Resumen Técnico: ¿Saben los LLM sus escenarios vulnerables?

Planteamiento del Problema

Los Modelos de Lenguaje de Gran Escala (LLM) alineados con la seguridad están entrenados para rechazar solicitudes dañinas, pero siguen siendo vulnerables a los ataques de jailbreak. Una estrategia prevalente consiste en envolver solicitudes dañinas en escenarios contextuales específicos (por ejemplo, investigación académica, generación de código o narrativas de ficción) para oscurecer la intención dañina y eludir las salvaguardas de seguridad.

Aunque los esfuerzos de red-teaming han identificado empíricamente escenarios efectivos mediante el ensayo y error o la minería de prompts existentes, la razón mecanicista por la cual escenarios específicos debilitan el rechazo sigue sin estar clara. Los estudios de interpretabilidad mecanicista existentes han caracterizado los "vectores de rechazo" y las "características de jailbreak" de forma separada, pero no han establecido un vínculo causal entre la activación de una representación de escenario específica y la supresión de la dirección de rechazo. Además, estos estudios no han traducido estas relaciones internas en escenarios de lenguaje natural accionables e interpretables para un red-teaming sistemático.

Metodología: Concept2Scenario

Los autores proponen Concept2Scenario, un marco de atribución basado en conceptos que descubre escenarios vulnerables rastreando el comportamiento de jailbreak a través del espacio de conceptos interno de un modelo. El método opera bajo la hipótesis de que el envoltorio de escenarios ejerce su efecto activando representaciones internas que suprimen causalmente la tendencia de rechazo del modelo.

El marco consta de cuatro etapas principales:

1. Instanciación de Conceptos y Rechazo:

   • Conceptos: Los autores utilizan un Autoencoder Disperso (SAE) entrenado en una mezcla de datos de preentrenamiento y de seguridad para descomponer las representaciones del flujo residual del modelo en un diccionario de alta dimensión y disperso de conceptos semánticamente coherentes ($c$).
   • Rechazo: Se entrena un Vector de Activación de Concepto (CAV) en un conjunto de datos supervisado de pares de rechazo vs. no-rechazo para cuantificar la tendencia interna de rechazo del modelo ($r$) como una puntuación escalar derivada de la representación de la última capa.

2. Atribución de Vulnerabilidad de Rechazo:

   • Atribución Individual: El método interviene en el flujo residual del modelo dirigiendo la intervención a lo largo de direcciones de decodificación SAE específicas ($d_i$) correspondientes a conceptos individuales. Mide el efecto causal ($\Delta_i$) de aumentar la activación de un concepto sobre la puntuación de rechazo. Los conceptos que reducen significativamente la puntuación de rechazo se identifican como "supresores de rechazo".
   • Atribución de Interacción: Para encontrar efectos sinérgicos, el método realiza intervenciones conjuntas en pares de conceptos. Calcula el término de interacción no aditivo ($\Gamma_{i,j}$), identificando pares donde el efecto combinado en la supresión del rechazo es más fuerte que la suma de sus efectos individuales.

3. Traducción de Conceptos a Escenarios:

   • Para cada concepto identificado como supresor de rechazo, el marco recopila los textos que lo activan con mayor fuerza.
   • Un LLM de análisis (Gemini-3.1-Pro) resume el patrón unificador de estos textos y lo traduce en un escenario de lenguaje natural interpretable (que incluye un nombre, un mecanismo de activación y una descripción).
   • Un bucle de verificación asegura que el escenario generado reactive el concepto de origen antes de ser añadido a la librería de escenarios específica del modelo ($S$).

4. Aplicación:

   • Los escenarios descubiertos se inyectan como priors o contexto en métodos de jailbreak de caja negra existentes (por ejemplo, X-Teaming, PAIR, Tree-Attack) para guiar la generación de prompts adversarios.

Resultados Clave

Los autores evaluaron Concept2Scenario en tres modelos de código abierto (Qwen3.5-9B, LLaMA-3.1-8B, Ministral-3-8B), dos benchmarks de seguridad (GuidedBench, HarmBench) y seis métodos de jailbreak de caja negra.

• Mejora en las Tasas de Éxito de Ataque (ASR): La inyección de los escenarios descubiertos en ataques existentes mejoró el ASR promedio hasta en 18.2 puntos porcentuales en modelos de código abierto. La mejora varió según la alineación de seguridad del modelo; por ejemplo, LLaMA-3.1-8B mostró ganancias significativas, mientras que Ministral-3-8B (ya débilmente alineado) mostró ganancias relativas menores.
• Transferibilidad entre Modelos: Los escenarios descubiertos únicamente de modelos de código abierto se transfirieron efectivamente a modelos de código cerrado, incluyendo GPT-5, Claude-Haiku-4.5 y Gemini-3-Flash. En algunos casos (por ejemplo, escenarios derivados de Ministral en GPT-5), la transferencia resultó en ganancias sustanciales de ASR (por ejemplo, +27.5 puntos), lo que sugiere vulnerabilidades de rechazo a nivel de escenario compartidas entre familias de modelos.
• Combinaciones Sinérgicas: La atribución de interacción identificó combinaciones de escenarios que superaron a sus constituyentes individuales. Por ejemplo, combinar "comentarios de código anidados" con "tareas de URL/API" mejoró la tasa de éxito del primer turno de los ataques en 28.0 puntos porcentuales en comparación con el uso del mejor constituyente individual.
• Vulnerabilidades Específicas del Modelo: El análisis reveló perfiles de vulnerabilidad distintos. Qwen fue más vulnerable a los encuadres de texto web y crisis personales; Ministral a código y datos estructurados; y LLaMA a una mezcla equilibrada que incluye contextos académicos y multilingües.

Significado y Reivindicaciones

El artículo afirma cerrar la brección entre la interpretabilidad mecanicista y el red-teaming práctico al:

1. Atribución Causal: Demostrar que el jailbreak basado en escenarios puede enmarcarse como un problema de atribución causal en el espacio de representación, donde dirigir la intervención a lo largo de direcciones de escenarios aprendidas reduce consistentemente las puntuaciones de rechazo.
2. Descubrimiento Sistemático: Proporcionar un método principista (Concept2Scenario) para ir más allá de los escenarios diseñados manualmente o acumulados empíricamente, descubriéndolos en su lugar desde el espacio de conceptos internos del modelo.
3. Información Accionable: Traducir conceptos internos abstractos en escenarios de lenguaje natural interpretables que pueden reutilizarse como priors para diversos métodos de ataque.
4. Vulnerabilidades Compartidas: Destacar que ciertas vulnerabilidades de rechazo son compartidas entre diferentes familias de modelos, lo que implica que los mecanismos de seguridad pueden depender de representaciones internas similares que pueden ser atacadas por tipos de escenarios específicos.

Los autores concluyen que la atribución a nivel de representación ofrece una señal principista para descubrir vulnerabilidades de rechazo efectivas, específicas de cada modelo y compartidas, permitiendo ataques iterativos más eficientes y potentes.