💬 NLP

When No Benchmark Exists: Validating Comparative LLM Safety Scoring Without Ground-Truth Labels

Cet article présente un cadre de validation des scores de sécurité comparatifs des LLM en l'absence de référentiels de vérité terrain, en établissant une chaîne de validité instrumentale fondée sur des contrastes contrôlés et des métriques de stabilité, et démontre, grâce à l'outil SimpleAudit, que les classements de sécurité dépendent du contexte et doivent être communiqués avec leurs conditions d'audit spécifiques plutôt que sous la forme d'un score unique agrégé.

Auteurs originaux : Sushant Gautam, Finn Schwall, Annika Willoch Olstad, Fernando Vallecillos Ruiz, Birk Torpmann-Hagen, Sunniva Maria Stordal Bjørklund, Leon Moonen, Klas Pettersen, Michael A. Riegler

Publié 2026-05-08

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Sushant Gautam, Finn Schwall, Annika Willoch Olstad, Fernando Vallecillos Ruiz, Birk Torpmann-Hagen, Sunniva Maria Stordal Bjørklund, Leon Moonen, Klas Pettersen, Michael A. Riegler

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous êtes un urbaniste cherchant à embaucher un nouveau robot pour conseiller les citoyens. Vous avez deux robots, Robot A et Robot B. Vous devez déterminer lequel est « plus sûr » (moins susceptible de donner de mauvais ou de dangereux conseils) avant de leur permettre de s'adresser au public.

Habituellement, vous les testeriez sur un examen standardisé (un « benchmark ») où vous connaissez déjà les bonnes réponses. Mais que faire si vous construisez un robot pour une langue spécifique et rare (comme le norvégien) ou pour un travail très précis où aucun tel examen n'existe encore ? Vous ne pouvez pas simplement deviner, et vous ne pouvez pas vous permettre de construire un examen massif à partir de zéro dès maintenant.

Cet article présente une nouvelle méthode pour comparer ces robots sans examen préétabli. Ils l'appellent « Évaluation comparative de sécurité sans benchmark ».

Voici une explication simple de son fonctionnement, utilisant des analogies :

1. Le Problème : Le Dilemme « Sans Examen »

Habituellement, les tests de sécurité ressemblent à un QCM avec une clé de réponses. Mais dans de nombreuses situations réelles (comme un département gouvernemental spécifique en Norvège), il n'y a pas de clé de réponses.

L'ancienne méthode : Attendre que quelqu'un construise un examen parfait (ce qui prend des années et de l'argent).
La nouvelle méthode : Créer un « procès simulé » dès maintenant pour voir quel robot se comporte mieux par rapport à l'autre, même si nous ne connaissons pas la note absolue « parfaite ».

2. La Solution : Le « Procès Simulé » (SimpleAudit)

Les auteurs ont créé un outil appelé SimpleAudit. Imaginez-le comme un drame judiciaire contrôlé.

Le Scénario (Pack de Scénarios) : Au lieu de questions aléatoires, ils utilisent un ensemble fixe de situations spécifiques (par exemple : « Un citoyen demande des conseils médicaux », « Quelqu'un demande de l'aide juridique »). C'est le scénario du procès.
L'Acteur (Modèle Cible) : C'est le robot testé (Robot A ou Robot B).
Le Procureur (Auditeur) : C'est une deuxième IA conçue pour trouver des failles dans les réponses de l'Acteur. Elle pose des questions de suivi pièges pour voir si l'Acteur commet une erreur.
Le Juge (Juge) : Une troisième IA écoute toute la conversation et attribue une note basée sur un règlement strict (grille d'évaluation).

La Règle Clé : Vous ne lancez pas cela une seule fois. Vous exécutez le même scénario 10 fois avec les mêmes paramètres pour vous assurer que le résultat n'est pas dû au hasard.

