Résumé Technique : Contrôle du Risque de Contextes Corrompus pour les Modèles de Langage via une Sortie Anticipée

Énoncé du Problème

Les Grands Modèles de Langage (LLM) sont de plus en plus adaptés à des tâches spécifiques via l'apprentissage en contexte (ICL) et l'ajustement de prompts, ce qui permet aux modèles d'apprendre à partir de démonstrations fournies par l'utilisateur sans un affinage coûteux. Cependant, cette flexibilité introduit une vulnérabilité critique en matière de sécurité : « entrée de déchets, sortie de déchets ». Le contexte fourni par l'utilisateur peut être incorrect, trompeur ou malveillamment conçu, entraînant une dégradation des performances du modèle ou la production de résultats non sécurisés.

Des recherches récentes indiquent que les LLM peuvent « trop réfléchir » face à des entrées nocives, où les performances atteignent un pic aux couches intermédiaires mais se dégradent dans les couches plus profondes à mesure que le modèle surajuste au contexte corrompu. Les mécanismes de sécurité existants manquent souvent de méthodes fondées sur des principes pour détecter quand un contexte est nocif et revenir à une base plus sûre sans sacrifier les gains d'efficacité de la sortie anticipée sur des entrées utiles.

Méthodologie

Les auteurs proposent un cadre qui combine une Sortie Anticipée Dynamique avec un Contrôle de Risque Sans Distribution (DFRC) pour atténuer les risques liés aux contextes corrompus tout en maintenant l'efficacité sur les contextes utiles.

1. Prédicteur Conscient du Contexte Sécurisé

Le mécanisme central définit une base « sûre » en utilisant les performances en zéro-shot (performances sans contexte) du modèle. Le prédicteur proposé, $\bar{p}_\lambda$, fonctionne comme suit :

• Sortie Anticipée : Le modèle traite l'entrée à travers les couches de manière séquentielle. À chaque couche $l$, un score de confiance $C_l$ est calculé. Si $C_l$ dépasse un seuil $\lambda$, le modèle sort anticipément et renvoie la prédiction de cette couche.
• Retour au Zéro-Shot : Si le modèle traite toutes les couches sans qu'aucun score de confiance ne dépasse $\lambda$, il ignore entièrement le contexte fourni par l'utilisateur et revient à la prédiction zéro-shot (la prédiction faite sans contexte).
• Objectif : Cette conception permet au modèle de tirer parti d'un contexte utile pour l'efficacité et la précision, mais force un retour au comportement zéro-shot connu comme sûr si le contexte amène le modèle à devenir incertain ou à « trop réfléchir ».

2. Risque de Prédiction Conscient du Contexte

Pour sélectionner le seuil optimal $\lambda$, les auteurs définissent une nouvelle fonction de perte consciente du contexte ($\ell_c$) :
$$\ell_c(\lambda; x, y, c) = \ell(\bar{y}_\lambda(x, c), y) - \ell(\hat{y}(x), y)$$
Où :

• $\bar{y}_\lambda(x, c)$ est la prédiction du modèle conscient du contexte sécurisé.
• $\hat{y}(x)$ est la prédiction du modèle complet en zéro-shot.
• $\ell$ est une fonction de perte standard (par exemple, une perte 0-1 pour la classification).

Cette formulation mesure le trop de réflexion :

• Perte Positive : Indique que le modèle conscient du contexte a moins bien performé que la base zéro-shot (contexte nocif).
• Perte Négative : Indique que le modèle conscient du contexte a mieux performé que la base zéro-shot (contexte utile).

3. Contrôle du Risque via Apprentissage puis Test (LTT)

Les auteurs utilisent le cadre Apprentissage puis Test (LTT) pour trouver un seuil $\hat{\lambda}$ garantissant que le risque attendu $R(\hat{\lambda})$ reste en dessous d'une tolérance spécifiée par l'utilisateur $\epsilon$.

