Resumen Técnico: Detección de Desplazamiento en Línea y Adaptación Conforme para Clasificadores de Seguridad Desplegados

Declaración del Problema

Los clasificadores de seguridad sirven como una capa de defensa crítica entre los modelos de lenguaje de gran tamaño (LLM) y los usuarios, pero operan bajo un supuesto de estacionariedad: que las distribuciones de entrada futuras se parecerán a la distribución de calibración. Este supuesto falla debido a la adaptación adversaria, el desfase lingüístico orgánico, el cambio de código multilingüe y los ataques composicionales. El principal modo de falla es "silencioso": la precisión de un clasificador puede degradarse significativamente (por ejemplo, del 95% al 80%) sin generar una señal de error si no se dispone de etiquetas de verdad fundamental en tiempo real. Para cuando la evaluación fuera de línea detecta el problema, el sistema puede haber estado tomando decisiones poco fiables durante días o semanas.

El artículo aborda dos desafíos centrales:

1. Detección: Cómo detectar desplazamientos distributivos en línea con tasas de falsas alarmas controladas a través de diversos tipos de desplazamiento y arquitecturas de clasificadores.
2. Adaptación: Cómo recuperar las garantías de cobertura tras la detección de un desplazamiento sin requerir nuevos datos etiquetados, específicamente utilizando predicción conforme ponderada.

Metodología

Arquitectura del Sistema

El sistema propuesto es un monitor en línea que observa un flujo de salidas de clasificadores: texto de entrada ($x_t$), probabilidad de clase insegura ($s_t$) y representaciones de la capa penultimate ($r_t$). Consta de dos componentes principales:

1. Detector de Desplazamiento: Un detector de ventana deslizante que activa una alarma cuando la distribución de entrada cambia.
2. Capa de Abstención Conforme: Una capa descendente que adapta los umbrales de decisión tras la alarma para preservar una tasa de error objetivo ($\epsilon = 0.1$).

Mecanismos de Detección

El sistema evalúa dos canales de detección:

• Detector Kolmogorov–Smirnov (KS): Rastrea la distribución marginal de las puntuaciones del clasificador. Mantiene una ventana deslizante de puntuaciones recientes y computa el estadístico de una muestra KS contra una Función de Distribución Acumulativa (CDF) de referencia congelada establecida durante la calibración.
• Detector de Discrepancia de la Media Máxima (MMD): Rastrea la geometría de los embeddings del clasificador utilizando una ventana deslizante de vectores de embedding y un núcleo gaussiano.

Lógica de Calibración y Alarma:
Para controlar las tasas de falsas alarmas (FAR) sobre un horizonte de monitoreo, el sistema emplea calibración empírica mediante simulación nula. En lugar de depender únicamente de límites teóricos (como Hoeffding), que pueden ser conservadores para ventanas deslizantes, el sistema ejecuta 50 flujos de control negativo (solo datos dentro de la distribución) para determinar el percentil 97 del estadístico máximo observado como el umbral de alarma.

Adaptación Conforme

Al detectar un desplazamiento, el sistema activa una capa de predicción conforme ponderada.

• Estimación de la Relación de Densidad: Estima la relación de densidad $w_i = p_{target}(x_i) / p_{source}(x_i)$ entre las distribuciones de origen (calibración) y destino (desplazada) utilizando regresión logística sobre los embeddings del clasificador.
• Cuantil Ponderado: El umbral conforme se recomputa como un cuantil ponderado de las puntuaciones de no conformidad.
• Estabilidad: Los pesos se recortan al intervalo $[1/C, C]$ (con $C=10$) para asegurar la estabilidad.

Diseño Experimental

Los autores realizaron una evaluación factorial pre-registrada:

• Clasificadores (4): DeBERTa-v3-large, Text-Moderation (DeBERTa-v3-base), Llama Guard 3 y ShieldGemma.
• Condiciones de Desplazamiento (5): Paráfrasis, Cambio de código (Code-switch), Composicional, Temporal (jailbreaks reales) y Sufijo Adversario (optimizado por GCG).
• Parámetros: 20 semillas aleatorias, 2 tamaños de ventana (100, 200), totalizando 800 celdas experimentales.

