Résumé Technique : Détection des Jailbreaks par la Dynamique de l'Entropie dans les Couches Intermédiaires

1. Énoncé du Problème

Les attaques de type « jailbreak » exploitent les Large Language Models (LLM) pour contourner l'entraînement de sécurité, provoquant des réponses qui violent les politiques de sécurité malgré les efforts d'alignement. Alors que les défenses existantes opèrent au niveau du prompt (filtres), de la réponse (inspection de sortie) ou via des classificateurs supervisés, la représentation interne de l'intention malveillante reste mal comprise. Plus précisément, il n'est pas clair comment l'intention adversaire est représentée dans l'espace latent du modèle, comment ce signal évolue à travers les positions des tokens, et à quelle profondeur au sein de l'architecture transformer cette information est la plus distinguable des entrées bénignes.

Les méthodes actuelles reposant sur des statistiques agrégées statiques (par exemple, la perplexité moyenne ou l'entropie) échouent souvent à capturer les interactions nuancées et localisées entre les tokens et l'état interne du modèle qui caractérisent les tentatives de jailbreak. Ce document postule que le comportement de jailbreak n'est pas simplement un décalage des niveaux d'incertitude globale, mais induit des dynamiques structurées dans la manière dont l'entropie prédictive évolue à mesure qu'un prompt se déroule.

2. Méthodologie

Les auteurs proposent un cadre sans entraînement (training-free) qui analyse les trajectoires d'entropie prédictive par token au sein des couches intermédiaires d'un LLM gelé. L'approche repose sur les composants suivants :

2.1 Extraction de l'entropie des couches intermédiaires (Logit Lens)

Au lieu d'attendre la sortie finale, la méthode projette les états cachés intermédiaires ($h_t^{(\ell)}$) à des couches $\ell$ spécifiques directement dans l'espace du vocabulaire en utilisant la matrice de désincorporation finale ($W_U$) du modèle. Cette technique de « logit lens » génère une distribution de probabilité $p^{(\ell)}(\cdot | x_{<t})$ pour le prochain token à chaque étape intermédiaire.
L'entropie de Shannon $H_t^{(\ell)}$ est ensuite calculée pour chaque position de token $t$ à ces couches de sondage, créant une trajectoire d'entropie $H^{(\ell)} = (H_1^{(\ell)}, \dots, H_{T-1}^{(\ell)})$.

2.2 Construction de caractéristiques (Features)

Le cadre distingue deux familles de caractéristiques dérivées de ces trajectoires :

• Caractéristiques Statiques (de Niveau) : Statistiques agrégées résumant l'ampleur de l'incertitude à travers le prompt, telles que la moyenne, le maximum, l'écart-type et le minimum.
• Caractéristiques Dynamiques (de Tendance) : Métriques capturant l'évolution directionnelle de l'incertitude à travers les positions des tokens. Les caractéristiques clés incluent :
  • $\tau$ de Kendall : Corrélation de rang entre les valeurs d'entropie et les positions des tokens.
  • $\rho$ de Spearman : Corrélation de Pearson des rangs transformés de l'entropie et des positions des tokens.
  • Monotonicité : La fraction de paires de tokens consécutifs où l'entropie se déplace dans une direction « malveillante » spécifique ($d$), laquelle est empiriquement déterminée par modèle (par exemple, vers le bas pour Llama/Qwen, vers le haut pour Gemma).

2.3 Protocole d'Évaluation

L'étude évalue ces caractéristiques sur un modèle gelé lors d'une seule passe avant (forward pass). La performance de détection est mesurée via l'AUROC directionnelle (Aire Sous la Courbe ROC), calculée dans la direction malveillante naturelle du modèle. L'évaluation couvre trois modèles open-source (Llama-3.1-8B, Qwen3-8B, Gemma-7b) et plusieurs benchmarks adverses (AdvBench, HarmBench, StrongREJECT) contre des jeux de données bénins (UltraChat, WildJailbreak, JailbreakBench).

3. Principales Contributions

Le document présente trois contributions principales :

1. Analyse sans entraînement : Introduit une méthode pour détecter les signaux de jailbreak en utilisant uniquement les activations des couches intermédiaires, sans entraîner de classificateurs ni analyser les sorties générées.
2. Signal Dynamique vs Statique : Démontre que le pouvoir discriminatoire réside principalement dans les caractéristiques de trajectoire dynamiques (monotonicité, tendances basées sur le rang) plutôt que dans les statistiques d'entropie agrégées statiques.
3. Localisation dépendante de la profondeur : Identifie que le signal de jailbreak est concentré dans les couches intermédiaires (environ 50 à 85 % de la profondeur du réseau) et se dégrade considérablement à la couche finale, suggérant que l'intention malveillante est encodée dans les représentations sémantiques du milieu du réseau avant d'être transformée par le traitement spécifique de sortie.

