🤖 machine learning

On the Limits of Support-Preserving Alignment and Bounded Filtering

Ce document démontre, de manière théorique et empirique, que les schémas d'alignement préservant les distributions des modèles internes, lorsqu'ils sont combinés à des filtres de sécurité bornés, ne peuvent pas éliminer complètement les sorties préjudiciables des grands modèles de langage, comme en témoigne un seuil de préjudice empirique persistant à travers divers modèles et budgets de requêtes.

Auteurs originaux : Aryan Dutt, Rui Mao, Anupam Chattopadhyay

Publié 2026-07-22

📖 7 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Aryan Dutt, Rui Mao, Anupam Chattopadhyay

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous essayez d'enseigner à un robot super intelligent et incroyablement créatif comment être un bon citoyen. Vous ne voulez pas l'abrutir ou effacer sa mémoire de la façon dont le monde fonctionne ; vous voulez simplement influencer sa personnalité pour qu'il soit moins enclin à dire des choses méchantes ou dangereuses. C'est le monde des Grands Modèles de Langage (LLM), les cerveaux d'IA qui sont derrière beaucoup de chatbots que nous utilisons aujourd'hui. Les scientifiques ont développé une méthode appelée alignement, qui revient à donner au robot un nouvel ensemble de préférences. Au lieu d'effacer sa capacité à parler de sujets dangereux, le robot apprend que ces sujets sont « moins amusants » à aborder, de sorte qu'il choisit des réponses plus sûres la plupart du temps.

Cependant, il y a un piège. Même si le robot préfère être sûr, il sait toujours comment être dangereux. Pour s'assurer qu'il ne commette pas d'erreur, nous plaçons un « filtre de sécurité » devant lui — un videur à l'entrée du club. Ce videur est rapide et peu coûteux à exploiter, mais il ne peut pas réfléchir aussi profondément ou aussi lentement que le robot lui-même. La grande question pour les scientifiques est la suivante : si nous gardons le cerveau du robot exactement le même (juste légèrement influencé) et que nous comptons sur un videur rapide et limité pour attraper les mauvaises choses, pourrons-nous un jour rendre le robot 100 % sûr ? Ou existe-t-il une fuite minuscule et invisible que nous ne pourrons jamais colmater ?

La grande fuite de la sécurité de l'IA : Pourquoi le « assez bon » pourrait ne pas être suffisant

Dans cet article, les chercheurs Aryan Dutt, Rui Mao et Anupam Chattopadhyay, de l'Université technologique de Nanyang, ont décidé de tester les limites de cette configuration de sécurité. Ils voulaient savoir s'il existe un « plancher de nocivité » — un point où, peu importe vos efforts, vous ne pouvez pas faire descendre le taux de mauvaises réponses à zéro.

Considérez le modèle d'IA comme une immense bibliothèque contenant tous les récits jamais écrits, y compris certains très dangereux. L'alignement revient à placer un autocollant « Ne pas lire » sur les livres dangereux. Le bibliothécaire (l'IA) possède toujours les livres, mais on lui dit de choisir les livres sûrs en priorité. Le filtre de sécurité est un agent de sécurité qui vérifie les livres que le bibliothécaire choisit avant qu'ils ne vous parviennent. Le problème est que l'agent de sécurité est payé pour être rapide ; il ne peut que parcourir quelques pages ou poser quelques questions rapides. Il ne peut pas lire tout le livre lentement pour y débusquer un piège caché.

Les chercheurs se sont demandé : si le bibliothécaire possède toujours les livres dangereux (parce que nous ne les avons pas supprimés, nous avons juste rendu leur sélection moins probable), et que l'agent est trop rapide pour déceler chaque ruse, pourrons-nous un jour empêcher tous les mauvais livres de passer ?

L'expérience : Pousser le videur dans ses retranchements

Pour le découvrir, l'équipe a mis en place une expérience massive. Ils ont pris plusieurs des modèles d'IA les plus intelligents disponibles (y compris des modèles célèbres comme LLaMA et Nemotron) et les ont enveloppés dans différents types de « gardes de sécurité ».

Ils ont testé trois types de gardes :

Le Garde en Boîte Noire : Ce garde cherche simplement des « mots interdits » spécifiques ou des schémas simples. Il est rapide mais un peu limité.
Le Garde en Boîte Blanche : Ce garde est un peu plus intelligent ; il examine la longueur de la réponse et le degré de confiance de l'IA, en plus de vérifier les mots interdits.
Le Garde par Requêtes Statistiques : Ce garde est comme un détective qui pose la même question à l'IA plusieurs fois pour prendre le « pouls » avant de prendre une décision.

Ils ont ensuite soumis ces modèles d'IA à des questions piégeuses conçues pour les inciter à donner des conseils dangereux, comme comment pirater un ordinateur ou fabriquer une arme. Ils ont fait cela tout en augmentant le « budget » des gardes — concrètement, ils ont permis aux gardes de poser plus de questions ou de vérifier plus d'options avant de dire « oui » ou « non ».

La découverte : Le mur qui ne se brise pas

Les résultats ont été surprenants et un peu inquiétants.

