Safety-Oriented Routing Analysis of Mixtral MoE Under Benign and Harmful Prompts

Resumen Técnico: Análisis de Enrutamiento Orientado a la Seguridad de Mixtral MoE bajo Prompts Benévolos y Nocivos

Planteamiento del Problema
Los modelos de lenguaje de Mezcla de Expertos (MoE) dispersos, como Mixtral 8x7B, activan solo un pequeño subconjunto de parámetros para cada token, dependiendo de un enrutador para determinar la participación de los expertos. Aunque trabajos previos sugieren que los patrones de enrutamiento en Mixtral se alinean más con la sintaxis que con el dominio semántico, no está claro si el comportamiento del enrutador cambia sistemáticamente al procesar prompts benévolos frente a prompts nocivos. Este artículo investiga si el comportamiento relevante para la seguridad en Mixtral está asociado con mecanismos de enrutamiento internos identificables, examinando específicamente si los prompts nocivos inducen frecuencias de selección de expertos o sensibilidades de gradiente distintas en comparación con los prompts benévolos.

Metodología
Los autores desarrollaron un marco de análisis unificado para estudiar Mixtral 8x7B-Instruct utilizando dos señales complementarias:

1. Puntuaciones Basadas en Activación: Derivadas de la frecuencia de selección de expertos por la puerta del enrutador. Esto captura con qué frecuencia se activan expertos específicos a través de los tokens.
2. Puntuaciones Basadas en Gradiente: Derivadas de la magnitud absoluta del gradiente de los pesos de la puerta del enrutador con respecto a la pérdida de la secuencia. Esto captura cuán influyentes son los parámetros específicos del enrutador para la pérdida del modelo.

El estudio utilizó 20 prompts (10 benévolos, 10 nocivos) para el análisis descriptivo y 100 prompts nocivos para experimentos de intervención. El análisis procedió en tres niveles:

• Nivel de Experto: Análisis de la distribución de puntuaciones en todos los 256 pares de capa-experto (32 capas × 8 expertos) utilizando métricas como $k_{80}$, $k_{90}$ y $k_{95}$ (número de pares necesarios para cubrir el 80–95% de la masa de puntuación) y cortes de codo.
• Nivel de Capa: Cálculo de métricas de concentración (puntuación dominante, suma de los dos primeros, entropía, conteo efectivo de expertos) para cada una de las 32 capas.
• Clasificación de Expertos: Categorización de los pares capa-experto como "dominantes en benévolos", "dominantes en maliciosos" o "compartidos" basándose en la brecha entre los promedios de grupo y los umbrales mínimos de magnitud.
• Intervención: Supresión de los cinco expertos dominantes en benévolos identificados por cada método durante la generación en 100 prompts nocivos para medir cambios en el comportamiento de rechazo (respuestas restringidas frente a no restringidas).

Contribuciones Clave

1. Marco Unificado: Introducción de un marco de doble señal (activación y gradiente) para analizar el comportamiento de enrutamiento interno en Mixtral bajo condiciones relevantes para la seguridad.
2. Divergencia de Señales: Demostración de que el enrutamiento basado en activación es amplio y de cola larga, mientras que la importancia basada en gradiente es sustancialmente más concentrada.
3. Selectividad Específica por Capa: Identificación de que la selectividad basada en activación alcanza su punto máximo en capas medias a tardías (8–15), mientras que la importancia basada en gradiente se concentra agudamente en las capas finales.
4. Superposición de Expertos: Resultados de clasificación que muestran que la mayoría de los expertos se comparten entre los grupos benévolos y nocivos, con solo un subconjunto limitado que muestra una preferencia de grupo clara.
5. Evidencia Causal: Resultados preliminares de intervención que muestran que la supresión de expertos identificados reduce las tasas de rechazo, proporcionando vínculos mecánicos entre el comportamiento de enrutamiento y los resultados de seguridad.

Resultados

• Distribución a Nivel de Experto: Las puntuaciones de activación se distribuyen a través de una gran parte del modelo (requiriendo ~150+ pares para cubrir el 80% de la masa), mientras que las puntuaciones de gradiente están altamente concentradas (requiriendo ~50–60 pares). A pesar de estas diferencias distribucionales, las distribuciones generales de enrutamiento para los grupos benévolos y nocivos permanecen cercanas, con una separación solo modesta.
• Dinámicas a Nivel de Capa:
  • Activación: La región más selectiva son las capas 8–15. Los prompts nocivos se vuelven ligeramente más difusos en las capas finales (24–31).
  • Gradiente: La importancia aumenta agudamente hacia el final de la red, con la concentración más fuerte en la capa final (capa 31). Los conteos efectivos de expertos disminuyen significativamente en estas capas finales para ambos grupos.
• Clasificación y Superposición:
  • La clasificación por activación identificó 22 expertos dominantes en benévolos y 18 expertos dominantes en maliciosos de un total de 256.
  • La clasificación por gradiente identificó solo 6 expertos dominantes en benévolos y 5 expertos dominantes en maliciosos.
  • Crucialmente, los 10 expertos mejor clasificados por puntuación de gradiente mostraron una fuerte superposición entre los grupos benévolos y nocivos (8/10 compartidos), mientras que los 10 mejores por activación mostraron una superposición limitada (3/10 compartidos). Esto sugiere que la importancia del gradiente concentra ambos tipos de prompts en un núcleo común de capas tardías.
• Resultados de Intervención:
  • Supresión por Activación: Redujo las respuestas restringidas de 24 a 14 (reducción del 41,7%) pero causó 8 reversiones no intencionadas (de no restringidas a restringidas).
  • Supresión por Gradiente: Redujo las respuestas restringidas de 34 a 22 (reducción del 35,3%) con menos reversiones no intencionadas (3).
  • Ninguna intervención provocó un colapso conductual universal, lo que indica que el comportamiento de seguridad no está controlado por un único subconjunto fijo de expertos.

Significado y Afirmaciones
El artículo afirma que el enrutamiento relevante para la seguridad en Mixtral es sutil, dependiente de la profundidad y distribuido, en lugar de estar dominado por un conjunto fijo de expertos "nocivos". Los hallazgos sugieren que, aunque los prompts nocivos desplazan el comportamiento de enrutamiento interno, estos cambios no son capturados por una sola métrica. En cambio, las señales de activación revelan preferencias de enrutamiento amplias, mientras que las señales de gradiente destacan la concentración sensible a la pérdida en capas tardías.

Los autores concluyen que confiar en una única métrica interna proporciona una imagen incompleta de la seguridad de los MoE. Un enfoque más informativo implica analizar conjuntamente la frecuencia de enrutamiento, la importancia sensible a la pérdida y el comportamiento de intervención. El estudio proporciona evidencia causal preliminar de que los expertos identificados contribuyen al comportamiento de rechazo, pero enfatiza que el mecanismo es complejo y está distribuido a través de la profundidad de la red.