Resumen Técnico: LASH (Hibridación Semántica Adaptativa para Jailbreaking de Caja Negra)

Declaración del Problema

A pesar de las técnicas de alineación como el Aprendizaje por Refuerzo a partir de Retroalimentación Humana (RLHF) y la IA Constitucional, los Modelos de Lenguaje Grandes (LLM) siguen siendo vulnerables a la ingeniería de prompts adversarios. Si bien los ataques de jailbreaking automatizados han evolucionado desde la creación manual hasta métodos basados en gradientes de caja blanca (por ejemplo, GCG) y estrategias iterativas de caja negra (por ejemplo, PAIR, TAP), persiste una limitación crítica: los métodos automatizados existentes suelen comprometerse con una única "familia de ataques" (por ejemplo, un bucle de refinamiento específico, búsqueda en árbol, espacio de mutación o biblioteca de estrategias). La evidencia empírica demuestra que ninguna familia única domina; el método más efectivo varía significativamente dependiendo de la arquitectura del modelo objetivo y la categoría específica de daño. En consecuencia, los enfoques actuales no logran aprovechar las fortalezas complementarias de diferentes estrategias de ataque, perdiendo a menudo jailbreaks exitosos que podrían lograrse combinando señales parciales de múltiples métodos.

Metodología: LASH

Los autores presentan LASH (Hibridación Semántica Adaptativa para LLM), un marco de meta-ataque de caja negra diseñado para superar las limitaciones de los espacios de búsqueda de una sola familia. LASH trata las salidas de múltiples ataques existentes de caja negra como "prompts semilla" reutilizables y los compone adaptativamente para cada solicitud objetivo. El marco opera bajo un modelo de amenaza estricto de caja negra, asumiendo únicamente acceso de consulta al modelo objetivo (sin acceso a pesos, gradientes o estados ocultos).

La tubería de LASH consta de cuatro etapas principales:

1. Construcción del Pool de Semillas: Para un prompt de entrada dado $x$, LASH ejecuta múltiples métodos base de ataque de caja negra (por ejemplo, PAIR, TAP, AutoDAN-Turbo) con presupuestos de consulta intencionalmente reducidos. Esto genera un pool de prompts semilla $B(x) = \{b_1, \dots, b_n\}$, donde cada semilla representa una estrategia de ataque distinta, un patrón de redacción o una transformación estructural.
2. Búsqueda de Subconjuntos e Hibridación Ponderada: LASH busca sobre subconjuntos del pool de semillas y asigna pesos de mezcla continuos a las semillas seleccionadas. Para un subconjunto $S$, los logits de valor real $z$ se convierten en pesos de mezcla normalizados $w$ mediante una función softmax. Un LLM de composición ($M$) sintetiza entonces un único prompt candidato coherente $p$ integrando las semillas ponderadas:
   $$p = M(x, \{(b_i, w_i)\})$$
   Este paso asegura que la salida sea un prompt en lenguaje natural en lugar de una simple concatenación textual, preservando la intención de la solicitud original mientras se combinan las fortalezas de las semillas.
3. Optimización Genética Libre de Derivadas: Los pesos de mezcla se optimizan utilizando un algoritmo genético (GA). El GA opera únicamente sobre los logits de valor real (no sobre el texto del prompt en sí), mutándolos mediante ruido gaussiano. La población evoluciona mediante elitismo (seleccionando los genomas de mejor rendimiento) y mutación. Este enfoque mantiene la optimización ligera y completamente de caja negra.
4. Función de Aptitud de Dos Etapas: Los candidatos se evalúan utilizando una métrica de dos etapas para equilibrar la eficiencia y la precisión:
   • Etapa 1 (Detección de Rechazo): Un detector basado en palabras clave filtra las respuestas que contienen marcadores de rechazo explícitos. Los candidatos que fallan en esta etapa reciben una puntuación de 0.
   • Etapa 2 (Puntuación por Juez LLM): Las respuestas que superan el filtro se puntúan por un juez LLM (por ejemplo, GPT-4o-mini) en una escala de 0 a 10 según el grado en que satisfacen sustantivamente la solicitud dañina. Un umbral $\tau$ (por ejemplo, 9) determina el éxito.

