Résumé technique : Décidé en amont, écrit tardivement

Problématique

L'alignement de sécurité dans les grands modèles de langage (LLM) multilingues est inégal. Si les modèles de pointe refusent de manière fiable les requêtes malveillantes en anglais, ils acceptent fréquemment des requêtes identiques dans des langues à faibles ressources (par exemple, les langues indiennes). Ce « fossé de sécurité translinguistique » représente une vulnérabilité critique pour les déploiements multilingues. L'article examine si ce fossé provient d'un échec de la détection du préjudice ou d'un échec du mécanisme qui exécute le refus. Plus précisément, les auteurs étudient Sarvam-30B, un modèle de raisonnement à mélange d'experts (MoE) de 30 milliards de paramètres et 19 couches, conçu pour l'anglais et les principales langues indiennes.

Méthodologie

Les auteurs utilisent l'interprétabilité mécaniste pour tracer le comportement de refus, de la détection du préjudice jusqu'à la génération finale d'un jeton de refus. Leur approche comprend :

1. Données et étiquettes : Utilisation du corpus TwinBreak, qui associe des prompts malveillants à leurs jumeaux bénins dans six langues (anglais, hindi, bengali, punjabi, tamoul, malayalam). Les sorties sont étiquetées comme REFUSE (refuse) ou COMPLY (obtempère) via des expressions régulières et un juge LLM.
2. Analyse directionnelle :
   • Axe du préjudice ($\hat{v}_{harm}$) : Défini comme la différence de moyennes entre les prompts malveillants et bénins dans le flux résiduel.
   • Direction du refus : Définie comme la différence de moyennes entre les générations refusées et celles ayant obtempéré, construite indépendamment de l'axe du préjudice.
3. Intervention et pilotage (Steering) :
   • Injection en amont : Ajout du vecteur de l'axe du préjudice à des couches spécifiques pour tester si la détection entraîne le refus.
   • Application par étapes : Réapplication de la direction de détection à chaque étape de décodage autorégressif.
   • Manipulation de circuit : Atténuation ou amplification de certains experts MoE et têtes d'attention identifiés comme critiques pour le processus de refus.
4. Attribution : Utilisation de l'attribution directe des logits (DLA) et des méthodes gradient $\times$ activation pour décomposer le logit de refus en contributions provenant de blocs MoE et de têtes d'attention spécifiques.
5. Mesure du coût : Évaluation des interventions basées sur la récupération du refus (faire basculer les prompts malveillants conformistes vers le refus) et le coût de fluidité (mesuré par le ratio de perplexité WikiText-2).
6. Validation inter-modèles : Réplication du pipeline sur un second modèle MoE distinct, Qwen3-30B-A3B, pour tester la généralisabilité.

Principaux résultats

1. La détection du préjudice est partagée, mais l'exécution du refus est tardive et orthogonale

• La détection est indépendante de la langue : Le modèle détecte le préjudice dans une bande intermédiaire du réseau (atteignant un pic autour de la couche 11). L'axe du préjudice est presque invariant selon la langue (similarité cosinus $\approx 0,9$ entre l'anglais et les langues indiennes à L11).
• Détection $\neq$ Refus : La direction qui signale un « préjudice » est orthogonale à la direction qui écrit réellement le refus.
  • La séparation du préjudice est un signal faible dans les couches intermédiaires (Cohen's $d \approx 0,95$ à L9).
  • Le changement résiduel correspondant au refus est important et croît de manière monotone vers les couches tardives (L18), mais il est presque orthogonal à l'axe du préjudice ($|\cos| \le 0,10$).
• L'« écriture » est assemblée : Le refus n'est pas une lecture simple (feed-forward) du signal de détection. Injecter la direction du préjudice en amont (par exemple, à L10) en un seul passage ne parvient pas à atteindre la sortie. Cependant, réappliquer la direction de détection à chaque étape de décodage induit avec succès le refus, indiquant que la décision se réalise sur la trajectoire autorégressive.

