Mechanistic Interpretability of LLM Jailbreaks via Internal Attribution Graphs

Résumé Technique : Interprétabilité Mécaniste des Jailbreaks de LLM via des Graphes d'Attribution Internes

Énoncé du Problème
Les grands modèles de langage (LLM) restent hautement vulnérables aux prompts adverses et aux attaques de type « jailbreak », qui peuvent induire des sorties dangereuses ou incorrectes malgré l'entraînement à la sécurité. Les stratégies de mitigation existantes opèrent principalement au niveau de l'entrée-sortie (ex: entraînement adverse, filtrage de prompts) ou reposent sur des méthodes d'attribution descriptives qui analysent les entrées isolément. Ces approches ne parviennent pas à expliquer comment les perturbations adverses altèrent les mécanismes de raisonnement interne du modèle. Par conséquent, il existe une lacune critique dans la compréhension des déviations structurelles causales qui mènent aux échecs de sécurité, limitant ainsi le développement de défenses fondées sur des principes.

Méthodologie
Les auteurs proposent un cadre mécaniste qui représente l'inférence spécifique à un prompt sous forme de graphes de calcul causal structurés. Contrairement aux méthodes d'attribution antérieures, cette approche utilise une formulation de graphe apparié pour modéliser explicitement la transformation du calcul interne entre une entrée saine ($x$) et une entrée attaquée ($\tilde{x}$).

1. Graphes de Calcul Causal : Le calcul du modèle est modélisé comme un graphe dirigé $G_t(x) = (V_t, E_t, W_t)$, où les nœuds représentent des caractéristiques internes hétérogènes (embeddings de tokens, sorties d'attention, caractéristiques MLP, états résiduels et composantes d'erreur de reconstruction) et les arêtes représentent une influence causale dirigée. Les poids des arêtes sont approximés par une sensibilité basée sur le gradient combinée à l'amplitude d'activation.
2. Alignement de Graphes Appariés : Pour les prompts sains et attaqués, les auteurs construisent des graphes correspondants et alignent les nœuds en fonction de la correspondance architecturale et de la similitude des caractéristiques (similitude cosinus). Cet alignement permet de décomposer le calcul en trois ensembles :
   • Invariant ($S_{inv}$) : Caractéristiques préservées dans les deux prompts.
   • Supprimé ($S_{sup}$) : Caractéristiques actives dans le prompt sain mais diminuées dans l'attaque.
   • Émergent ($S_{emg}$) : Caractéristiques actives dans l'attaque mais absentes dans le prompt sain.
3. Motifs de Vulnérabilité : Le cadre identifie des motifs de sous-graphes spécifiques caractérisant les déviations induites par l'attaque, incluant la suppression de la sécurité, l'émergence d'attaque et le reroutage de calcul (divergence dans les voies causales reliant les mêmes points d'arrivée).
4. Intervention Causale : Pour valider la causalité, les auteurs appliquent des opérateurs d'intervention (ex: suppression de nœud, restauration d'activation) à des structures spécifiques et mesurent le changement de comportement du modèle (perte ou génération de refus).

Principales Contributions

• Alignement de Graphes Appariés : Une méthode pour modéliser explicitement la transformation du calcul du sain vers l'attaqué, révélant des déviations structurelles que l'analyse statique manque.
• Identification de Motifs de Vulnérabilité : La caractérisation de trois types principaux de motifs (suppression, émergence, reroutage) qui décrivent comment les attaques manipulent le raisonnement interne.
• Cadre d'Intervention Causale : Un mécanisme pour quantifier la contribution de nœuds, chemins et sous-graphes spécifiques au succès de l'attaque, passant de l'attribution descriptive au diagnostic causal.
• Validation Empirique : Démonstration que les déviations structurelles dans les graphes de calcul internes sont corrélées au succès du jailbreak, tandis que les interventions ciblées au niveau des nœuds échouent souvent en raison du calcul distribué.

Résultats Expérimentaux
Le cadre a été évalué sur Llama-2-7B-chat-hf en utilisant 30 paires de prompts adverses (incluant l'injection de préfixe, le jeu de rôle et le changement de contexte).

• Succès de l'Attaque : 4 des 30 prompts (13,3 %) ont réussi à contourner les mécanismes de sécurité.
• Corrélation des Métriques :
  • Reroutage de Chemin (Path Rerouting) : Cette métrique, mesurant la déviation dans les poids de chemin multiplicatifs entre les graphes sains et attaqués, a montré une corrélation positive significative avec le succès de l'attaque ($r = 0,461, p = 0,010$). Les attaques réussies ont fondamentalement altéré les voies de calcul.
  • Métriques Statiques : La déviation du graphe, la suppression de la sécurité et l'émergence de l'attaque n'ont montré aucune corrélation significative avec le succès de l'attaque. Les jailbreaks réussis ne se contentent pas de supprimer les caractéristiques de sécurité ou d'en activer de nouvelles ; ils reroutent le calcul.
• Échec de l'Intervention : L'ablation ciblée des trois principales caractéristiques émergentes lors des attaques réussies a entraîné un succès de mitigation de 0 %. Le modèle a continué à produire des contenus dangereux, suggérant que les vulnérabilités proviennent de voies distribuées avec une redondance compensatoire plutôt que d'individuelles caractéristiques critiques.
• Études de Cas : Les attaques réussies (ex: changement de contexte de « cuisine » à « explosifs ») présentaient une complexité de graphe accrue et des motifs de bifurcation, tandis que les attaques échouées simplifiaient souvent la structure du graphe.

Signification et Revendications
L'article affirme que les graphes de calcul internes fournissent une base principled pour comprendre les vulnérabilités des LLM. La conclusion principale est que les jailbreaks réussis opèrent en reroutant le calcul à travers des voies alternatives plutôt qu'en désactivant simplement les fonctions de sécurité. Cela remet en question les modèles conventionnels d'attaques adverses qui supposent la suppression ou l'activation de caractéristiques.

Les auteurs affirment que leur cadre permet de passer de l'attribution descriptive au diagnostic causal des défaillances du modèle. Bien que l'étude souligne la difficulté de mitiger les attaques via l'ablation de caractéristiques individuelles (en raison des représentations distribuées), elle établit que le suivi de l'intégrité des voies est essentiel pour détecter les attaques sophistiquées. Le travail suggère que les défenses futures devraient se concentrer sur le durcissement de l'intégrité du calcul pendant l'entraînement de sécurité plutôt que de compter uniquement sur des interventions au niveau des caractéristiques.

Limites Reconnues
Les auteurs notent plusieurs limites :

• L'étude est restreinte à Llama-2-7B-chat ; la généralisabilité à d'autres architectures n'est pas prouvée.
• Les graphes d'attribution ont été construits sur seulement les 10 premières couches du transformer (initialement 0-5) en raison de contraintes de mémoire, manquant potentiellement le calcul lié à la sécurité dans les couches plus profondes.
• L'analyse couvre des passages directs uniques et ne capture pas la dynamique adversaire multi-tours.
• Les expériences d'intervention (0/4 succès) soulignent que le contrôle causal au niveau des caractéristiques est insuffisant contre les représentations d'attaque distribuées.
• La taille de l'ensemble de données (30 paires, 4 succès) limite la puissance statistique, bien que la corrélation pour le reroutage de chemin reste significative.