💻 computer science

Latent-space Attacks for Refusal Evasion in Language Models

Ce papier reformule la suppression des refus dans les modèles de langage comme une attaque d'évasion dans l'espace latent contre des sondes linéaires, révélant que les méthodes d'ablation antérieures se contentent de projeter les représentations vers la frontière de décision et proposant une nouvelle technique d'« évasion contrôlée dans l'espace latent » qui repousse les représentations plus profondément dans la région conforme pour atteindre des taux de réussite de jailbreak à la pointe de l'état de l'art.

Auteurs originaux : Giorgio Piras, Raffaele Mura, Fabio Brau, Maura Pintor, Luca Oneto, Fabio Roli, Battista Biggio

Publié 2026-05-22

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Giorgio Piras, Raffaele Mura, Fabio Brau, Maura Pintor, Luca Oneto, Fabio Roli, Battista Biggio

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un Grand Modèle de Langage (LLM) comme un bibliothécaire très intelligent, mais extrêmement prudent. Ce bibliothécaire a été entraîné pour refuser de distribuer des livres dangereux (comme des instructions sur la fabrication d'une bombe ou la rédaction de discours haineux). Lorsque vous demandez quelque chose de nuisible, le « système d'alarme » interne du bibliothécaire se déclenche, et il répond poliment : « Je ne peux pas vous aider avec cela. »

Pendant un temps, les chercheurs ont cru pouvoir tromper ce bibliothécaire en trouvant un « interrupteur de refus » spécifique à l'intérieur du cerveau du bibliothécaire. S'ils désactivaient cet interrupteur (une méthode appelée « ablation »), le bibliothécaire cesserait de refuser. Cependant, l'article soutient que cette ancienne méthode revient à essayer de faire taire une alarme en recouvrant simplement le haut-parleur d'une couverture. Cela peut fonctionner un peu, mais l'alarme sonne toujours techniquement, et le bibliothécaire se tient toujours au bord de la « zone de danger ».

La Nouvelle Idée : L'Attaque par « Évasion Contrôlée »

Les auteurs de cet article proposent une manière plus intelligente de tromper le bibliothécaire. Ils considèrent le mécanisme de refus non pas comme un simple interrupteur, mais comme un gardien de sécurité posté devant une porte.

L'Ancienne Méthode (Confiance Minimale) : Les méthodes précédentes tentaient de pousser les pensées du bibliothécaire juste assez pour toucher la ligne de sable du gardien. Le bibliothécaire se tenait exactement sur la ligne, incertain de devoir dire « oui » ou « non ». C'est risqué et échoue souvent, car le gardien peut toujours dire « stop ».
La Nouvelle Méthode (Évasion Contrôlée dans l'Espace Latent) : La nouvelle méthode des auteurs, appelée CLE, ne se contente pas de toucher la ligne. Elle pousse les pensées du bibliothécaire bien au-delà du gardien, profondément dans la « zone sûre » où le bibliothécaire se sent à 100 % certain que la demande est inoffensive.

Comment Cela Fonctionne : Deux Stratégies

L'article teste deux façons de réaliser cette « poussée », en utilisant la métaphore d'un randonneur essayant de traverser une crête montagneuse :

Stratégie A (CLE-P) : Le Randonneur « Pas à Pas ».
Imaginez que le bibliothécaire grimpe une montagne, et qu'à chaque pas, un guide vérifie sa position. Si le randonneur commence à dériver vers le « côté dangereux », le guide le repousse immédiatement vers le « côté sûr ». C'est comme réajuster constamment les pensées du bibliothécaire pour chaque mot qu'il génère. Cela fonctionne très bien, mais c'est comme avoir un guide qui vous pousse constamment tout au long du chemin.
Stratégie B (CLE-A) : Le Randonneur « Une Grande Poussée ».
C'est la plus grande surprise de l'article. Au lieu de vérifier le randonneur à chaque pas, le guide lui donne une seule poussée massive et parfaitement calculée au tout début de la randonnée. Cette poussée est si forte et précise que le randonneur atterrit profondément dans la zone sûre et y reste sans avoir besoin d'autres nudges.
- Le Résultat : L'article a découvert que cette « Une Grande Poussée » (CLE-A) est en réalité meilleure que les nudges constants. Elle est plus rapide, moins coûteuse et plus efficace pour contourner le refus.

Ce Qu'ils Ont Découvert

Les chercheurs ont testé cela sur 15 modèles d'IA différents, y compris certains très performants en raisonnement et d'autres capables de « voir » des images.

Les Anciennes Méthodes : Les meilleures méthodes précédentes (comme la « Différence des Moyennes » ou DiM) avaient un taux de réussite très faible. Par exemple, sur un modèle, elles n'ont réussi à tromper l'IA que dans environ 1,8 % des cas.
La Nouvelle Méthode : Leur nouvelle méthode « Une Grande Poussée » (CLE-A) a réussi dans 95 % à 100 % des cas sur de nombreux modèles.
La Comparaison : Ils ont également comparé leur méthode aux « jailbreaks » (où l'on tente de tromper l'IA en écrivant un prompt très astucieux). Leur méthode a mieux fonctionné que ces prompts, et elle ne nécessitait pas d'écrire un nouveau prompt pour chaque question. Une fois la « poussée » calculée, elle fonctionnait pour n'importe quelle question nuisible.