3. Le « Contrôle de Sécurité » (La Chaîne de Validation)

Puisqu'il n'y a pas de clé de réponses, comment savez-vous que le test fonctionne réellement ? Les auteurs utilisent une « vérification de la réalité » en trois étapes pour prouver que leur outil est valide :

Étape 1 : Le Test de « Sabotage » (Réactivité)
Imaginez qu'ils prennent le Robot A et « cassent » secrètement ses filtres de sécurité (en créant une version « ablitérée » plus susceptible de dire de mauvaises choses).
- Le Test : L'outil remarque-t-il la différence ?
- Le Résultat : Oui. L'outil a attribué avec succès une note beaucoup plus basse au robot « cassé » qu'au robot sûr. Cela prouve que l'outil est suffisamment sensible pour détecter les problèmes de sécurité.
Étape 2 : Le « Jeu de la Blâme » (Dominance de la Cible)
Dans un tribunal, parfois le Juge est biaisé, ou le Procureur est trop faible. Les auteurs voulaient s'assurer que la note concernait bien le comportement du Robot, et non les particularités du Juge ou du Procureur IA.
- Le Test : Ils ont mené le procès avec différents Juges et Procureurs.
- Le Résultat : La raison principale des changements de notes était quel Robot était testé, et non quel Juge notait. Cela prouve que l'outil mesure le robot, et non l'outil lui-même.
Étape 3 : Le Test de « Répétition » (Stabilité)
Si vous lancez le procès 10 fois, obtenez-vous le même résultat ?
- Le Résultat : Oui. Après environ 10 exécutions, les notes ont cessé de fluctuer et se sont stabilisées autour d'un nombre fixe.

4. Le Test Réel : L'Appel d'Offres Norvégien

Les auteurs ont testé cela sur un projet gouvernemental norvégien réel comparant deux modèles : Borealis et Gemma.

La Découverte : Ils n'ont pas simplement dit « Robot A est meilleur ». Ils ont dit : « Robot A est plus sûr pour les questions de santé, mais Robot B est plus sûr pour les questions de langue ».
La Leçon : Vous ne pouvez pas simplement choisir un seul « gagnant ». Vous devez examiner les risques spécifiques. L'outil leur a fourni un ensemble de données (notes, taux d'échecs critiques et incertitude) afin qu'ils puissent prendre une décision éclairée.

5. Le « Contrat » (Ce que vous pouvez et ne pouvez pas affirmer)

L'article est très prudent sur ce que promet cet outil.

Il PROMET : « Si vous utilisez ce scénario exact, avec ces règles exactes, le Robot A est plus sûr que le Robot B. »
Il NE PROMET PAS : « Ce robot est 100 % sûr pour le monde entier » ou « Ce robot ne fera jamais d'erreur ».
La Métaphore : Pensez-y comme un crash-test automobile. Si vous faites percuter une voiture contre un mur à 48 km/h, vous pouvez dire : « Cette voiture a mieux géré ce crash spécifique que celle-là ». Vous ne pouvez pas dire : « Cette voiture est sûre pour toutes les conditions de conduite possibles dans l'univers ».

Résumé

Cet article affirme : Lorsque vous n'avez pas de test standard, vous pouvez toujours comparer la sécurité si vous construisez un « procès simulé » strict et répétable, et si vous prouvez que ce procès réagit effectivement aux changements de sécurité.

Ils ont créé un outil (SimpleAudit) qui fait cela, prouvé qu'il fonctionne en « cassant » des modèles pour voir si l'outil le détecte, et montré qu'il aide les gouvernements à prendre des décisions plus intelligentes et plus nuancées sur quelle IA utiliser, plutôt que de simplement choisir un gagnant au hasard.

Résumé technique : Validation du scoring comparatif de sécurité des LLM sans étiquettes de vérité terrain

1. Formulation du problème

L'article traite d'une lacune critique dans le déploiement des modèles de langage de grande taille (LLM) : la nécessité de comparer des modèles candidats pour leur sécurité dans des langues, secteurs ou régimes réglementaires spécifiques où aucune norme de sécurité annotée avec vérité terrain n'existe.

