Résumé technique : Le Grand Imposteur : Un problème de stochasticité dans les jailbreaks de LLM

1. Énoncé du problème

La norme actuelle pour évaluer la sécurité des modèles de langage de grande taille (LLM), le taux de réussite de l'attaque (ASR), est fondamentalement flawed car elle traite l'ASR comme une propriété fixe d'une attaque. Les auteurs soutiennent que l'ASR est en réalité une variable aléatoire fortement influencée par deux sources indépendantes de stochasticité largement ignorées dans la littérature existante :

1. Stochasticité de génération : La plupart des attaques de jailbreak (par exemple, Best-of-N, Crescendo) sont stochastiques par conception. Elles génèrent plusieurs invites candidates et en sélectionnent une sur la base d'un seul essai réussi. Une seule exécution produit un ensemble différent de candidats selon la graine aléatoire, conduisant à des résultats d'ASR variables.
2. Stochasticité d'évaluation : Les juges automatisés (par exemple, Llama-Guard) utilisés pour classer les réponses comme « nuisibles » ou « sûres » sont eux-mêmes stochastiques lorsqu'ils fonctionnent à une température $T > 0$. La même réponse du modèle peut être étiquetée nuisible lors d'une évaluation et bénigne lors d'une autre.

Par conséquent, les chiffres d'ASR rapportés sont systématiquement gonflés et incomparables entre les articles. Une invite qui réussit 1 fois sur 10 tentatives est souvent traitée de manière identique à une autre qui réussit 10 fois sur 10, masquant le fait que la première peut être un « tirage chanceux » plutôt qu'une véritable vulnérabilité.

2. Méthodologie

L'article propose une étude empirique systématique pour quantifier l'impact de ces facteurs stochastiques.

Configuration expérimentale

• Attaques : Quatre attaques en boîte noire ont été évaluées : Best-of-N (BoN), PAIR, TAP et Crescendo.
• Modèles cibles : Cinq modèles adaptés aux instructions allant de 1 milliard à 70 milliards de paramètres, répartis sur trois familles (Meta Llama-3, Google Gemma-3, IBM Granite).
• Juges : Deux juges basés sur des LLM (Llama-Guard-3-1B et Llama-Guard-3-8B).
• Paramètres : L'étude fait varier six paramètres de stochasticité à travers les pipelines de génération et d'évaluation :
  • Températures : Génération du modèle cible ($T_{gen}$), évaluation du modèle cible ($T_{eval}$), génération du juge ($\theta_{gen}$) et évaluation du juge ($\theta_{eval}$).
  • Seuils de cohérence : Le nombre d'évaluations réussies consécutives requis ($k_{gen}$ pour la génération, $k_{eval}$ pour l'évaluation).
  • Graines : Plusieurs graines aléatoires indépendantes ($S=5$) pour mesurer la variance.

Cadres proposés

Pour remédier à l'instabilité de l'ASR, les auteurs introduisent la Cohérence pour la réussite de l'attaque (CAS) et deux cadres associés :

1. Métrique CAS : Un indicateur binaire par invite. Un jailbreak est compté comme réussi uniquement si toutes les $k$ évaluations indépendantes renvoient un verdict nuisible.

   • L'ASR standard correspond à $k=1$.
   • La métrique au niveau de l'ensemble de données est $ASR(k_{eval})$, la fraction d'invites où $CAS(r, k_{eval}) = 1$.

2. CAS-gen (Cadre de génération d'attaque) :

   • Au lieu d'accepter une invite de jailbreak après un seul essai réussi ($k_{gen}=1$), l'attaque doit provoquer une réponse nuisible de manière cohérente sur $k_{gen}$ exécutions indépendantes.
   • Cela filtre les « succès par hasard » à la source, garantissant que l'ensemble de données d'attaque ne contient que des invites robustes.