Le « Pourquoi » Derrière la Magie

L'article explique que les anciennes méthodes étaient trop timides. Elles tentaient seulement de déplacer les pensées internes de l'IA juste assez pour franchir la ligne de démarcation. La nouvelle méthode réalise que pour contourner véritablement la sécurité, il faut déplacer les pensées profondément dans la région « conforme », donnant à l'IA un fort sentiment de confiance qu'elle fait la bonne chose.

Limitations Importantes

L'article est très clair sur ce que cela est et ce que ce n'est pas :

C'est une Attaque « Boîte Blanche » : Cette méthode nécessite un accès au « cerveau » interne de l'IA (son code et sa mémoire internes) pour effectuer la poussée. Vous ne pouvez pas le faire simplement en discutant avec un site web public ; vous devez pouvoir modifier le code de l'IA pendant son exécution.
Ce n'est pas une « Baguette Magique » pour Tout : La méthode fonctionne parce que les pensées de refus et de conformité de l'IA sont actuellement disposées sur une ligne droite (linéairement séparables) dans son cerveau. Si les futurs entraînements de sécurité de l'IA modifient cela de sorte que les pensées de refus soient dispersées de manière complexe et désordonnée, cette attaque spécifique pourrait cesser de fonctionner.

En résumé, l'article montre que les « gardiens » de sécurité actuels dans les modèles d'IA se tiennent sur une ligne trop facile à franchir. En poussant les pensées de l'IA bien au-delà de cette ligne avec un seul mouvement calculé, les attaquants peuvent contourner le mécanisme de refus beaucoup plus efficacement qu'auparavant.

Résumé technique : Attaques dans l'espace latent pour contourner les refus dans les modèles de langage

Énoncé du problème

Les grands modèles de langage (LLM) alignés sur la sécurité sont entraînés à refuser les demandes nuisibles. Cependant, la littérature récente démontre que ce comportement de refus peut être supprimé en orientant les représentations internes du modèle. Les méthodes existantes, telles que celles d'Arditi et al. [5], y parviennent en « ablatant » une direction de refus spécifique (calculée comme la différence des moyennes, ou DiM, entre les activations nuisibles et inoffensives) dans le flux résiduel du modèle. Bien qu'empiriquement efficaces, ces méthodes manquent d'une explication théorique rigoureuse de la transformation dans l'espace latent qu'elles induisent. Plus précisément, il reste unclear pourquoi l'ablation est l'intervention optimale, si elle suffit à supprimer le refus, et comment elle peut être systématiquement améliorée. Le problème central abordé est l'absence d'un cadre rigoureux expliquant les mécanismes de suppression du refus et les limites des approches actuelles basées sur l'ablation.

Méthodologie

Les auteurs reformulent le problème de la suppression du refus comme une attaque d'évasion dans l'espace latent contre des sondes linéaires entraînées à séparer les prompts refusés (nuisibles) des prompts répondus (inoffensifs).

Reformulation théorique

Oracle de substitution : Les auteurs remplacent l'oracle de refus intraitable et boîte noire (par exemple, un LLM en tant que juge) par une fonction de substitution tratable $\phi$ . Cette substitution est un ensemble de sondes linéaires par couche (spécifiquement des SVM linéaires) entraînées sur les activations des tokens post-instruction pour prédire le refus.
Réinterprétation des travaux antérieurs : Dans ce cadre, l'ablation DiM standard est identifiée comme une attaque d'évasion de confiance minimale. La direction DiM correspond au vecteur de poids d'une sonde linéaire, et l'ablation (projection des activations sur l'hyperplan orthogonal à DiM) est mathématiquement équivalente à projeter les activations exactement sur la frontière de décision de la sonde. Il s'agit de la perturbation la plus faible possible qui inverse une décision linéaire (analogue à l'attaque DeepFool [9]).
Limitation identifiée : Parce que l'évasion de confiance minimale s'arrête exactement à la frontière de décision, elle laisse le modèle dans un état d'incertitude maximale. Les auteurs soutiennent que pour supprimer robustement le refus, les représentations doivent être repoussées au-delà de la frontière dans la région conforme avec une marge de confiance explicite.

Solution proposée : Évasion contrôlée dans l'espace latent (CLE)

Les auteurs proposent l'Évasion contrôlée dans l'espace latent (CLE), un mécanisme qui perturbe les activations pour échapper aux sondes linéaires avec une marge de confiance optimisée. L'intervention est paramétrée par :

Sélection de couche ( $\lambda_l$ ) : Un masque binaire déterminant quelles couches sont activement orientées.
Marge ( $m_l$ ) : Un scalaire non négatif contrôlant la distance au-delà de la frontière de décision vers laquelle l'activation est projetée.

