Resumen Técnico: Flujo de Información Geométrico (GIF) para LLMs

1. Planteamiento del Problema

Los Modelos de Lenguaje de Gran Escala (LLMs) actúan cada vez más como el motor de computación central en sistemas agénticos, mediando las interacciones entre entradas no confiables, contexto privado y acciones privilegiadas. Esta arquitectura crea dos riesgos de seguridad primarios:

1. Violaciones de Integridad: El contenido controlado por un atacante (por ejemplo, inyecciones de prompts) puede manipular el uso de herramientas, la generación de código o las actualizaciones de memoria, causando que el agente realice acciones contrarias a sus instrucciones de confianza.
2. Violaciones de Confidencialidad: El contexto privado puede filtrarse en los resultados generados, en los argumentos de las herramientas o en los resúmenes, violando las políticas de privacidad de datos.

Los enfoques de Control de Flujo de Información (IFC) existentes tienen dificultades en este dominio. El IFC tradicional se basa en etiquetas de seguridad gruesas (por ejemplo, confiable/no confiable) propagadas a través de semánticas de programa explícitas. Sin embargo, los LLMs son autorregresivos y opacos; cualquier token de entrada puede influir débilmente en cualquier token de salida. Aplicar etiquetas gruesas conduce a un sobre-contaminación (overtainting) severa, donde casi todo el contexto descendente es marcado como no confiable, bloqueando la funcionalidad legítima. Por el contrario, las defensas heurísticas (por ejemplo, filtros de prompts, monitores basados en atención) carecen de una base semántica basada en principios, y a menudo pasan por alto flujos de información sutiles mediados por el modelo que se acumulan a través de los rastros de ejecución.

Existe la necesidad de una semántica de flujo de información cuantitativa para los LLMs que pueda medir exactamente cuánta información local de un intervalo de entrada específico es observable a través de una salida descendente, distinguiendo entre la influencia benigna y la filtración que viola la política.

2. Metodología: Flujo de Información Geométrico (GIF)

Los autores proponen el Flujo de Información Geométrico (GIF), un marco que rastrea el flujo de información analizando la geometría local del mapeo de entrada-salida del LLM.

Concepto Central

GIF mide la fuerza de la influencia de un intervalo de entrada (un grupo contiguo de tokens) hacia una salida descendente perturbando el embedding de dicho intervalo y observando el cambio en la distribución de salida del modelo.

• Flujo Bajo: Si la perturbación de un intervalo apenas cambia la distribución de salida, el intervalo conlleva poco flujo de información.
• Flujo Alto: Si una pequeña perturbación causa un cambio significativo en la distribución de salida, el intervalo conlleva un alto flujo.

Formulación Teórica

GIF formaliza esta intuición como la información mutua de Shannon entre una perturbación aleatoria del intervalo de entrada y la salida del siguiente token observada.

1. Regularidad Local: El marco asume que, para pequeñas perturbaciones alrededor de un prompt base, el comportamiento del LLM puede aproximarse mediante su expansión de Taylor de primer orden (el Jacobiano).
2. Sustituto Gaussiano: Dado que calcular la información mutua exacta para modelos autorregresivos de alta dimensión es intratable, GIF construye un canal sustituto gaussiano local. Este canal coincide con la geometría de Kullback-Leibler (KL) local del canal real del LLM.
3. Capacidad como Medida: La medida operativa de GIF es la capacidad de este canal sustituto, definida como:
   $$\text{Cap}_T(\tau; x) = \frac{1}{2} \log \det(I + \tau M_T(x))$$
   Donde $M_T(x)$ es la matriz de "retroceso de Fisher" (Fisher pullback), que representa la geometría de la salida transportada de vuelta al intervalo de entrada a través del Jacobiano del modelo y la matriz de información de Fisher de la función softmax.
4. Proxy de Influencia: Para eficiencia computacional, los autores también utilizan la traza de $M_T(x)$ (denotada como $\text{Inf}_T(x)$) como un límite superior lineal y un proxy más económico para la capacidad.

Implementación y Escalabilidad

Calcular el Jacobiano completo es prohibitivamente costoso para modelos grandes. GIF emplea la estimación de traza aleatorizada (Hutch++) para estimar la puntuación de influencia.