3. CAS-eval (Cadre d'évaluation d'attaque) :

   • Une invite de jailbreak fixe est évaluée $k_{eval}$ fois. Elle est classée comme un jailbreak cohérent uniquement si toutes les $k_{eval}$ requêtes au juge renvoient un verdict nuisible.
   • Cela supprime les faux positifs causés par la non-déterminisme du juge.

3. Résultats clés

L'évaluation révèle que les paramètres de stochasticité peuvent faire varier l'ASR rapporté de manière massive (jusqu'à 54 points de pourcentage), rendant les comparaisons inter-articles invalides sans standardisation.

• Impact du seuil d'évaluation ($k_{eval}$) : Le passage de $k_{eval}=1$ à $k_{eval}=10$ réduit l'ASR de 12 à 24 points de pourcentage sur toutes les configurations. Cela indique que l'évaluation standard en tir unique surestime considérablement le succès de l'attaque.
• Impact de la température du juge ($\theta_{eval}$) : C'est le paramètre le plus volatil. Augmenter $\theta_{eval}$ de 0,0 à 1,0 peut effondrer l'ASR de jusqu'à 54 points de pourcentage (par exemple, Crescendo passant de 86 % à 32 %). À $\theta_{eval}=0$, l'ASR devient parfaitement stable.
• Impact du budget de génération ($k_{gen}$) : Augmenter $k_{gen}$ de 1 à 10 élève l'ASR rapporté de 12 à 30 points de pourcentage. Un filtre lâche ($k_{gen}=1$) admet des invites limites qui se dégradent fortement sous une évaluation répétée.
• Impact de la température du modèle cible ($T_{eval}$) : Le déplacement de $T_{eval}$ de 0,0 à 1,0 modifie l'ASR d'au plus 18 points de pourcentage sans direction systématique ; il n'affecte pas le classement relatif des attaques.
• Impact de la graine d'attaque : La dispersion entre graines est modeste (jusqu'à 20 points de pourcentage) mais peut être plus élevée pour des configurations spécifiques (par exemple, 50 points pour BoN avec LG-8B à $k_{eval}=10$).

4. Contributions et importance

L'article apporte trois contributions principales :

1. Étude empirique systématique : La première analyse complète de la stochasticité de génération et d'évaluation à travers plusieurs attaques, modèles et juges, identifiant les paramètres spécifiques qui entraînent la variance de l'ASR.
2. Nouvelle métrique et cadres : L'introduction de la CAS (Cohérence pour la réussite de l'attaque) et des cadres CAS-gen/CAS-eval. Ces outils permettent aux chercheurs de filtrer les tirages chanceux et le bruit des juges, produisant des estimations d'ASR plus fiables et reproductibles.
3. Norme minimale de rapportage : Les auteurs proposent une liste de contrôle pour les recherches futures afin d'assurer la comparabilité. Au minimum, les articles doivent divulguer :
   • $k_{gen}$ (seuil de cohérence de génération)
   • $k_{eval}$ (seuil de cohérence d'évaluation)
   • $\theta_{eval}$ (température d'évaluation du juge)
   • (Pour les attaques BoN) $\theta_{gen}$ (température de recherche du juge)

Importance :
L'article soutient que la pratique actuelle de rapporter l'ASR comme une estimation ponctuelle sans contrôler la stochasticité est « fondamentalement flawed ». En ignorant ces variables, la communauté crée un scénario de « Grand Imposteur » où les scores ASR élevés sont souvent des artefacts de graines aléatoires et de bruit des juges plutôt que de véritables vulnérabilités. Les cadres proposés et les normes de rapportage visent à restaurer la rigueur statistique dans l'évaluation de la sécurité des LLM, garantissant que les taux de réussite rapportés reflètent une efficacité d'attaque véritable et reproductible. Les auteurs notent que leurs résultats sont basés sur des modèles à poids ouverts et que l'extension de cette analyse aux modèles propriétaires fortement alignés par RLHF reste une question empirique ouverte en raison des restrictions d'API et du manque de transparence.