La taille de pas pour la perturbation est définie par $\alpha_l(t) = \lambda_l (\phi_l(h_l(t)) + m_l)$ , où $\phi_l$ est le logit de la sonde. Cette formulation permet à l'attaque de déplacer les activations plus profondément dans le demi-espace conforme plutôt que de simplement toucher la frontière.

CLE est implémenté sous deux variantes :

CLE-P (Projective) : Reprojecte chaque activation de token pendant la génération sur un hyperplan décalé défini par la marge $m_l$ . Cela généralise les méthodes d'ablation antérieures mais impose une confiance cible.
CLE-A (Additive) : Calcule la perturbation une seule fois sur le token post-instruction et l'ajoute uniformément à toutes les activations de tokens subséquentes. Cela teste si une reprojection continue est nécessaire.

Optimisation

Les fenêtres de couches optimales ( $\lambda_l$ ) et les marges ( $m_l$ ) sont sélectionnées par optimisation bayésienne (BO) sur un ensemble de validation retenu. La recherche BO minimise le taux de refus attendu (maximisant le succès de l'attaque) en trouvant la configuration qui échappe le mieux à l'ensemble des sondes.

Contributions clés

Reformulation théorique : L'article fournit une reformulation rigoureuse de la suppression du refus comme une attaque d'évasion dans l'espace latent, démontrant que les méthodes d'ablation antérieures sont équivalentes à des attaques de confiance minimale s'arrêtant à la frontière de décision.
Cadre d'évasion contrôlée : Les auteurs introduisent CLE, qui optimise explicitement une marge de confiance, repoussant les représentations plus loin dans la région conforme.
Analyse additive vs projective : Le travail introduit et évalue CLE-A, montrant qu'une seule perturbation additive calculée sur le token post-instruction suffit à maintenir l'évasion tout au long de la génération, surpassant souvent la reprojection par token (CLE-P).
Validation empirique : Les méthodes sont évaluées sur 15 modèles divers, incluant des architectures ajustées sur instruction, de raisonnement et multimodales.

Résultats

Les auteurs rapportent des taux de succès d'attaque (ASR) de l'état de l'art sur tous les modèles testés :

Performance : CLE-A atteint un ASR moyen de 87,29 % sur 15 modèles, surpassant significativement les bases de référence d'ablation de refus existantes (DiM, RDO, PS, MD) et les attaques de contournement au niveau des invites (GCG, SAA).
- Sur LLaMA2-7B, CLE-A porte l'ASR de 1,80 % (DiM) à 94,96 %.
- Sur Mistral-7B-RR (un modèle avec des défenses de réacheminement de représentations), CLE-A atteint un ASR de 83,02 %, contre 8,80 % pour DiM.
Insights mécanistiques :
- Contrôle de la confiance : Le succès de l'attaque est corrélé de manière monotone avec la marge de confiance conforme ; une marge nulle (projection sur la frontière) donne un succès proche de zéro, tandis que des marges plus importantes donnent un succès élevé.
- Sélection de couche : L'optimisation bayésienne sélectionne systématiquement des couches intermédiaires (par exemple, les couches 9–30 dans Phi-4-15B) pour l'intervention, évitant les couches précoces où les distributions nuisibles/inoffensives se chevauchent et les couches tardives où la trajectoire est déjà déterminée.
- Efficacité additive : CLE-A démontre que la reprojection continue est sous-optimale ; une perturbation fixe unique maintient efficacement la trajectoire conforme.
Cohérence du modèle : Des études d'ablation sur les benchmarks MMLU, ARC et TruthfulQA indiquent que les interventions CLE suppriment le refus sans dégrader substantiellement les capacités générales du modèle ou sa cohérence.

Signification et affirmations

L'article affirme que sa signification principale réside dans la fourniture d'un compte rendu rigoureux de pourquoi la suppression du refus fonctionne et comment elle peut être améliorée. En identifiant la limitation de l'ablation « de confiance minimale », les auteurs motivent le besoin d'une évasion « de confiance contrôlée ».

Les auteurs positionnent ce travail comme une étude à double usage :

Valeur défensive : Il clarifie la vulnérabilité des mécanismes d'alignement actuels à la séparabilité linéaire dans l'espace latent, motivant le développement de mécanismes de sécurité moins dépendants des caractéristiques de refus linéaires (par exemple, distribuer les représentations de refus sur des variétés non triviales).
Capacité offensive : Il démontre que les alignements de sécurité existants peuvent être contournés plus efficacement que prévu en repoussant simplement les représentations plus loin dans la région conforme avec des marges optimisées.

L'article conclut que si l'approche actuelle repose sur la séparabilité linéaire du refus et de la conformité (ce qui vaut pour les modèles testés), les procédures d'alignement futures pourraient atténuer de telles attaques en décourageant activement cette séparabilité linéaire. Les auteurs ne prétendent pas avoir brisé tous les mécanismes de sécurité, mais plutôt d'avoir exposé une faiblesse spécifique et systématique dans la façon dont le refus est représenté et sur laquelle on intervient dans les LLM actuels.