Dans de nombreux scénarios de déploiement (par exemple, une agence du secteur public norvégien testant un modèle local), les équipes doivent décider quel modèle est plus sûr sous des contraintes spécifiques sans accès à des jeux de données étiquetés. Les paradigmes existants échouent à répondre pleinement à ce besoin :

Normes statiques : Elles nécessitent des étiquettes de vérité terrain, sont souvent centrées sur l'anglais et figent l'évaluation au moment de la publication.
Audit orienté découverte : (par exemple, le red-teaming automatisé) génère des transcripts et des hypothèses mais manque d'un mécanisme de scoring engagé et répétable avec quantification de l'incertitude, adapté aux marchés publics.
LLM en tant que juge : Bien que les comparaisons par paires soient plus fiables que les scores absolus, elles héritent de biais et d'instabilité. Sans chaîne de validation, les scores ne peuvent être défendus comme preuve de différences de sécurité plutôt que comme des artefacts de l'appareil d'audit.

Les auteurs définissent cet espace comme le scoring comparatif de sécurité sans norme. Le défi central est de produire des preuves comparatives défendables (scores, deltas, taux critiques) sans étiquettes de vérité terrain, en s'assurant que l'instrument réagit au comportement cible plutôt qu'au bruit ou aux artefacts de l'auditeur/juge.

2. Méthodologie : La chaîne de validité instrumentale

Pour valider un instrument de scoring en l'absence de vérité terrain, les auteurs proposent une chaîne de validité instrumentale. Cette chaîne remplace l'accord sur la vérité terrain par trois exigences spécifiques :

Réactivité : L'outil doit distinguer un contraste connu pertinent pour la sécurité. Les auteurs utilisent un contraste sûr-vs-ablaté (comparant un modèle aligné sur la sécurité avec une variante adaptée aux capacités où le comportement de refus a été ablaté via la direction du refus).
Sensibilité à la cible (dominance de la variance) : La variance des scores doit être principalement pilotée par le modèle cible, et non par les artefacts de l'auditeur (sonde) ou du juge (évaluateur). Cela est quantifié par la décomposition de la variance ( $\eta^2$ ).
Reproductibilité : Les scores doivent se stabiliser sur plusieurs exécutions ( $n$ ) pour garantir que les deltas entre cibles ne sont pas masqués par un bruit stochastique.

L'implémentation SimpleAudit

Les auteurs incarnent cette chaîne dans SimpleAudit, une bibliothèque Python locale et un instrument de mesure.

Architecture : Elle sépare trois rôles indépendants : Cible (T), Auditeur (A) et Juge (J).
Flux de travail : Un pack de scénarios initialise une conversation ; l'Auditeur génère des sondes ; la Cible répond ; le Juge note le transcript avec un verdict structuré (sévérité 0–4).
Scoring : Les étiquettes de sévérité sont remappées sur une échelle 0–100. L'instrument rapporte des scores agrégés, des deltas appariés ( $\Delta$ ), des taux critiques (fréquence des défaillances graves) et des intervalles d'incertitude.
Engagements de conception : Exécution locale (aucune dépendance à une API externe pour les données sensibles), modularité des rôles, configuration explicite et packs de scénarios versionnés.

3. Contributions clés

L'article apporte six contributions principales :

Définition de catégorie : Identifie le « scoring comparatif de sécurité sans norme » comme une catégorie d'évaluation distincte avec son propre contrat de revendication.
Cadre de validation : Spécifie la chaîne de validité instrumentale (réactivité, sensibilité à la cible, reproductibilité) requise pour valider de tels outils.
Implémentation de référence : Introduit SimpleAudit, un outil qui regroupe des scénarios fixes, des grilles d'évaluation et des rôles dans un instrument répétable.
Validation empirique : Valide SimpleAudit sur un pack de sécurité norvégien, démontrant qu'il répond aux trois exigences de la chaîne.
Vérification de généralisation : Applique la même chaîne de validation à Petri (un outil d'audit orienté découverte), montrant que la chaîne admet également Petri, à condition que des dimensions spécifiques soient sélectionnées.
Preuve de déploiement : Démontre l'application de ce cadre dans un cas de marché public norvégien comparant Borealis et Gemma 3.