4. Résultats Empiriques

4.1 Les caractéristiques dynamiques surpassent les agrégats statiques

Sur tous les modèles, les caractéristiques de tendance dynamique ont systématiquement séparé les prompts de jailbreak des prompts bénins, alors que les caractéristiques statiques (entropie moyenne, max) présentaient une variance élevée et une faible généralisation entre les modèles.

• La Monotonicité a obtenu l'AUROC moyenne la plus élevée sur Llama (0,941) et Qwen (0,941).
• Le $\tau$ de Kendall et le $\rho$ de Spearman ont fourni une séparation robuste et cohérente avec l'architecture (AUROC moyenne $\approx$ 0,78–0,80) avec une variance inter-modèles quasi nulle, indiquant que la structure de l'évolution de l'entropie est un signal transférable, indépendamment de l'échelle absolue de l'entropie.

4.2 Concentration du signal dans les couches intermédiaires

Le signal discriminatoire n'est pas uniforme à travers la profondeur.

• Pic Intermédiaire : Les caractéristiques comme la monotonicité et le $\tau$ de Kendall atteignent un sommet dans les couches intermédiaires (par exemple, la couche 22 sur 32 pour Llama, la couche 25 sur 36 pour Qwen).
• Dégradation à la Couche Finale : La performance chute brutalement à la couche finale. Pour Gemma, le $\tau$ de Kendall passe de 0,796 à la couche intermédiaire à 0,458 à la couche finale. Cela suggère que la couche finale supprime ou réorganise activement la structure adversaire présente dans les représentations antérieures.
• Contraste avec les Caractéristiques Statiques : Les caractéristiques statiques (comme l'entropie moyenne) montrent la tendance opposée, performant souvent mieux à la couche finale, confirmant qu'elles capturent des propriétés computationnelles différentes des tendances dynamiques.

4.3 Généralisation et Contrôles Adversaires

• Cohérence Inter-Modèles : Les caractéristiques basées sur le rang se généralisent bien à Llama, Qwen et Gemma, malgré les différences de pipelines d'entraînement et de nombre de couches.
• Contrôle Adversaire (JailbreakBench Benign) : Lorsque l'ensemble bénin était composé de prompts « JailbreakBench benign » (conçus intentionnellement pour imiter la structure des requêtes malveillantes sans intention malveillante), l'AUROC s'est effondrée (tombant à environ 0,35). Cela indique que le signal détecte la composition structurelle du prompt plutôt que la malveillance sémantique. Lorsque les entrées bénignes ressemblent structurellement aux jailbreaks, les dynamiques internes deviennent indiscernables.

5. Signification et Revendications

Le document affirme que le comportement de jailbreak dans les LLM alignés se reflète dans des dynamiques d'incertitude structurées dans les couches intermédiaires. Plus précisément :

• Interprétabilité : Les conclusions clarifient où (couches intermédiaires) et comment (tendances d'entropie monotones) l'intention malveillante est encodée, offrant une lentille de diagnostic dans l'intérieur du modèle.
• Cohérence Architecturale : Le signal est une propriété émergente des représentations du milieu du réseau qui persiste à travers différentes familles de modèles (Llama, Qwen, Gemma) sans entraînement supplémentaire.
• Limites et Portée : Les auteurs présentent modestement cela comme une caractérisation diagnostique plutôt que comme un détecteur prêt pour un déploiement final. Ils reconnaissent que la méthode nécessite un accès white-box aux activations intermédiaires et que son efficacité dépend de la distribution des prompts bénins. Si les prompts bénins imitent structurellement les jailbreaks, le signal se dégrade. De plus, la méthode repose sur des projections de logit lens, qui peuvent introduire des distorsions dues à un désalignement de la représentation.

En conclusion, l'étude établit que la surveillance de l'évolution de l'entropie prédictive par token dans les couches intermédiaires fournit un signal robuste et sans entraînement pour identifier les motifs structurels associés aux tentatives de jailbreak, distinct des niveaux d'incertitude statiques utilisés dans la détection traditionnelle basée sur la perplexité.