Resumen Técnico: Geometry-Lite: Sondeo de seguridad interpretable mediante geometría de margen por capas

Definición del Problema

A medida que los modelos de lenguaje grandes (LLM) se despliegan a gran escala, la detección de nocividad a nivel de prompt se ha convertido en un componente crítico de seguridad. Si bien los sondas de estado oculto que utilizan clasificadores lineales sobre instantáneas de una sola capa (típicamente el último token del prompt) son líneas base estándar, se basan en la suposición de que una sola capa es suficiente para resumir las señales relevantes para la seguridad. Esta suposición merece una reexaminación por dos razones:

1. Casos Limítrofes: El rendimiento agregado en los benchmarks estándar a menudo oculta el comportamiento en prompts ambiguos, los cuales son críticos para los sistemas de seguridad que operan con bajas tasas de falsos positivos.
2. Generalización Fuera de la Distribución (OOD): Los modelos que funcionan bien en divisiones de benchmarks pueden depender de características de atajo que no logran transferirse. Trabajos recientes indican que los sondas de seguridad basados en activaciones sufren una degradación sustancial bajo evaluación cruzada de conjuntos de datos.

La pregunta central de investigación no es meramente si múltiples capas ayudan, sino qué forma de evidencia multicapa sigue siendo útil en regímenes críticos para la toma de decisiones (bajas tasas de falsos positivos) y bajo cambios en los benchmarks. Específicamente, los autores investigan si la señal de seguridad está distribuida a través de las capas, impulsada por el movimiento de capa a capa (desplazamiento), o definida por la posición persistente de un perfil de margen relativo a los límites de seguridad.

Metodología: Geometry-Lite

Los autores introducen Geometry-Lite, una sonda compacta a nivel de prompt diseñada para descomponer las señales de seguridad multicapa a lo largo de ejes geométricos etiquetados. El método opera en tres etapas:

1. Reducción de Margen por Capa

Para cada capa del transformador $\ell$, el estado oculto $D$-dimensional del último token del prompt, $h^{(\ell)}(x)$, se reduce a un margen con signo escalar utilizando tres lecturas geométricas complementarias:

• Distancia al Centroide: La diferencia en la distancia euclidiana a las medias condicionales a la clase ($\mu^+$ para seguro, $\mu^-$ para inseguro).
  $$m^{cent}_\ell(h) = \|h - \mu^-_\ell\|_2 - \|h - \mu^+_\ell\|_2$$
• Vecindad Local k-NN: La diferencia en la distancia coseno media a los $k$ vecinos más cercanos en los conjuntos de entrenamiento seguros e inseguros. Esta es la única lectura no lineal.
  $$m^{knn}_\ell(h) = \bar{c}^-_k(h) - \bar{c}^+_k(h)$$
• Límite Lineal Supervisado: Un límite de regresión logística regularizado con L2 ajustado por capa sobre características estandarizadas, que produce una puntuación con signo.
  $$m^{lin}_\ell(h) = w^\top_\ell z + b_\ell$$

Este proceso convierte la trayectoria del estado oculto $H(x) \in \mathbb{R}^{L \times D}$ en tres trayectorias de margen escalar $m^G(x) \in \mathbb{R}^L$ (donde $G \in \{cent, knn, lin\}$).

2. Resumen del Perfil mediante Ejes Nombrados

Cada perfil de margen se resume a lo largo de tres ejes nombrados para separar formas distintas de señal por capa:

• Nivel de Margen: Captura la posición persistente del límite (por ejemplo, márgenes del punto final, valores extremos, ocupación del lado negativo y área).
• Cambio de Capa a Capa: Aísla el movimiento local mediante diferencias finitas ($\Delta m_\ell = m_{\ell+1} - m_\ell$), separando el movimiento de la posición absoluta.
• Forma Estructural: Captura propiedades gruesas del perfil (por ejemplo, primer cruce de límite, variabilidad del cambio, longitud total del camino y consistencia direccional).

Estos ejes generan un vector de características de 39 dimensiones $\phi(x)$ (13 características por geometría).

3. Clasificación

El vector de 39 dimensiones se introduce en un clasificador de regresión logística regularizado con L2. El número de parámetros es independiente del tamaño del modelo base y de la dimensión oculta.

Líneas Base y Comparaciones

El estudio compara Geometry-Lite contra:

• Sondas de capa única: La capa de mejor rendimiento seleccionada mediante validación.
• MultiLayer-DIM: Agrega proyecciones sobre la dirección de la diferencia de medias a través de las capas.
• MultiLayer-Linear: Agrega puntuaciones lineales supervisadas crudas a través de las capas.
• TaT-Disp-LSTM: Una línea base basada en trayectorias que modela desplazamientos de capa a capa con un LSTM.