Contribuciones Clave

• Composición Adaptativa: LASH es el primer marco que trata las salidas de jailbreaking como componentes composibles, buscando combinaciones ponderadas óptimas a través de familias de ataques heterogéneas en lugar de depender de una única trayectoria de búsqueda.
• Eficiencia de Caja Negra: El marco no requiere acceso de caja blanca, modelos sustitutos o ajuste fino de componentes. Depende enteramente de la retroalimentación a nivel de respuesta y de la optimización libre de derivadas.
• Insight Mecanístico: El documento proporciona evidencia de que el éxito de LASH no se debe meramente a la redacción superficial, sino que induce representaciones internas del modelo más cercanas a las trayectorias de jailbreaking exitosas.

Resultados Experimentales

Los autores evaluaron LASH en JailbreakBench, un benchmark estandarizado que contiene 100 prompts dañinos en 10 categorías, apuntando a seis modelos diversos (incluyendo variantes de Llama-2/3, Vicuna, Gemini y GPT).

• Tasa de Éxito del Ataque (ASR): LASH logró un ASR1 (basado en palabras clave) promedio del 84.5% y un ASR2 (juez LLM de dos etapas) del 74.5%. Esto superó significativamente a cinco líneas base de última generación (PAIR, TAP, AutoDAN, AutoDAN-Turbo, FlipAttack), que oscilaron entre el 27.5% y el 40.67% en ASR2.
• Eficiencia de Consultas: LASH logró estos resultados con una media de solo 30 consultas al objetivo por prompt, en comparación con las líneas base que a menudo requerían significativamente más (por ejemplo, PAIR promediando ~90 consultas).
• Robustez: Bajo tres mecanismos de defensa (SmoothLLM, Llama Guard y Filtrado de Perplejidad), LASH permaneció competitivo, logrando un ASR2 promedio del 41.50% (SmoothLLM), 18.00% (Llama Guard) y 70.83% (Perplejidad), superando generalmente o igualando a las líneas base más fuertes.
• Análisis Mecanístico: Los experimentos de sondeo y parcheo de activación revelaron que los prompts de LASH inducen representaciones internas "similares al éxito" en las capas intermedias del modelo objetivo (específicamente las capas 10–18) que son distintas de las inducidas por prompts semilla fallidos. Parchear las activaciones de LASH en ejecuciones de semillas fallidas aumentó la probabilidad de éxito, confirmando que la hibridación crea estados internos cualitativamente diferentes.

Significado y Afirmaciones

El documento afirma que la composición adaptativa a través de estrategias de jailbreaking heterogéneas es una dirección prometedora para el red-teaming de caja negra. Los autores argumentan que la "complementariedad" de diferentes familias de ataques, donde la debilidad de un método es la fortaleza de otro, es un recurso que los métodos de una sola familia no pueden aprovechar. Al elevar la unidad de optimización desde prompts individuales a mezclas de salidas de ataque, LASH demuestra que un meta-ataque puede superar sistemáticamente la suma de sus partes.

Los autores posicionan a LASH como una herramienta para la evaluación de seguridad pre-despliegue, destacando su naturaleza de doble uso. Indican explícitamente que el método se limita a la optimización de prompts de un solo turno y no es actualmente consciente de la defensa, sugiriendo trabajo futuro en planificación de múltiples turnos y composición adaptativa a salvaguardas. Los resultados sugieren que las alineaciones de seguridad actuales pueden ser más frágiles de lo que se pensaba anteriormente, ya que pueden eludirse mediante la síntesis dinámica de estrategias que evaden desencadenantes específicos de rechazo y controles internos de seguridad.