Resumen Técnico: Prompting Adversarial Condicionado por Persona (PCAP)

Declaración del Problema

El red-teaming automatizado para Modelos de Lenguaje Grande (LLM) adolece actualmente de dos limitaciones críticas: diversidad limitada del atacante y una brecha entre la evaluación y la mitigación accionable. Las pipelines automatizadas existentes a menudo dependen de conjuntos estrechos de tácticas (por ejemplo, plantillas fijas o ataques directos) y transformaciones de un solo disparo. En consecuencia, no logran capturar vectores de ataque realistas y complejos que dependen de la identidad del atacante, la ingeniería social y el encuadre contextual (por ejemplo, confianza basada en roles o jerga específica de dominio). Esta exploración estrecha genera datos insuficientes para un ajuste fino de seguridad robusto y subestima los riesgos del mundo real. Además, aunque existen enfoques de "purple-teaming" para cerrar el ciclo entre el descubrimiento de vulnerabilidades y la defensa, muchos carecen de una diversificación sistemática a través de identidades de atacantes y de una condicionamiento explícito de la estrategia.

Metodología: Prompting Adversarial Condicionado por Persona (PCAP)

Los autores introducen PCAP, un marco que extiende el algoritmo Tree of Attacks with Pruning (TAP). PCAP condiciona la búsqueda adversaria en diversas personas de atacante y conjuntos de estrategias explícitos para explorar escenarios de ataque realistas en un entorno de caja negra.

Componentes Principales

1. Construcción de Persona: Un generador de personas ($G_p$) crea $N$ personas distintas (por ejemplo, estudiantes curiosos, expertos de dominio, actores maliciosos) con demografías únicas, detalles biográficos y características conductuales.
2. Reencuadre de Objetivos: Un modelo de reencuadre ($R$) reinterpreta el objetivo dañino de destino ($g$) dentro del contexto de cada persona ($\pi_i$), produciendo un objetivo personalizado ($\tilde{g}_i$) que incrusta la intención del ataque en la narrativa de la persona.
3. Condicionamiento de Estrategia: Se define un conjunto de estrategias de ataque ($\Sigma$) (por ejemplo, juego de roles, división de carga útil, errores tipográficos). A cada persona se le asigna un subconjunto de estrategias ($\Sigma_i$). El modelo atacante ($A$) se condiciona en la persona, el objetivo reencuadrado y la tarjeta de estrategia específica, actuando como una guía en contexto.
4. Búsqueda Adversaria Paralelizada: En lugar de un único haz de búsqueda, PCAP instancia $N$ búsquedas TAP independientes ejecutándose en paralelo. Cada búsqueda mantiene su propio haz ($S^{(i)}_t$) de ancho $W$. En cada iteración, el atacante condicionado por la persona genera variaciones, que son filtradas por un verificador de pertinencia ($O$), puntuadas por un evaluador ($E$) y podadas a los $W$ mejores candidatos.
5. Generación de Conjuntos de Datos Ricos en Metadatos: Crucialmente, cada prompt exitoso se anota automáticamente con sus etiquetas asignadas de persona, objetivo y estrategia. Esto crea un corpus rico y libre de anotaciones adecuado para entrenar comportamientos de rechazo robustos.

Contribuciones Clave

• Búsqueda Condicionada por Persona: PCAP desplaza el enfoque de modificar la pipeline de refinamiento a cambiar quién es el atacante y cómo ataca. Este enfoque modular explora encuadres lingüísticos y estratégicos diversos que explotan la confianza basada en roles y el encuadre específico de dominio.
• Evaluación Empírica Exhaustiva: Los autores evalúan PCAP en múltiples modelos atacantes con capacidades variables (arquitecturas Densa y Mezcla de Expertos). Demuestran mejoras consistentes en las tasas de éxito del ataque (ASR), la producción de prompts y la transferibilidad frente a guardarraíles dedicados.
• Mitificación de Ciclo Cerrado Práctica: El documento demuestra una pipeline completa desde el descubrimiento de vulnerabilidades hasta la defensa automatizada. Mediante el ajuste fino de adaptadores ligeros (ALoRA) en datos generados por PCAP, los autores muestran mejoras significativas en la robustez del modelo sin anotación manual.
• Lanzamiento de Código de Código Abierto: Los autores se comprometen a lanzar el código de PCAP integrado con un marco de red-teaming tras su aceptación.