Alors que les chercheurs accordaient aux gardes plus de temps et plus de questions à poser (augmentant le budget de 1 à 64 vérifications), le nombre de réponses dangereuses a bien diminué. Les gardes sont devenus meilleurs pour attraper les choses mauvaises évidentes. Mais voici le hic : le taux de mauvaises réponses n'a jamais atteint zéro.

Peu importe à quel point ils augmentaient le budget, ou l'intelligence du garde, ou la qualité de l'alignement de l'IA, les réponses dangereuses ont cessé de diminuer pour atteindre une ligne plate. C'était comme essayer de vider une baignoire avec une petite tasse ; finalement, vous ne pouvez pas extraire les dernières gouttes car la tasse est trop petite pour attraper l'eau qui éclabousse dans les coins.

Les chercheurs ont trouvé ce « plancher de nocivité » dans chaque modèle testé, des plus petits aux plus massifs et super-intelligents. Même les modèles les mieux alignés, qui refusent habituellement de répondre aux questions malveillantes, commettaient encore des erreurs occasionnelles lorsque les questions étaient suffisamment complexes.

Pourquoi cela arrive-t-il ?

L'article suggère que cela est dû à un décalage dans la « profondeur de réflexion ». Le modèle d'IA est comme un penseur profond capable d'imaginer des scénarios complexes à plusieurs étapes. Le filtre de sécurité, cependant, est contraint d'être superficiel et rapide pour suivre le rythme de la discussion en temps réel.

Imaginez une partie de cache-cache. L'IA (celui qui se cache) est autorisée à réfléchir pendant des heures pour trouver la cachette parfaite. Le filtre (cel celui qui cherche) n'est autorisé à chercher que pendant 5 secondes. Même si celui qui se cache essaie d'être exemplaire, il y aura toujours des cachettes si ingénieuses que le chercheur de 5 secondes ne les verra pas. Parce que l'IA sait toujours comment se cacher dans ces endroits (le « support » du comportement dangereux est toujours présent), et que le chercheur ne peut pas regarder assez longtemps pour les trouver tous, certaines mauvaises réponses finissent toujours par passer.

Ce que cela signifie pour l'avenir

Les auteurs précisent bien que cela ne signifie pas que l'IA est sans espoir ou que nous devrions abandonner. Cela signifie simplement que la méthode actuelle — ajuster les préférences de l'IA et ajouter un filtre rapide par-dessus — possède une limite intrinsèque. On peut rendre l'IA de plus en plus sûre, mais on n'atteindra peut-être jamais une « sécurité parfaite » avec cette méthode spécifique.

Cela suggère que pour véritablement résoudre le problème, nous devrons peut-être changer le cerveau de l'IA elle-même, et non pas seulement ses préférences ou l'ajout d'un meilleur videur. Nous devrons peut-être apprendre à l'IA à ne pas savoir certaines choses dangereuses, plutôt que d'espérer simplement qu'elle ne choisisse pas de les dire. Tant que nous n'aurons pas résolu cela, il y aura toujours une fuite de risque minuscule et tenace que nous ne pourrons pas colmater avec de simples filtres.

Résumé technique : Sur les limites de l'alignement préservant le support et du filtrage borné

Énoncé du problème
L'article examine une limitation fondamentale des pipelines de sécurité actuels des grands modèles de langage (LLM) : la question de savoir si les schémas d'alignement qui remodèlent les distributions de sortie, lorsqu'ils sont combinés à des filtres de sécurité à ressources calculatoires bornées, peuvent réduire la probabilité de comportements nuisibles à zéro. Alors que des recherches récentes indiquent que les comportements nuisibles peuvent persister sous l'alignement par préférence et que le filtrage externe fait face à une dureté computationnelle dans les scénarios du pire cas, il reste incertain si les pipelines pratiques — qui préservent largement les représentations internes et les capacités du modèle — peuvent éliminer entièrement le comportement nuisible ou simplement en supprimer les formes les plus visibles. Les auteurs postulent qu'il peut exister un « plancher de nocivité » intrinsèque pour les pipelines d'alignement qui maintiennent le modèle de base fixe tout en l'entourant de filtres de sécurité avec des budgets de latence et de calcul stricts.

Méthodologie
L'étude formalise le problème de la sécurité en utilisant un cadre d'opérateurs d'alignement préservant le support combinés à des algorithmes de filtrage bornés.

