Résumé technique : Réexamen de JBShield : Briser et reconstruire les défenses de contournement au niveau des représentations

1. Énoncé du problème

Les grands modèles de langage (LLM) alignés via un ajustement fin de sécurité (par exemple, RLHF) restent vulnérables aux attaques de contournement, en particulier aux attaques adaptatives où les adversaires ciblent explicitement les mécanismes de défense. Bien que des défenses externes existent, beaucoup souffrent de limitations structurelles :

• Les défenses de surface (par exemple, modèles de garde, filtrage des entrées) échouent face à des suffixes adverses sémantiquement dénués de sens mais efficaces sur le plan comportemental.
• Les défenses au niveau des représentations réduisent souvent le calcul multi-couche du modèle à un seul point de décision (par exemple, une seule couche, une seule direction de concept ou un score scalaire), les rendant vulnérables à une optimisation ciblée.

L'article se concentre sur JBShield, une défense récente au niveau des représentations qui revendique un taux de réussite des attaques (ASR) de 0 % contre les attaques par gradient de coordonnées gloutonnes (GCG). JBShield fonctionne en détectant deux signaux de concept — un « concept toxique » et un « concept de contournement » — au sein d'une seule couche figée. Il signale une invite uniquement si les deux scores de concept dépassent leurs seuils respectifs (une logique de porte ET). Les auteurs émettent l'hypothèse que cette structure est vulnérable aux attaques adaptatives capables de manipuler les états cachés du modèle pour éviter un concept tout en maintenant l'autre.

2. Méthodologie

2.1 Attaque adaptative : JB-GCG

Les auteurs conçoivent JB-GCG, une attaque adaptative qui modifie l'objectif GCG standard pour supprimer simultanément le comportement de refus du modèle et éviter la détection par JBShield.

• Mécanisme : L'attaque optimise un suffixe adversaire $x$ ajouté à une requête nuisible. La fonction objectif combine deux termes :
  1. Suppression de la direction de refus : Minimisation de la similarité cosinus entre l'état caché et la direction de refus (dérivée de la différence des moyennes entre les invites nuisibles et inoffensives).
  2. Régularisation du concept toxique : Pénalisation de l'alignement avec la direction du concept toxique de JBShield.
• Stratégie : L'attaque exploite la structure de porte ET de JBShield. Elle fait baisser le score du concept toxique en dessous du seuil de détection tout en laissant intentionnellement le score du concept de contournement actif. Puisque JBShield exige que les deux soient élevés pour déclencher une alerte, la suppression de l'un suffit pour l'évasion.
• Optimisation : L'attaque utilise un cadre en boîte blanche avec un accès complet aux poids du modèle, aux activations et aux paramètres d'étalonnage de la défense (directions de concept, seuils).

2.2 Nouvelle défense : Vérification de la trajectoire de représentation (RTV)

Motivés par l'observation que JB-GCG crée une signature distinctive et incohérente à travers les couches, les auteurs proposent RTV.

• Construction de l'empreinte : Au lieu d'inspecter une seule couche, RTV construit une empreinte à 15 dimensions en calculant la similarité cosinus entre l'état caché et la direction de refus à travers 3 couches (18, 25, 32) et 5 positions de jetons (les 5 derniers jetons).
• Logique de détection : RTV traite l'empreinte comme un vecteur de caractéristiques et applique la distance de Mahalanobis pour détecter les valeurs aberrantes. Elle calcule la distance de l'empreinte d'une invite de test par rapport aux distributions des ensembles d'étalonnage inoffensifs et nuisibles. Une invite est signalée si sa distance minimale à l'un des deux clusters dépasse un seuil.
• Étalonnage : RTV ne nécessite que des invites inoffensives et nuisibles pour l'étalonnage ; elle n'exige pas d'exemples de contournement.