Resultados Experimentales

Los experimentos se realizaron en GPT-OSS 120B como modelo objetivo, utilizando varios modelos atacantes (Llama 3.3 70B, Granite 3.3 8B, Granite 4.0 H Tiny, Kimi K2.5, Mixtral 8x22B).

Rendimiento del Ataque

• Tasa de Éxito del Ataque (ASR): PCAP supera significativamente a la línea base TAP. En GPT-OSS 120B, el ASR aumentó de 57.7% a 97.3% (atacante Llama 3.3 70B) y de 41.0% a 98.0% (atacante Granite 4.0 H Tiny).
• Producción de Prompts: PCAP genera 2–6 veces más prompts exitosos diversos por objetivo en comparación con TAP. Por ejemplo, Granite 4.0 H Tiny vio un aumento en la producción de 0.43 a 2.41 prompts/objetivo.
• Transferibilidad: Los prompts generados por PCAP mostraron alta transferibilidad, eludiendo guardarraíles dedicados (Granite Guardian 3.3 y Llama Guard 3) con tasas del 30–58%. Cabe destacar que una parte significativa de estos prompts eludió tanto al modelo objetivo como a los guardarraíles, lo que indica el descubrimiento de vulnerabilidades semánticas generalizables.
• Diversidad: Los prompts de PCAP exhibieron una similitud semántica más baja (similitud de coseno ~0.62–0.67) y puntuaciones Self-BLEU más bajas (0.02–0.08) en comparación con las líneas base, confirmando una alta diversidad léxica y semántica. Las distribuciones de estrategias fueron más equilibradas (puntuaciones $\chi^2$ más bajas) que TAP, que dependía en gran medida del juego de roles.

Mitigación y Robustez

• Ajuste Fino: Adaptadores ligeros ALoRA se ajustaron finamente en el conjunto de datos generado por PCAP (300 prompts a través de 50 objetivos).
• Ganancias de Rendimiento: El ajuste fino mejoró drásticamente la robustez adversaria en tres familias de modelos (Granite, Llama, Qwen).
  • Recall: Mejoró de 0.26–0.36 a 0.96–1.00.
  • Puntuación F1: Mejoró de 0.41–0.53 a 0.96–0.98.
  • Precisión: Mantuvo niveles altos (0.94–0.97) con mínimos falsos positivos.
• Validación de Purple-Teaming: Cuando los modelos ajustados finamente se volvieron a probar con PCAP, demostraron una fuerte resistencia. Por ejemplo, Granite 3.3 8B vio caer el ASR del 100% al 33.7%, y el número de consultas requeridas para encontrar una ruptura de seguridad exitosa aumentó en 5–7 veces. Esto confirma que el conjunto de datos enseña el reconocimiento de patrones de ataque generalizables.

Significado y Afirmaciones

El documento afirma que PCAP proporciona un enfoque completo, automatizado y de ciclo cerrado para la seguridad de los LLM. Al condicionar la búsqueda adversaria en diversas personas, el método descubre vulnerabilidades que las pipelines estrechas pasan por alto, específicamente aquellas que dependen de la ingeniería social y la confianza basada en la identidad.

Los autores enfatizan que la naturaleza libre de anotaciones del conjunto de datos generado es una ventaja práctica clave, eliminando el costo y los problemas de escalabilidad del red-teaming humano. La capacidad de lograr una robustez casi perfecta (F1 > 0.96) mediante un ajuste fino ligero en pocas horas (2–9 horas en A100) demuestra un camino práctico para el endurecimiento continuo de modelos. El trabajo posiciona a PCAP no solo como una herramienta de descubrimiento, sino como un "purple team" funcional que cierra la brecha entre la identificación de vulnerabilidades y la defensa automatizada y efectiva.