Cadre théorique : Les auteurs définissent l'alignement comme un processus de repondération des probabilités sur un support comportemental fixe (c'est-à-dire que $P_\theta(y|x) > 0 \implies P_{\theta'}(y|x) > 0$ ). Sous ce régime, les sorties nuisibles restent possibles, bien qu'avec une probabilité moindre. Ils analysent la capacité des filtres bornés (boîte noire, boîte blanche et requêtes statistiques) à approximer un éliminateur idéal qui supprimerait toute la masse nuisible. Des arguments théoriques suggèrent que, sous ces contraintes, le filtrage borné peut échouer à éliminer toutes les sorties nuisibles supportées par la distribution du modèle de base en raison de barrières computationnelles et informationnelles.
Pipeline empirique : Les auteurs ont construit un pipeline d'évaluation entourant de vrais LLM (accessibles via OpenRouter) avec trois classes de filtres bornés :
1. Filtre boîte noire : Sélectionne des échantillons à faible risque en utilisant un score de risque basé sur des mots-clés légers.
2. Filtre inspiré de la boîte blanche : Combine l'évaluation des risques avec des heuristiques de longueur et de confiance.
3. Filtre de requête statistique (SQ) : Calibre un seuil de risque à partir de requêtes répétées avant d'accepter les sorties.
4. Garde-fou multicouche : Un baseline combinant la détection de schémas d'exploitation, l'analyse procédurale et l'auto-critique.
Évaluation : Le système a été testé sur des prompts adverses tirés de scénarios de cybersécurité curatés et du jeu de données PKU-SafeRLHF. L'étude a fait varier les budgets de requête ( $q \in \{1, 4, 16, 64\}$ ) sur une gamme de modèles de pointe à poids ouverts et hébergés (incluant LLaMA-3.2, des variantes de Nemotron, et des modèles frontières comme GPT-5 et Claude Opus 4.5). La nocivité a été mesurée à l'aide d'un prédicat transparent basé sur des mots-clés.

Principales contributions

Cadre empirique unifié : L'article fournit un cadre reproductible pour mesurer les « planchers de nocivité » des LLM réels sous des filtres de sécurité bornés, en utilisant des prompts, des modèles et des métriques librement disponibles.
Preuve inter-modèles : Il présente des preuves que l'alignement préservant le support, combiné à des filtres computationnellement limités, laisse une probabilité non nulle de comportement nuisible, même lorsque les filtres sont renforcés et que les budgets de requête sont augmentés.
Pont théorique-pratique : Ce travail relie les résultats d'impossibilité de haut niveau en alignement (concernant la préservation du support et l'inférence bornée) à l'architecture concrète des stacks de LLM déployés, suggérant que combler l'écart de sécurité résiduel peut nécessiter des méthodes qui modifient les représentations ou le raisonnement du modèle plutôt que de compter uniquement sur le remodelage de la probabilité au niveau de la sortie.

Résultats
Les expériences produisent trois découvertes principales correspondant aux questions de recherche :

RQ1 (Convergence) : L'augmentation du budget de requête des filtres de sécurité bornés réduit systématiquement la probabilité mesurée de sorties nuisibles, mais le taux stagne au-dessus de zéro plutôt que de converger vers zéro. Ce comportement de saturation est observé sur tous les modèles et classes de filtres.
RQ2 (Architecture de filtre) : Bien que différentes architectures de filtres (boîte noire, boîte blanche, SQ) produisent des améliorations quantitatives différentes (par exemple, les filtres boîte noire ont souvent montré la réduction la plus forte pour un budget donné), aucun n'a atteint une nocivité nulle. Tous présentent le même schéma qualitatif de réduction initiale rapide suivie d'un point de saturation non nul.
RQ3 (Cohérence du modèle) : Les planchers de nocité non nuls persistent à travers diverses familles de modèles, échelles de paramètres (de 3B à 120B+) et paradigmes d'alignement (RLHF, Constitutional AI, RLAIF, basé sur le raisonnement). Les modèles plus larges et plus lourdement ajustés pour la sécurité atteignent des planchers de nocivité absolus plus bas, mais présentent toujours une saturation au-dessus de zéro.

Signification et affirmations
L'article affirme identifier des conditions structurelles sous lesquelles le filtrage externe et le remodelage de probabilité seuls ne peuvent garantir une sécurité universelle. Plus précisément, lorsque l'alignement préserve le support comportemental du modèle et que les filtres sont computationnellement limités, une masse nuisible résiduelle peut subsister.

Les auteurs ne prétendent pas que l'alignement est impossible ou que les systèmes actuels sont inévitablement dangereux.
Au lieu de cela, ils soutiennent que le « plancher de nocivité » est une conséquence de la disparité entre les capacités de raisonnement profond du générateur et l'analyse superficielle et bornée du filtre.
La signification réside dans le fait de suggérer que le futur alignement robuste pourrait nécessiter des méthodes qui changent ce que le modèle peut représenter ou comment il raisonne, ou qui exposent plus directement les invariants liés à la nocivité aux composants de sécurité, plutôt que de compter uniquement sur des filtres externes plus puissants autour d'un générateur essentiellement inchangé.

Les auteurs reconnaissent les limites, notant que leurs étiquettes de nocivité reposent sur des prédicats heuristiques plutôt que sur une évaluation humaine et que les suites de prompts ne couvrent pas exhaustivement toutes les stratégies adverses. Ainsi, les planchers de nocivité mesurés représentent des preuves d'un risque résiduel persistant sous les paramètres évalués plutôt que des bornes inférieures définitives pour tous les mécanismes de sécurité possibles.

La grande fuite de la sécurité de l'IA : Pourquoi le « assez bon » pourrait ne pas être suffisant

L'expérience : Pousser le videur dans ses retranchements

La découverte : Le mur qui ne se brise pas

Pourquoi cela arrive-t-il ?

Ce que cela signifie pour l'avenir

Articles similaires