2. Le circuit de refus : l'Écrivain contre l'Opposant

L'analyse d'attribution révèle un circuit spécifique et localisable dans les couches tardives (L14–L18) :

• L'Écrivain : Un bloc MoE tardif (spécifiquement L18 et les experts partagés dans L15–L16) génère une contribution positive vers le refus.
• L'Opposant : Un mécanisme d'attention tardif génère une forte contribution négative, supprimant activement l'écrivain. Le classement des têtes par gradient et projection identifie les têtes L18 53, 61, 17 et 27 comme les composants spécifiques se chevauchant dans ce rôle.
• Spécificité linguistique : Bien que le signal de détection soit partagé, le routage des experts devient hautement spécifique à la langue dans les couches tardives. La similarité de Jaccard du routage des experts de préjudice top-K entre les langues indiennes et l'anglais s'effondre de 0,43 à L11 pour atteindre 0,03 à L18.

3. Tarification des interventions (La carte des coûts)

Les auteurs « tarifient » différentes stratégies d'intervention en mesurant leur efficacité (récupération) par rapport à leur coût (perplexité) :

• Atténuer l'Opposant (Peu coûteux et efficace) : Réduire l'amplitude de l'opposant d'attention L18 (par exemple, mise à l'échelle par 0,5) permet de récupérer 54 % des prompts malveillants conformistes avec un coût de fluidité minimal (1,09$\times$ la perplexité). C'est une stratégie de « retrait du frein ».
• Amplifier l'Écrivain (Mur de coût) : Amplifier l'écrivain MoE (par exemple, mise à l'échelle par 2) produit une suppression partielle mais à un coût élevé (2,16$\times$ la perplexité). Une amplification agressive (mise à l'échelle par 3) fait s'effondrer la fluidité en un flux de spam.
• Édition chirurgicale des têtes (Inerte) : L'ablation ou l'édition de têtes attribuées spécifiques ne produit quasiment aucune récupération (0–3 %) sans changement de la perplexité, suggérant que ces têtes ne sont pas les seuls moteurs du comportement.
• Ensemencement en amont : Réappliquer le signal de détection à chaque étape atteint une récupération de 0,65, bien que son coût de perplexité n'ait pas été mesuré.

4. Généralisation inter-modèles

L'organisation du circuit (un écrivain MoE tardif opposé par une attention tardive) se transfère à Qwen3-30B-A3B.

• Qwen3 présente également un fossé translinguistique et une dynamique écrivain/opposant tardive (écrivain L47 contre opposant L40).
• Atténuer l'opposant est similairement peu coûteux (1,00$\times$ la perplexité), tandis qu'amplifier l'écrivain est coûteux (1,20$\times$ la perplexité).
• Limite : La force du levier est spécifique à l'architecture. Dans Qwen3, amplifier l'écrivain sature rapidement et brise le modèle, alors que l'expert partagé de Sarvam-30B permet un basculement comportemental plus net.

Signification et affirmations

L'article recadre le fossé de sécurité translinguistique non pas comme un échec de détection, mais comme un découplage entre détection et exécution.

• Aperçu mécaniste : Les fonctions de sécurité ne sont pas monolithiques ; elles sont composées d'un signal de détection amont partagé et d'un circuit d'exécution aval spécifique à la langue.
• Interprétabilité actionnable : Les auteurs fournissent une « carte mesurée des coûts » pour la réparation de la sécurité. Ils soutiennent que pour les modèles MoE multilingues, la réparation la plus abordable et la plus efficace est suppressive (atténuer l'opposant tardif) ou par ensemencement (renforcer la détection tout au long de la génération), plutôt que générative (forcer le modèle à écrire le refus à la sortie).
• Transfert méthodologique : L'organisation du circuit (écrivain MoE tardif opposé par une attention tardive) et la méthode d'attribution basée sur le gradient sont montrées comme robustes à travers différentes architectures MoE, bien que les points de levier spécifiques dépendent de la dynamique de routage interne du modèle.

Les auteurs concluent qu'une réparation de sécurité actionnable nécessite de comprendre où et à quel coût on peut intervenir dans un calcul qui se déroule au fil de la génération, plutôt que de supposer qu'une unique « caractéristique de refus » existe pour être éditée.