3. Contributions clés

1. Analyse de la vulnérabilité structurelle : L'article démontre que la porte ET de JBShield et l'extraction de concepts sur une seule couche créent une vulnérabilité structurelle. Un attaquant adaptatif peut contourner la défense en supprimant sélectivement le concept toxique tout en laissant le concept de contournement actif.
2. Attaque JB-GCG : Introduction d'une attaque adaptative atteignant jusqu'à 53,4 % d'ASR contre JBShield-D et 30,7 % d'ASR contre le pipeline complet JBShield-M sur Llama-3-8B, dans des contextes où JBShield rapportait précédemment 0 % d'ASR. L'attaque reste efficace à travers différentes tailles d'étalonnage ($N=10$ à $50$).
3. Caractérisation de la signature multi-couche : Les auteurs identifient que les contournements réussis occupent une « zone distinctive » dans l'espace des empreintes de direction de refus (alignement proche de zéro à la couche d'attaque, s'amplifiant vers un alignement nuisible dans les couches plus profondes) qui est absente à la fois des invites inoffensives et nuisibles.
4. Défense RTV : Proposition d'une défense basée sur la vérification de trajectoire multi-couche et la détection de valeurs aberrantes par distance de Mahalanobis. RTV atteint un AUROC de 0,99 contre JB-GCG sans nécessiter d'exemples de contournement pour l'étalonnage.
5. Évaluation de la robustesse : Évaluation de RTV sous un modèle de menace adaptatif en boîte blanche fort. Même avec une connaissance complète de la défense, la meilleure attaque adaptative n'atteint que 7 % d'ASR à un coût computationnel 13 fois supérieur, démontrant que la défense impose une tension fondamentale entre la suppression du refus et l'imitation d'empreintes inoffensives.

4. Résultats expérimentaux

4.1 Performance de l'attaque (JB-GCG vs JBShield)

• Contre JBShield-D : JB-GCG a atteint un ASR moyen de 46,2 % sur cinq configurations sur Llama-3-8B, atteignant 53,4 % dans le contexte le plus fort.
• Contre JBShield-M : L'attaque est restée efficace contre le composant de mitigation, atteignant jusqu'à 30,7 % d'ASR.
• Mécanisme : Dans tous les cas réussis, le score du concept toxique a été supprimé en dessous du seuil (0 % de détection), tandis que le concept de contournement est resté actif (100 % de détection), confirmant l'exploitation de la logique de porte ET.
• Sensibilité à l'étalonnage : L'attaque a persisté à travers les recalibrations avec des tailles d'ensemble d'étalonnage variables ($N=10$ à $50$), confirmant que la vulnérabilité est structurelle et non spécifique à l'étalonnage.

4.2 Performance de la défense (RTV)

• Contre JB-GCG : RTV a détecté 100 % des 164 invites adverses JB-GCG (ASR 0,0 %) à un taux de faux positifs (FPR) de 5 %, avec un AUROC de 0,9946.
• Généralisation : RTV a été testée contre neuf attaques de contournement standard (par exemple, GCG, PAIR, AutoDAN). Elle a atteint une détection parfaite ou quasi parfaite sur cinq attaques et a égalé ou dépassé JBShield-D sur la plupart. Elle a eu des difficultés avec PAIR (58 % de détection), qui génère des invites naturalistes proches de la distribution inoffensive, une limitation partagée par JBShield.
• Robustesse adaptative : Sous une attaque adaptative complète en boîte blanche (ML-GCG) ciblant RTV :
  • La meilleure attaque n'a atteint que 7,0 % d'ASR.
  • Cela a nécessité 13 fois le coût computationnel (en moyenne 514,5 itérations contre 39,6 pour la ligne de base).
  • L'attaque a échoué à trouver des solutions pour la plupart des invites car les objectifs de « suppression du refus » (nécessaire pour le contournement) et de « correspondance de l'empreinte inoffensive » (nécessaire pour l'évasion) sont fondamentalement contradictoires.

5. Signification et revendications

L'article soutient qu'une détection non adaptative forte n'implique pas une robustesse sous des modèles de menace adaptatifs. La signification principale réside dans le changement de paradigme de la défense au niveau des représentations, passant d'une inspection à une seule couche et un seul concept à la cohérence des représentations multi-couches.

• Défense structurelle : Les auteurs affirment que la robustesse de RTV découle de la « tension d'empreinte » — l'impossibilité pour un attaquant de supprimer simultanément la direction de refus (pour contourner) et de maintenir l'alignement positif caractéristique des entrées inoffensives à travers plusieurs couches.
• Limites : Les auteurs reconnaissent modestement que :
  • Les expériences sont limitées à Llama-3-8B ; la généralisation à d'autres architectures nécessite un recalibrage.
  • Les attaques naturalistes comme PAIR restent un défi pour les détecteurs au niveau des représentations.
  • Un ASR adaptatif non nul (7 %) subsiste, suggérant que bien que la défense soit robuste, elle n'est pas parfaite.
  • La défense repose sur un étalonnage statique et peut nécessiter des mises à jour périodiques pour les changements de distribution.

L'article conclut que la cohérence des représentations multi-couches offre une base plus fiable pour la détection de contournement que la similarité de concepts sur une seule couche, à condition que la défense soit évaluée face à des adversaires adaptatifs.