Hidden Reliability Risks in Large Language Models: Systematic Identification of Precision-Induced Output Disagreements

1. Problématique

Les Grands Modèles de Langage (LLM) sont de plus en plus déployés dans des environnements variés utilisant différentes configurations de précision numérique pour répondre aux contraintes d'efficacité et de ressources. Ces configurations incluent des formats flottants standards (ex. : bfloat16, float16) et des formats entiers quantifiés (ex. : int16, int8).

Le problème central identifié par les auteurs est le suivant :

• Incohérence comportementale : De légères incohérences entre les modèles exécutés sous différentes précisions sont difficiles à détecter et souvent ignorées par les méthodes d'évaluation actuelles.
• Hypothèse erronée : Il est couramment supposé que les changements de précision sont fonctionnellement bénins. Cependant, cette hypothèse n'a pas été systématiquement remise en question dans le contexte de la cohérence comportementale des LLM.
• Risque de sécurité (Jailbreak) : Une divergence de précision peut transformer une réponse sûre (refus) en une réponse dangereuse (jailbreak). Un modèle peut rejeter une requête malveillante sous une précision élevée (ex. : bfloat16) tout en générant une réponse nuisible sous une précision inférieure (ex. : float16 ou int8), compromettant ainsi la sécurité des systèmes déployés, notamment dans les agents autonomes et l'IA incarnée.

2. Méthodologie : PrecisionDiff

Les auteurs proposent PrecisionDiff, le premier cadre de test différentiel automatisé conçu pour détecter systématiquement les incohérences comportementales induites par la précision dans les LLM.

A. Concept Fondamental

Le cadre traite le même modèle de poids, exécuté sous deux configurations de précision distinctes ($p_1$ et $p_2$), comme deux implémentations différentes. L'objectif est de trouver des entrées (spécifiquement des suffixes adverses) qui provoquent des sorties divergentes :
$$\text{Safety}(f^{(p_1)}_\theta(x \oplus x_{adv})) \neq \text{Safety}(f^{(p_2)}_\theta(x \oplus x_{adv}))$$
Où une configuration reste alignée (refus) tandis que l'autre est piratée (jailbreak).

B. Architecture Technique

PrecisionDiff opère en deux étapes principales :

1. Test Différentiel (Détection) :

   • Optimisation Jointe Dual-Precision : Contrairement aux attaques classiques (comme GCG) qui optimisent pour un seul objectif sous une seule précision, PrecisionDiff optimise simultanément deux objectifs contradictoires :
     • Minimiser la perte pour une réponse nuisible ($y_{harm}$) sous la précision cible ($p_2$).
     • Minimiser la perte pour une réponse sûre ($y_{safe}$) sous la précision de référence ($p_1$).
   • Recherche Guidée par le Momentum : Puisque l'espace des tokens est discret, la méthode utilise une recherche coordonnée guidée par les gradients. Elle calcule les gradients pour les deux modèles, les agrège, et utilise un buffer de momentum pour stabiliser l'optimisation dans un paysage non convexe.
   • Oracle de Test : Un vérificateur surveille à chaque itération si la condition de divergence est remplie (Refus sous $p_1$ ET Jailbreak sous $p_2$).

2. Analyse de la Cause Racine (Localisation) :

   • Une fois les cas de divergence identifiés, le cadre analyse les couches du réseau pour localiser où l'erreur numérique s'amplifie.
   • Il calcule la Différence Absolue Moyenne (MAD) et le Relèvement de Divergence Relative (RL) entre les activations des deux modèles.
   • Cela permet d'identifier les "couches critiques" où les erreurs d'arrondi initiales se propagent et s'amplifient de manière non linéaire.