• En lugar de materializar el Jacobiano completo, el sistema utiliza un pequeño número de vectores de prueba aleatorios para estimar la traza de la matriz de retroceso de Fisher mediante productos de vector-Jacobiano (VJP).
• Esto reduce el costo computacional a un pequeño número de pasadas hacia atrás (backward passes), lo que lo hace escalable a modelos de pesos abiertos de gran tamaño.

Solidez (Soundness)

Los autores proporcionan una prueba mecanizada completa en Lean 4 que demuestra que GIF es localmente sólido. Bajo supuestos de regularidad leves, la puntuación de GIF (capacidad) acota asintóticamente el límite superior del flujo de información real inducido por un prompt. Esto asegura que GIF no subestime asintóticamente la filtración, proporcionando una garantía conservadora adecuada para certificados de seguridad.

3. Contribuciones Clave

1. Marco de Flujo de Información Geométrico: Una definición de GIF como una medida de información mutua local derivada de las perturbaciones del embedding del intervalo hacia las salidas del modelo, fundamentada en la geometría del Jacobiano del LLM.
2. Prueba de Solidez Mecanizada: Una verificación formal en Lean 4 que demuestra que GIF es un verdadero sustituto de la información mutua y satisface la solidez local (no subestima el flujo real).
3. Estimador Escalable: Una implementación práctica utilizando la estimación de traza Hutch++ y aproximaciones de bajo rango, lo que permite computar GIF en modelos grandes sin formar el Jacobiano completo.
4. Evaluación Empírica: Evaluación exhaustiva a través de tres benchmarks (AgentDojo, MSB, AgentDAM) y seis modelos, demostrando la efectividad de GIF para detectar violaciones de integridad y confidencialidad.

4. Resultados Experimentales

Los autores evaluaron GIF contra líneas base que incluyen la atribución basada en atención (RTBAS), la atribación basada en gradientes (GIF-) y el uso de un LLM como juez (GPT-5.5 xhigh).

• Desempeño de Detección: GIF logró tasas de recall casi perfectas para violaciones de política sin requerir un desclasificador descendente. Superó consistentemente a las heurísticas basadas en atención (RTBAS) y a las líneas base basadas en gradientes (GIF-) en todos los conjuntos de datos.
• Eficiencia de Costo vs. Jueces LLM: Cuando se utiliza para guiar desclasificadores de LLM ligeros, GIF igualó o superó los puntajes F1/F2 de las líneas base directas de "LLM-como-juez" (por ejemplo, GPT-5.5 xhigh), reduciendo los costos de inferencia de tokens hasta en un 81×.
• Transferibilidad: Los flujos estimados utilizando modelos sustitutos pequeños (por ejemplo, un modelo de 0.6B) se transfirieron efectivamente a modelos objetivo mucho más grandes (hasta 200× más grandes, por ejemplo, 120B) y a diferentes familias de modelos, lo que sugiere aplicabilidad en despliegues de caja negra donde el acceso al gradiente es limitado.
• Precisión: En estudios de caso, GIF identificó con éxito flujos maliciosos en ataques de éxito parcial (donde el agente siguió parcialmente la inyección) y certificó correctamente el flujo cero para datos privados que no influyeron en la salida, evitando la sobre-contaminación común en los métodos basados en atención.

5. Significación y Reivindicaciones

El artículo afirma que GIF establece una base práctica para el IFC escalable en sistemas agénticos modernos. Su significación radica en:

• Semántica Basada en Principios: A diferencia de los métodos heurísticos, GIF está fundamentado en una formulación semántica formal (información mutua local) con una garantía de solidez probada.
• Granularidad: Va más allá de las etiquetas gruesas de "confiable/no confiable" para identificar regiones de entrada específicas que ejercen una gran influencia sobre acciones descendentes específicas, permitiendo la aplicación de políticas finamente graduadas.
• Escalabilidad: Al aprovechar aproximaciones geométricas y estimación de traza, hace que el análisis de flujo de información riguroso sea factible para LLMs de gran escala en flujos de trabajo agénticos del mundo real.
• Potencial de Caja Negra: La capacidad de utilizar pequeños sustitutos para estimar flujos para modelos más grandes abre la puerta a desplegar estas defensas incluso cuando los componentes internos del modelo objetivo no son totalmente accesibles.

Los autores concluyen que GIF proporciona la "abstracción faltante" necesaria para aislar las entradas no confiables, el contexto privado y las acciones privilegiadas dentro de la computación opaca de los modelos autorregresivos, permitiendo sistemas agénticos seguros y que preservan la utilidad.