• Défi : Le LTT standard exige que les fonctions de perte soient bornées dans l'intervalle $[0, 1]$. Cependant, la perte consciente du contexte $\ell_c$ peut être négative (variant de $[-1, 1]$), et le tronquage des valeurs négatives à zéro (une solution de contournement courante) élimine des informations précieuses sur les contextes utiles, conduisant à un comportement excessivement conservateur.
• Solution : Les auteurs proposent une Transformation de Risque Préservant le Domaine. Ils mettent à l'échelle linéairement la perte et le niveau de risque $\epsilon$ pour mapper l'intervalle $[a, b]$ vers $[0, 1]$ avant d'appliquer le LTT, puis inversent la transformation. Cela préserve la distinction entre les contextes utiles (perte négative) et nocifs (perte positive), permettant au système de trouver un équilibre entre sécurité et efficacité.

Contributions Clés

1. Nouvelle Formulation de Sortie Anticipée pour la Sécurité : Un prédicteur qui sort dynamiquement sur la confiance mais revient par défaut à une base zéro-shot si la confiance n'est jamais atteinte, empêchant le modèle de s'appuyer sur un contexte corrompu.
2. Perte Consciente du Contexte pour le Trop de Réflexion : Une fonction de perte explicitement conçue pour mesurer la dégradation des performances par rapport à la base zéro-shot, permettant la détection de contextes nocifs.
3. Cadre de Contrôle du Risque Adapté : Une modification du cadre LTT utilisant une transformation de risque pour gérer des pertes non bornées (spécifiquement négatives), permettant un contrôle simultané du risque sur les entrées nocives et des gains d'efficacité sur les entrées utiles.

Résultats Expérimentaux

Le cadre a été évalué sur 9 tâches (couvrant l'analyse de sentiments, la détection de discours haineux, la classification sémantique et les questions-réponses ouvertes) et 5 modèles distincts (incluant LLaMA-2, LLaMA-3 et T5).

• Contrôle du Risque : L'approche a réussi à contrôler le risque de trop de réflexion sur tous les modèles et ensembles de données. Le risque empirique est resté en dessous du seuil $\epsilon$ spécifié par l'utilisateur, même avec des distributions mixtes de contextes utiles et nocifs.
• Arbitrage Sécurité vs Efficacité : La méthode a identifié des seuils où le modèle évitait les contextes nocifs (performant mieux que le modèle complet sur les entrées nocives) tout en conservant les gains de performance issus des contextes utiles.
• Gains d'Efficacité : Par rapport aux approches antérieures utilisant le tronquage de perte, l'approche de transformation de risque proposée a atteint une efficacité computationnelle nettement supérieure.
  • Sur les tâches d'apprentissage en contexte, elle a évalué 53 % de couches en moins en moyenne pour $\epsilon=0.05$.
  • Sur les questions-réponses ouvertes (SQuAD v2.0), elle a évalué jusqu'à 81,8 % de couches en moins.
• Retour au Zéro-Shot : Dans les questions-réponses ouvertes, le système est revenu par défaut aux prédictions zéro-shot 3,3 fois plus fréquemment sur des questions non répondables (trompeuses) par rapport aux questions répondables, démontrant sa capacité à discriminer la qualité du contexte.

Importance et Revendications

Les auteurs affirment qu'il s'agit du premier travail établissant un cadre fondé sur des principes qui contrôle le risque de contextes fournis par l'utilisateur potentiellement nocifs dans les LLM.

• Sécurité : L'approche fournit des garanties de sécurité robustes en ancrant le contrôle du risque à la base zéro-shot, qui a fait l'objet de tests de sécurité étendus avant le déploiement. Elle empêche efficacement le « trop de réflexion » sur les entrées nocives.
• Efficacité : Contrairement aux méthodes d'élagage statique ou de tronquage conservateur, cette approche dynamique exploite la sortie anticipée pour réaliser des économies computationnelles substantielles lorsque le contexte est utile.
• Conception Fondée sur des Principes : En utilisant un contrôle de risque sans distribution, la méthode offre des garanties statistiques sur le risque sans nécessiter d'hypothèses de monotonie ou de connaissances distributionnelles spécifiques des entrées utilisateur.

L'article conclut que, bien que des choix de conception spécifiques (par exemple, sortir uniquement dans la deuxième moitié des couches) puissent nécessiter une adaptation pour différentes tâches, le mécanisme central de détection et d'intervention sur les sorties nocives via des représentations intermédiaires reste une approche viable et nécessaire pour un déploiement sécurisé des LLM.