4. Résultats clés

Validation de SimpleAudit

Réactivité : SimpleAudit sépare avec succès les cibles sûres et ablatées. Pour des combinaisons fiables juge-auditeur, les valeurs AUROC varient de 0,89 à 1,00.
Sensibilité à la cible : La décomposition de la variance montre que le modèle cible est le facteur dominant ( $\eta^2 \approx 0,52$ ), tandis que les contributions de l'auditeur et du juge sont substantielles mais secondaires. Cela confirme que les scores reflètent le comportement de la cible et non les artefacts de l'appareil.
Reproductibilité : Les scores se stabilisent rapidement. Dès 10 exécutions, l'écart absolu moyen par rapport au score de référence chute à environ 1 point sur une échelle 0–100, bien en dessous des deltas qui orientent les décisions d'achat.
Insights sur la configuration :
- Sélection de l'auditeur : L'auditeur est le point de conception le plus critique. Un auditeur trop puissant (par exemple, des modèles de pointe) comprime les scores des cibles sûres, effaçant les deltas comparatifs que l'instrument est censé rapporter. L'auditeur doit correspondre à la gamme de capacités de la cible.
- Sélection du juge : Bien que les scores absolus varient selon le juge, les deltas par paires restent stables. Les juges ayant un taux de faux négatifs critiques proche de 10 % (par rapport à une référence de pointe) sont viables pour la gouvernance.
- Efficacité des coûts : Définir la capacité du Juge égale à celle de l'Auditeur ( $J=A$ ) est la configuration par défaut recommandée, économisant des tokens sans sacrifier le signal comparatif.

Comparaison avec Petri

La chaîne de validation admet également Petri. Plus précisément, la dimension « préoccupante » de Petri répond aux trois exigences (AUROC $\ge$ 0,99, dominance de la cible, stabilité).
Cependant, les outils diffèrent par leurs contrats de revendication en amont. SimpleAudit impose un pack de scénarios unique et engagé ainsi qu'une règle d'agrégation, le rendant opérationnellement adapté aux marchés publics. Petri offre de la flexibilité pour la découverte mais exige que l'utilisateur s'engage sur des constructions et des règles d'agrégation pour générer des scores comparables.

Étude de cas sur les marchés publics norvégiens

La comparaison de Borealis et Gemma 3 à travers différentes tailles (1B–27B) a révélé que « plus sûr » n'est pas une propriété monolithique.
Borealis a généralement montré des scores plus élevés et des taux critiques plus faibles, mais l'avantage était dépendant de la catégorie (par exemple, fort dans la santé et le secteur public, plus faible dans le langage).
Passage à l'échelle : Les améliorations de sécurité ont atteint un plateau à 12B pour certaines catégories, contredisant la règle simple « plus grand = plus sûr ».
Conclusion : Les preuves soutiennent une vision nuancée : le modèle le plus sûr dépend de la catégorie de scénario et de la mesure de risque spécifique (score moyen vs taux critique).

5. Signification et revendications

L'article revendique que le scoring comparatif de sécurité sans norme est une catégorie d'évaluation distincte, et non une forme dégradée de benchmarking. Sa signification réside dans :

Opérationnalisation de la sécurité pour les domaines réglementés : Il fournit une méthode permettant aux équipes dans des environnements réglementés (par exemple, secteur public, langues non anglaises) de générer des preuves comparatives défendables sans attendre des normes étiquetées.
Passage du classement à la preuve : Les auteurs s'opposent à l'effondrement des résultats en un seul classement. Au lieu de cela, une preuve de déploiement valide consiste en un ensemble : scores, deltas appariés, taux critiques, intervalles d'incertitude et vérifications de sensibilité, tous liés à une configuration d'instrument spécifique.
Falsifiabilité : En énonçant explicitement le « contrat de revendication » (instrument fixe, pack de scénarios, rôles), l'évaluation devient falsifiable. D'autres groupes peuvent relancer le même instrument ou échanger des composants pour contester les résultats.
Gouvernance locale en priorité : La conception garantit que les invites, les transcripts et les politiques n'ont pas besoin de quitter l'environnement de déploiement, répondant ainsi aux préoccupations de souveraineté des données et de confidentialité dans les secteurs réglementés.

Les auteurs sont modestes quant à leurs revendications : réussir la chaîne de validité instrumentale est nécessaire mais non suffisant pour le déploiement. Cela prouve que l'instrument fonctionne comme un outil de mesure, mais les experts du domaine doivent toujours juger si le pack de scénarios capture la construction réelle du déploiement. La contribution réside dans la catégorie et la chaîne de validation, SimpleAudit servant d'implémentation de transition pour la niche des marchés publics.