3. Contributions Clés

1. Framework Innovation : Présentation de PrecisionDiff, un outil automatisé capable de générer des entrées de test sensibles à la précision pour révéler des failles de sécurité invisibles aux tests standards.
2. Découverte de Vulnérabilités : Démonstration que la précision numérique est une source critique, mais négligée, d'échec de l'alignement. Les auteurs montrent que des perturbations numériques mineures peuvent franchir les frontières de décision de sécurité.
3. Stratégie d'Optimisation : Introduction d'une stratégie d'optimisation conjointe dual-précision qui force la recherche vers les frontières de décision sensibles à la précision, là où les méthodes classiques échouent.
4. Analyse Structurelle : Identification systématique des couches du modèle (couches d'entrée, mécanismes d'attention initiaux, modules de sortie) où la divergence est amplifiée, offrant des pistes pour un déploiement robuste.

4. Résultats Expérimentaux

Les expériences ont été menées sur cinq LLM alignés open-source (Llama-2, Llama-3, Mistral, Vicuna, Guanaco) avec des transitions de précision variées (bfloat16 vs float16, int16 vs int8).

• Prévalence des Divergences (RQ1) :

  • Les désaccords induits par la précision sont omniprésents.
  • Taux de succès moyens : 84,0 % pour bfloat16 vs float16 et 99,5 % pour int16 vs int8.
  • Le modèle Mistral-7B s'est avéré le plus vulnérable (taux de réussite jusqu'à 100 %), tandis que Llama-2 montrait une résistance variable selon le type de précision.
  • Les catégories de contenu les plus sensibles sont la cybercriminalité, les malwares et la fraude.

• Efficacité Comparée (RQ2) :

  • PrecisionDiff surpasse largement les méthodes de base (Recherche aléatoire, Fuzzing, Algorithmes génétiques, GCG standard).
  • Sur Vicuna-7B, PrecisionDiff atteint 72,0 % de succès contre 50,0 % pour le GCG standard (amélioration de 1,4x).
  • Sur Llama-2-7B, l'écart est encore plus marqué : 68,0 % contre 8,0 % (amélioration de 8,5x), prouvant que la guidance par gradient dual-précision est cruciale pour les modèles fortement alignés.

• Robustesse (RQ3) :

  • La méthode reste efficace même avec un décodage stochastique (sampling) et avec une réduction significative du budget d'optimisation (200 itérations au lieu de 500).
  • Une asymétrie est observée : il est plus facile de provoquer un jailbreak en passant d'une précision d'entraînement (BF16) à une précision inférieure (FP16/INT8) que l'inverse.

• Mécanismes Internes (RQ4) :

  • L'analyse des couches révèle que la divergence ne s'amplifie pas uniformément. Elle est concentrée dans :
    1. Les couches d'entrée (Layer 0).
    2. Les mécanismes d'attention initiaux (projections $W_Q, W_K$).
    3. Les modules de sortie (Normalisation et Head).
  • Cela suggère que les erreurs d'arrondi à ces étapes critiques sont amplifiées par les opérations softmax et les multiplications matricielles.

5. Signification et Impact

• Sécurité des Systèmes Déployés : Ce travail met en lumière un risque majeur pour les systèmes réels où les modèles sont souvent évalués en haute précision mais déployés en basse précision pour des raisons de coût et de latence. Une sécurité validée en BF16 ne garantit pas la sécurité en INT8.
• Nouvelle Dimension de Test : Il élargit le champ du test logiciel pour l'IA (SE4AI) en intégrant la précision numérique comme variable critique, au-delà des simples tests fonctionnels.
• Recommandations pour l'Industrie :
  • Les développeurs devraient intégrer des tests différentiels de précision dans leurs pipelines de validation pré-déploiement.
  • Une stratégie de "précision sélective" (maintenir une haute précision uniquement sur les couches critiques identifiées) pourrait être adoptée pour améliorer la robustesse sans pénaliser excessivement les performances.
  • L'alignement des modèles devrait être testé sous plusieurs configurations de précision, voire inclure la quantification dans le processus d'entraînement (quantization-aware training) pour renforcer la résilience.

En conclusion, PrecisionDiff démontre que la précision numérique n'est pas seulement un compromis de performance, mais un facteur déterminant de la fiabilité et de la sécurité des LLM, nécessitant une attention systématique lors de leur conception et de leur déploiement.