Homoglyph-based Adversarial Perturbation of Introductory Computer Science Theory Problems

Resumen Técnico: Perturbación Adversarial Basada en Homoglyphs de Problemas de Teoría de Informática Introductoria

Enunciado del Problema
La adopción generalizada de Modelos de Lenguaje Grande (LLM) como ChatGPT, Gemini y Claude plantea un desafío significativo para la integridad académica, particularmente en cursos introductorios de Informática y Matemáticas Discretas. Los estudiantes pueden utilizar estas herramientas para completar tareas sin involucrarse con el material, incumpliendo así los objetivos de aprendizaje del curso. Las estrategias actuales de aplicación, como la detección de contenido generado por IA, son poco fiables y propensas a acusaciones falsas. Además, los enfoques adversarios estándar suelen fallar frente a los LLM modernos porque estos modelos son robustos frente a perturbaciones simples de caracteres; frecuentemente "reparan" los prompts modificados al depender de patrones memorizados de sus datos de entrenamiento, que a menudo incluyen problemas ampliamente utilizados de libros de texto.

Metodología
Los autores proponen un método de cuatro pasos para crear perturbaciones adversarias que hagan ineficaces los prompts de asignación para los LLM, manteniéndose visualmente idénticos para los humanos. El enfoque opera bajo el "modelo de estudiante perezoso", asumiendo que los estudiantes copian y pegan los prompts directamente en las interfaces de los LLM.

1. Identificación de Sesgo: El método comienza identificando partes de una pregunta donde el LLM exhibe un fuerte sesgo hacia los datos de entrenamiento originales. Incluso si se eliminan adjetivos o números críticos, el modelo a menudo alucina la información faltante basándose en su familiaridad con el material fuente (por ejemplo, insertar "racional" en un prompt sobre "números no nulos" porque el problema original del libro de texto lo contenía).
2. Modificación Semántica: Si la pregunta original carece de caracteres numéricos específicos o expresiones matemáticas, el método modifica el prompt para introducirlos sin alterar el significado semántico ni la dificultad para un estudiante humano. Por ejemplo, una declaración general sobre números irracionales se reescribe para incluir variables específicas (por ejemplo, $x$ e $y$) o coeficientes (por ejemplo, $7x$). Esto crea una variación del problema que es menos probable que exista literalmente en el conjunto de datos de entrenamiento del modelo.
3. Selección de Homoglyphs: Los autores seleccionan homoglyphs específicos (caracteres que se ven similares a los caracteres alfanuméricos estándar pero tienen puntos de código Unicode diferentes) que son fácilmente legibles por los humanos pero no reconocidos por los LLM. El proceso de selección implica probar si el LLM falla al identificar el homoglyph como el carácter pretendido.
4. Aplicación de Perturbación: Los homoglyphs seleccionados se utilizan para reemplazar caracteres clave (típicamente coeficientes numéricos o símbolos involucrados en aritmética) en el prompt modificado. Esto interrumpe el proceso de tokenización del LLM. Debido a que el modelo no reconoce el homoglyph, no puede mapearlo al token correcto. En consecuencia, el modelo ignora el carácter perturbado o lo sustituye por un token hacia el cual tiene un sesgo (a menudo el carácter original de los datos de entrenamiento), lo que lleva a una solución incorrecta.

Contribuciones Clave

• Estrategia de Perturbación Adversarial: Un enfoque novedoso que combina la modificación semántica con ataques basados en homoglyphs para eludir la robustez de los LLM modernos frente a alteraciones simples de texto.
• Explotación del Sesgo del Modelo: El método aprovecha la tendencia de los LLM a "reparar" prompts basándose en datos de entrenamiento memorizados, volviendo esta característica contra el modelo al introducir una estructura de problema modificada que el modelo intenta "corregir" incorrectamente.
• Herramienta Interactiva: El desarrollo de una herramienta fácil de usar que permite a los instructores cargar archivos de homoglyphs, seleccionar caracteres y generar preguntas perturbadas de manera eficiente.
• Validación Empírica: Una evaluación sistemática utilizando 69 preguntas basadas en texto de un currículo estándar de Matemáticas Discretas (derivado de Matemáticas Discretas y sus Aplicaciones de Rosen).

Resultados Experimentales
El estudio probó el método en 69 preguntas de tareas basadas puramente en texto utilizando ChatGPT y Gemini.

• Eficacia: El método engañó con éxito a ambos modelos en todas las preguntas probadas.
• Eficiencia: Las perturbaciones requeridas fueron mínimas. En promedio, se necesitaron solo 1.54 intentos para ChatGPT y 1.67 para Gemini para encontrar una perturbación exitosa.
• Recuento de Caracteres: El número promedio de caracteres perturbados por pregunta fue aproximadamente 3.09 para ChatGPT y 3.01 para Gemini. En muchos casos, perturbar un solo carácter (por ejemplo, cambiar un coeficiente numérico como "8" por un homoglyph de "6") fue suficiente para causar que el modelo fallara.
• Observaciones sobre la Densidad de Perturbación: Los autores notaron que una perturbación excesiva (cambiar múltiples caracteres) podría reducir a veces la eficacia, ya que el modelo podría interpretar los homoglyphs como un nuevo factor común en lugar de no reconocerlos. Por el contrario, una perturbación mínima a menudo arrojó mejores resultados.
• Limitaciones: El método es más efectivo en caracteres numéricos involucrados en aritmética. Se encontró que perturbar caracteres que sirven puramente como marcadores simbólicos (por ejemplo, "0" y "1" en una definición de lenguaje formal como $\{0^n1^{2n}\}$) era ineficaz.

Significado y Afirmaciones
El artículo afirma que este método ofrece un disuasivo práctico y no punitivo para el fraude asistido por IA en cursos de teoría informática. Al modificar los prompts para que sean visualmente indistinguibles para los humanos pero semánticamente confusos para los LLM, los instructores pueden asegurar que los estudiantes deben involucrarse con el material para resolver los problemas. Los autores enfatizan que este enfoque amplía las opciones para la estrategia de "desautorizar contenido generado por IA", proporcionando una defensa proactiva que no depende de algoritmos de detección poco fiables. El trabajo es modesto en alcance, centrándose específicamente en problemas de teoría introductoria y demostrando que incluso los LLM altamente robustos pueden verse comprometidos por perturbaciones mínimas cuidadosamente seleccionadas.