TraceRouter: Robust Safety for Large Foundation Models via Path-Level Intervention

Résumé Technique : TraceRouter

Énoncé du Problème
Les grands modèles de fondation (LFMs), incluant les modèles de diffusion (DMs), les grands modèles de langage (LLMs) et les modèles de langage multimodaux (MLLMs), restent vulnérables à la manipulation adversaire malgré leurs capacités avancées. Les interventions de sécurité actuelles reposent principalement sur l'« hypothèse de localité », qui suppose que les sémantiques nuisibles sont encodées dans des neurones isolés ou des caractéristiques spécifiques. Par conséquent, les défenses existantes tentent de supprimer ces composants locaux. Cependant, les auteurs soutiennent que les sémantiques nuisibles dans les LFMs sont intrinsèquement distribuées et se propagent à travers des circuits complexes inter-couches. Les interventions localisées sont donc fragiles ; elles échouent souvent à prévenir la « fuite sémantique » sous induction adversaire et dégradent par inadvertance l'utilité générale du modèle en perturbant des neurones polysémantiques qui servent des fonctions bénignes.

Méthodologie : TraceRouter
Pour remédier à ces limitations, les auteurs proposent TraceRouter, un cadre universel « Découvrir-Tracer-Déconnecter » (Discover-Trace-Disconnect) qui opère au niveau du chemin plutôt qu'au niveau du neurone. Le cadre se compose de trois étapes distinctes :

1. Identification de la Source Sensible (Découvrir) :

   • Détection de la Couche d'Émergence (Onset Layer) : Le système analyse la divergence d'attention pour localiser la « couche d'émergence sensible » ($l^*$), définie comme la première couche où un prompt sensible induit une attention significative des modificateurs sensibles vers les entités cibles, se distinguant ainsi des perturbations contextuelles de fond.
   • Désenchevêtrement de Caractéristiques : Un auto-encodeur creux (SAE) Top-K est employé pour décomposer les activations neuronales denses à la couche d'émergence en caractéristiques interprétables.
   • Sélection de Neurones : En calculant un score d'activation différentiel ($\Delta WFS$) entre les échantillons sensibles et non sensibles, la méthode isole les « neurones sensibles » spécifiques déclenchés uniquement par des concepts illicites.

2. Traçage du Chemin Sémantique Causal (Tracer) :

   • Rétro-projection : Les caractéristiques creuses identifiées sont projetées en arrière dans l'espace latent dense de la couche d'émergence pour identifier les neurones sources.
   • Intervention de Mise à Zéro (Zero-Out) : Le système effectue une intervention de « mise à zéro » sur ces neurones sources dans le modèle de base pour observer les effets en aval.
   • Score d'Influence de Caractéristique (FIS) : Une métrique causale, le FIS, est calculée pour les neurones en aval. Ce score combine la fréquence d'activation, l'amplitude moyenne conditionnelle et la différence absolue d'activation causée par l'intervention de mise à zéro. Les valeurs élevées de FIS indiquent les neurones qui sont causalement critiques pour la propagation des sémantiques nuisibles.

3. Suppression Sélective au Niveau du Chemin (Déconnecter) :

   • Décomposition de Chemin : Pour toute couche en aval, le vecteur d'activation est décomposé en deux composantes : le chemin sensible ($Z_P$) et les routes de calcul orthogonales ($Z_{\neg P}$) associées à l'utilité générale.
   • Sectionnement Causal : Un facteur de suppression ($\lambda$) est appliqué sélectivement à la composante du chemin sensible ($Z_P$) tout en laissant intactes les routes orthogonales ($Z_{\neg P}$). Cela sectionne physiquement le flux causal de l'information nuisible sans perturber le raisonnement fondamental ou les capacités génératives du modèle.

Contributions Clés

• Proposition de Cadre : Introduction de TraceRouter, un cadre d'intervention au niveau du chemin qui automatise l'identification et le blocage causal des boucles d'informations nuisibles à travers diverses architectures de modèles (DMs, LLMs, MLLMs).
• Intégration Mécaniste : L'intégration des auto-encodeurs creux (SAEs) avec les scores d'influence de caractéristique (FIS) pour parvenir à un désenchevêtrement fin et une cartographie causale des flux de logique interne au niveau du routage.
• Validation Empirique : Démonstration à travers de multiples benchmarks que la méthode améliore significativement la robustesse adversaire tout en préservant précisément l'utilité générale, remettant en question l'efficacité de l'hypothèse de localité.

Résultats Expérimentaux

• Modèles de Diffusion (DMs) : Sur Stable Diffusion 1.4, TraceRouter a atteint un taux de succès de défense (DSR) de 99,2 % contre la nudité I2P et de 93,6 % contre la violence. Il a démontré une robustesse supérieure contre les attaques adverses (P4D et Ring-A-Bell), surpassant les lignes de base de pointe comme ESD, UCE et SNCE. Crucialement, il a maintenu une haute fidélité de génération, atteignant le meilleur score CLIP (31,27) et FID (16,24) parmi toutes les méthodes testées.
• Grands Modèles de Langage (LLMs) : Sur LLaMA3-8B et Mistral-7B, TraceRouter a atteint des DSR moyens de 99,6 % et 98,8 % respectivement contre diverses attaques de jailbreak (incluant GCG, AutoDAN et les attaques basées sur des motifs). Notamment, il a élevé la sécurité du modèle vulnérable Mistral-7B d'une base de 6,6 % à 98,8 %.
• Modèles de Langage Multimodaux (MLLMs) : La méthode a systématiquement surpassé les défenses SOTA sur LLaVA-1.5 et MiniGPT-4, atteignant des taux de sécurité quasi parfaits (ex: 99,60 % sur LLaVA-1.5) tout en neutralisant efficacement les risques cross-modaux.
• Ablation et Analyse :
  • Chemin vs Neurone : Les expériences ont confirmé que l'intervention au niveau du chemin surpasse significativement la suppression au niveau du neurone, validant que les sémantiques nuisibles reposent sur des circuits distribués plutôt que sur des nœuds isolés.
  • Validation Causale : Les expériences d'« amplification de chemin » ont montré que l'augmentation artificielle des chemins identifiés augmentait la génération nuisible, tandis que la suppression la réduisait drastiquement, confirmant la nature causale des circuits identifiés.
  • Préservation de l'Utilité : Les évaluations d'utilité sur Global-MMLU-Lite et MM-Bench ont montré des baisses de performance négligeables (ex: -0,8 % pour LLaMA3-8B), confirmant que l'intervention est hautement sélective et n'induit pas d'oubli catastrophique.

Signification et Revendications
L'article affirme que TraceRouter offre un changement fondamental dans l'intervention de sécurité en passant d'une suppression localisée à une régulation précise au niveau du chemin, indépendante de l'architecture. Les auteurs soutiennent que cette approche sectionne physiquement la propagation causale des sémantiques nuisibles tout en laissant intactes les routes de calcul orthogonales. Cela résout la tension entre sécurité et performance, fournissant une solution technique robuste, interprétable et efficace pour construire des modèles de fondation de classe industrielle plus sûrs sans compromettre leurs capacités de raisonnement général ou de génération. Ce travail souligne qu'une sécurité efficace nécessite de cibler la structure topologique du flux sémantique plutôt que des activations isolées.