Contribuciones Clave

1. Sonda Geometry-Lite: Una sonda compacta e interpretable que convierte estados ocultos por capa en perfiles de margen con signo bajo tres lecturas geométricas y los resume a lo largo de ejes nombrados (posición del límite, cambio y forma).
2. Descomposición de la Evidencia Multicapa: El marco desentraña tres explicaciones de las señales multicapa: agregación a través de capas informativas, posición del margen relativa al límite y movimiento explícito de capa a capa.
3. Hallazgos Empíricos:
   • Concentración de la Señal: La evidencia de seguridad se expresa principalmente a través de la geometría de posición de límite persistente (nivel de margen y ocupación). El movimiento de capa a capa (deriva) contribuye mínimamente al AUROC agregado.
   • Utilidad de la Deriva: Aunque la deriva añade poco al AUROC agrupado, proporciona correcciones dispersas orientadas a la recuperación bajo umbrales desplazados de baja FPR.
   • Compensación de Estabilidad de Lectura: Los límites lineales optimizados son más agudos dentro de la distribución, mientras que la geometría de la media de clase (centroide/DIM) mantiene la separación de manera más fiable bajo cambios en los benchmarks (protocolo LOBO).

Resultados Experimentales

La evaluación abarca nueve modelos base ajustados con instrucciones (familias Llama, Gemma, Qwen; 1.2B–70B) y siete benchmarks de seguridad (XSTest, WildJailbreak, JBB-Behaviors, DoNotAnswer, BeaverTails, PKU-SafeRLHF, ToxicChat).

• Rendimiento Dentro de la Distribución: Geometry-Lite (AUROC 0.955) y MultiLayer-Linear (0.954) superan a la mejor sonda de capa única (0.941) y superan significativamente a MultiLayer-DIM (0.911) y TaT-Disp-LSTM (0.945). Geometry-Lite iguala la acumulación de puntuaciones crudas mientras ofrece interpretabilidad.
• Regímenes Críticos para la Decisión: A bajas tasas de falsos positivos (3% y 5% FPR), la ventaja multicapa es más pronunciada. Geometry-Lite mejora la Tasa de Verdaderos Positivos (TPR) en ~0.06–0.08 sobre la mejor sonda de capa única al 5% FPR.
• Generalización (LOBO): Bajo la evaluación Leave-One-Benchmark-Out, la brecha de rendimiento entre los métodos lineales supervisados y los métodos de media de clase (MultiLayer-DIM) se estrecha. MultiLayer-DIM (0.889) iguala a MultiLayer-Linear (0.889) y supera a la mejor sonda de capa única (0.842) en muchas celdas.
• Ablación de Características:
  • Las características de magnitud por sí solas igualan al modelo completo de 39 características dentro de 0.001–0.002 AUROC.
  • Las características estructurales y las características de deriva negativa por sí solas son significativamente más débiles.
  • Ablación de Lectura: Dentro de la distribución, el límite lineal supervisado es el más fuerte. Bajo cambios difíciles en los benchmarks, la lectura del centroide se convierte en la rama individual más estable, superando a los límites lineales en los subconjuntos retenidos más difíciles.

Significado y Afirmaciones

El artículo afirma que la evidencia de seguridad a nivel de prompt no es principalmente una señal de movimiento de capa a capa, sino una geometría de margen por capa persistente. Los componentes útiles de esta señal son la posición del margen relativa a los límites de seguridad y su persistencia a través de las capas.

El estudio destaca una compensación crítica en el sondeo de seguridad:

• Los límites optimizados (clasificadores lineales) capturan una separación fuerte dentro de la distribución pero se degradan bajo cambios de distribución.
• La geometría de media de clase (centroides/DIM) es menos aguda dentro de la distribución pero más robusta ante cambios en los benchmarks.

En consecuencia, los autores argumentan que los sondas de seguridad multicapa deben evaluarse no solo por el AUROC dentro de la distribución, sino también por qué sesgos geométricos se transfieren bajo cambios. Geometry-Lite sirve como una herramienta para hacer visibles estos componentes y sesgos, particularmente en regímenes críticos para la toma de decisiones donde los falsos positivos son costosos.

Limitaciones: El estudio se limita a resúmenes de margen diseñados a mano, prompts de seguridad de un solo turno y etiquetas de seguridad binarias. El trabajo futuro podría explorar funcionales de perfil aprendidos, monitoreo de múltiples turnos y aplicaciones a otras tareas a nivel de prompt.