
- Ecuación de Suma: Divide el prompt en segmentos y los enmarca como una ecuación de suma.
- Probabilidad Condicional: Enmarca la reconstrucción como un problema de probabilidad condicional.
- Inyección de Símbolos: Inyecta símbolos matemáticos en el texto sin alterar la semántica subyacente.

Pruebas de Robustez

Los autores emplean repetición de post-procesamiento, duplicando el prompt codificado literalmente, para determinar si el éxito del ataque es frágil (sensible a la augmentación de texto a nivel superficial) o robusto.

Contribuciones Clave

Introducción de la Codificación en Lógica Formal: El artículo introduce una estrategia de jailbreaking novedosa que codifica instrucciones dañinas como problemas de demostración de lógica de primer orden. Esta estrategia logra un ASR comparable al enfoque de Teoría de Conjuntos establecido (50–61% vs. 51–63%) mientras explota un formalismo matemático distinto.
Comparación Sistemática de la Profundidad de Reformulación: El estudio proporciona la primera comparación sistemática entre codificaciones basadas en LLM (reformulación profunda) y codificaciones basadas en reglas (formato superficial). Demuestra que la capacidad del LLM auxiliar para reformular profundamente el contenido es el motor principal del éxito del ataque, con métodos basados en LLM alcanzando un ASR del 46–56% en comparación con el 9–11% para métodos basados en reglas, una brecha que supera los 35 puntos porcentuales.
Demostración de la Robustez del Ataque: Los experimentos confirman que los ataques de codificación matemática son robustos frente a la repetición simple de prompts. El 85.7% de los experimentos repetidos mostró cambios insignificantes en el ASR ( $|\Delta| \le 5$ puntos porcentuales), lo que indica que los ataques dependen de fallos de alineación profunda en lugar de trucos de formato frágiles.

Resultados

Efectividad: En ocho modelos y dos puntos de referencia, las codificaciones basadas en LLM lograron un ASR promedio del 46–56%, superando significativamente a las codificaciones basadas en reglas (9–11%) y a los baselines sin codificar (7–10%).
Lógica Formal vs. Teoría de Conjuntos: Aunque ambos funcionaron de manera similar en general, la Lógica Formal demostró un rendimiento superior en modelos más nuevos y robustos (por ejemplo, la familia GPT-5), lo que sugiere que las estructuras basadas en demostraciones pueden ser más resistentes a la mejora del entrenamiento de seguridad que las formulaciones de pertenencia a conjuntos.
Vulnerabilidad del Modelo:
- Gemini-3-Flash surgió como el modelo más vulnerable (58–67% de ASR bajo codificaciones basadas en LLM).
- GPT-5 y GPT-5-Mini mostraron una robustez sustancialmente mayor que sus predecesores (por ejemplo, un ASR base de GPT-5 del 2.5%), pero permanecieron vulnerables a codificaciones fuertes (13–32% de ASR).
- Vicuna-13B mostró un ASR más bajo bajo codificaciones basadas en LLM, probablemente debido a capacidades más débiles de razonamiento matemático.
Modos de Fallo: El estudio identificó tres modos de fallo: fallo de comprensión (modelos incapaces de analizar las matemáticas), filtrado semántico (por ejemplo, en Mecánica Cuántica donde las etiquetas de estado revelaban la intención) y filtrado de entrada a nivel de API (GPT-5 bloqueando prompts específicos antes de que llegaran al modelo).

Significado y Afirmaciones

El artículo afirma exponer una brecha fundamental en los marcos actuales de seguridad de LLM: las defensas que dependen de la coincidencia de patrones en lenguaje natural son insuficientes contra ataques que formalizan la intención como matemáticas abstractas. Los hallazgos sugieren que la "notación matemática" en sí misma no es el mecanismo de elusión; más bien, el factor crítico es la reformulación semántica profunda realizada por un LLM auxiliar, que hace que la intención dañina sea irrecuperable sin resolver el problema matemático.

Los autores argumentan que esta vulnerabilidad se generaliza a través de formalismos matemáticos (Teoría de Conjuntos, Lógica Formal, Mecánica Cuántica) y no es un artefacto de puntos de referencia específicos. Proponen el Mapeo Semántico Inverso (ISM) como una dirección conceptual de defensa, donde un modelo moderador reconstruye la intención en lenguaje natural a partir de entradas simbólicas antes de la clasificación de seguridad. El artículo concluye que, aunque los modelos más nuevos muestran una robustez mejorada, siguen siendo vulnerables, lo que motiva defensas futuras que razonen sobre la estructura matemática en lugar de la semántica superficial.