Resultados Clave

1. Rendimiento de la Detección (RQ1)

• Eficacia General: El sistema logró una tasa de detección válida del 86.6% (693/800 celdas) con una latencia de detección media de 39.5 pasos (con tamaño de ventana 100). Las tasas de falsas alarmas empíricas oscilaron entre el 2% y el 10% entre los clasificadores.
• Interacción de Crossover: Se observó un efecto de interacción significativo entre la arquitectura del clasificador y el tipo de desplazamiento:
  • Codificadores (DeBERTa, Text-Moderation): Detectaron desplazamientos naturalistas (paráfrasis, composicional) rápidamente (24–35 pasos) pero tuvieron dificultades con los sufijos adversarios (hasta 36.6 pasos).
  • Decodificadores (Llama Guard, ShieldGemma): Detectaron sufijos adversarios rápidamente (26–28 pasos) pero fueron lentos en paráfrasis (64–97 pasos).
• Regímenes de Verdad Fundamental: La detección se mantuvo en tres regímenes: inicio sintético, jailbreaks temporales reales (85% de detección en 20 celdas) y escenarios de éxito adversario.
  • Caso de Éxito Adversario: En un régimen específico donde los sufijos GCG lograron revertir la clasificación de DeBERTa, el desplazamiento fue indetectable para DeBERTa (las puntuaciones se movieron a la región segura, indistinguibles de la referencia) pero fue detectable por clasificadores no objetivo (Llama Guard) donde esas mismas entradas parecían más peligrosas. Esto sugiere que la detección de anomalías entre clasificadores puede servir como un "canario" para la evasión adversaria.

2. Adaptación Conforme (RQ2)

• Colapso de la Relación de Densidad: Se identificó un modo de falla crítico. Para tres de los cuatro clasificadores (Text-Moderation, Llama Guard, ShieldGemma), el estimador de la relación de densidad por regresión logística logró una separabilidad lineal perfecta en el espacio de embeddings de alta dimensión. Esto forzó a todos los pesos de importancia al suelo de recorte ($1/C = 0.1$), resultando en un Tamaño de Muestra Efectivo (ESS) de ~300 (sin reponderación efectiva) y una recuperación de cobertura insignificante ($\le +0.10$).
• Excepción de DeBERTa: DeBERTa fue el único clasificador donde la predicción conforme ponderada logró una recuperación significativa, aunque la efectividad varió según el tipo de desplazamiento:
  • Paráfrasis: ESS=46, Recuperación=+39 puntos porcentuales (pp).
  • Temporal: ESS=88, Recuperación=+16 pp.
  • Sufijo Adversario: ESS=206, Recuperación=+2 pp (cercano al colapso).
• Remedio de Reducción de Dimensionalidad: Aplicar PCA para reducir los embeddings a 32 dimensiones antes de la estimación de la relación de densidad rompió la separabilidad perfecta. Esto restauró la cobertura para los modelos generativos: Llama Guard recuperó +33 pp y ShieldGemma +21 pp en desplazamientos temporales.

3. Descomposición de la Varianza (RQ3)

Un ANOVA de dos vías sobre la latencia de detección reveló que ningún factor único domina:

• Clasificador: $\eta^2 = 0.243$
• Tipo de Desplazamiento: $\eta^2 = 0.237$
• Interacción (Clasificador $\times$ Desplazamiento): $\eta^2 = 0.185$
• Residuo: $\eta^2 = 0.335$
  Todos los factores fueron estadísticamente significativos ($p < 0.001$), indicando que la dificultad de detección está determinada por la combinación específica de clasificador y tipo de desplazamiento, lo que requiere perfiles de monitoreo por clasificador.

Significación y Reivindicaciones

El artículo afirma proporcionar un estudio empírico dirigido de los clasificadores de seguridad de LLM bajo diversos tipos de desplazamiento, sacando a la luz modos de falla que los marcos de monitoreo general pasan por alto. Las contribuciones clave incluyen:

1. Diagnóstico del Colapso de la Relación de Densidad: El artículo identifica un modo de falla específico en los embeddings de los clasificadores de seguridad generativos donde la regresión logística logra una separabilidad perfecta, haciendo que la reponderación basada en datos sea ineficaz. Demuestra que la reducción de dimensionalidad (PCA) es un diagnóstico y remedio necesario para este artefacto.
2. Interacción Arquitectura $\times$ Desplazamiento: El estudio revela que la latencia de detección no es una propiedad del clasificador o del desplazamiento por sí solos, sino de su interacción. Los codificadores y decodificadores exhiben sensibilidades opuestas hacia los desplazamientos naturalistas frente a los adversarios, desafiando la noción de una configuración de monitoreo universal.
3. Detección de Anomalías entre Clasificadores: El trabajo demuestra que los ataques adversarios exitosos contra un clasificador objetivo pueden producir una señal distributiva insuficiente para ese clasificador específico, pero pueden aparecer anómalos para clasificadores arquitectónicamente diferentes, permitiendo la detección mediante cambios en las puntuaciones de otros clasificadores.
4. Compromisos Operativos: La comparación entre los detectores KS (ventana deslizante) y de Secuencia de Confianza (ventana creciente) resalta un compromiso de despliegue: KS ofrece una detección más rápida para señales fuertes, mientras que CS proporciona una detección superior para desplazamientos de mezcla baja (ej. 97% de detección frente al 43% de KS con un 30% de contaminación).

Los autores concluyen que ni la elección del clasificador ni el tipo de desplazamiento determinan por sí solos la dificultad de detección. Un monitoreo efectivo requiere perfiles por clasificador que tengan en cuenta estas interacciones específicas, y las estrategias de adaptación conforme deben considerar los artefactos de separabilidad inducidos por la dimensionalidad en los embeddings de alta dimensión.