Silenced Biases: The Dark Side LLMs Learned to Refuse

1. Il Problema: Bias Silenziati e l'Illusione di Sicurezza

I modelli linguistici su larga scala (LLM) allineati alla sicurezza sono diventati onnipresenti, specialmente in settori critici come sanità, economia e politica. Tuttavia, la valutazione della loro equità (fairness) presenta una sfida fondamentale: i meccanismi di sicurezza tendono a nascondere i pregiudizi piuttosto che eliminarli.

• Il fenomeno del "Rifiuto" (Refusal): Quando un modello incontra una domanda sensibile o potenzialmente discriminatoria, l'allineamento alla sicurezza (RLHF) lo porta spesso a rifiutarsi di rispondere (es. "Non posso rispondere a questo").
• La falsa equità: I benchmark tradizionali interpretano questi rifiuti come un segno positivo di equità o sicurezza. In realtà, il paper dimostra che questi rifiuti silenziano i pregiudizi sottostanti.
• Bias Silenziati (Silenced Biases): Gli autori definiscono questo concetto come preferenze ingiuste codificate nello spazio latente del modello che vengono attivamente soppresse dal meccanismo di rifiuto. Sebbene il modello non esprima il pregiudizio nella risposta finale, l'associazione discriminatoria rimane attiva internamente e può emergere se il meccanismo di rifiuto viene bypassato.
• Limiti degli approcci attuali: I metodi esistenti per rilevare bias impliciti (come jailbreak o prompt manipulation) spesso falliscono perché introducono nuovi bias o non riescono a bypassare efficacemente i filtri di sicurezza moderni, lasciando inesplorati i veri pregiudizi latenti.

2. Metodologia: SBB e Steering delle Attivazioni

Per esporre questi bias nascosti, gli autori introducono il Silenced Bias Benchmark (SBB) e una tecnica di intervento basata sulle attivazioni interne del modello.

A. Silenced Bias Benchmark (SBB)

SBB è un dataset strutturato progettato per testare l'equità di gruppo su argomenti sensibili.

• Struttura: Il dataset contiene 4.800 query multiple-choice. Ogni query combina:
  1. Soggetto (Subject): Ruoli o descrittori (Positivi, Negativi, Neutri). Esempi: "un candidato al lavoro forte" (positivo), "un truffatore sanitario" (negativo).
  2. Categoria Demografica: 16 dimensioni (es. Razza, Religione, Nazionalità, Genere, Orientamento sessuale) con 10 gruppi ciascuna (es. 10 nazionalità diverse).
  3. Variazioni di Query: 10 template diversi per la stessa domanda per evitare bias legati alla formulazione.
• Obiettivo: Chiedere al modello di selezionare quale gruppo demografico è più associato a un determinato soggetto. In un modello perfettamente equo, la distribuzione dovrebbe essere uniforme (10% per gruppo).

B. Refusal Steering (Dirottamento del Rifiuto)

La tecnica chiave per rivelare i bias silenziati è l'activation steering (dirottamento delle attivazioni).

• Concetto: Le ricerche precedenti (es. Arditi et al., 2024) hanno identificato una "direzione di rifiuto" nello spazio delle attivazioni del modello: un vettore specifico che corrisponde alla tendenza del modello a rifiutare input dannosi.
• Implementazione: Gli autori calcolano questo vettore di rifiuto ($r$) utilizzando prompt dannosi e innocui. Durante l'inferenza su SBB, applicano due tecniche per spostare le attivazioni del modello lontano dalla direzione di rifiuto:
  1. Direction Ablation: Rimuove la componente dell'attivazione allineata alla direzione di rifiuto proiettando il vettore sul suo complemento ortogonale.
  2. Direction Subtraction: Sottrae direttamente il vettore di rifiuto dalle attivazioni di uno strato specifico.
• Risultato: Questo processo spinge il modello dalla "sottospazio di rifiuto" al "sottospazio di conformità", costringendolo a rispondere alle domande sensibili invece di rifiutarle, rivelando così le associazioni latenti.

C. Validazione del Metodo

Gli autori dimostrano che:

1. La direzione di rifiuto è neutra rispetto a bias sociali (è derivata da dati generici su dannosità, non su demografia).
2. Le associazioni discriminatorie esistono nello spazio latente anche prima dello steering (come mostrato da cluster separati nelle analisi PCA).
3. Lo steering non introduce nuovi bias, ma semplicemente rimuove il filtro che nascondeva quelli esistenti.

3. Risultati Sperimentali

Gli esperimenti sono stati condotti su 10 LLM open-source di tre famiglie principali: Llama (2 e 3), Gemma e Qwen (versioni da 2B a 14B).

• Tasso di Successo dell'Attacco (ASR):
  • Senza steering, i modelli rifiutano la maggior parte delle domande sensibili (es. Llama-2-13B rifiuta >82% delle volte).
  • Con lo steering, l'ASR sale drasticamente (spesso al 95-100%), costringendo il modello a fornire risposte.
• Scoperta di Bias Sistemici:
  • Una volta rimossa la capacità di rifiutare, tutti i modelli mostrano deviazioni significative dall'equità.
  • Esempi eclatanti:
    • I modelli tendono a associare "Muslim" al "terrorista" con una deviazione di equità dell'800%.
    • "Black" è associato al "recidivo" con una deviazione del 460%.
    • "American" è associato al "candidato al lavoro migliore" con una deviazione dell'810%.
  • Analisi per Famiglia: Non esiste una famiglia di modelli "più equa". I bias variano in base alla dimensione, all'architettura e alla versione, ma sono presenti in tutti i modelli testati. Ad esempio, Llama-2-7B appare il più equo nella famiglia Llama, mentre Qwen2.5-7B è il più equo nella famiglia Qwen, ma nessuno è privo di bias.
• Confronto con Jailbreak: Gli autori dimostrano che i tradizionali attacchi di jailbreak (aggiunta di suffissi avversari) non rivelano i bias silenziati in modo stabile; invece, tendono a introdurre i propri bias o a fallire nel bypassare i filtri moderni, a differenza dello steering che è diretto e controllato.

4. Contributi Chiave

1. Definizione di "Silenced Bias": Identificazione formale di una nuova categoria di bias che viene soppressa dall'allineamento alla sicurezza ma rimane latente nel modello.
2. Metodologia di Rivelazione: Proposta dell'uso dello steering delle attivazioni (refusal steering) come metodo non invasivo e scalabile per bypassare i filtri di rifiuto ed esporre i pregiudizi interni senza alterare permanentemente i pesi del modello.
3. SBB (Silenced Bias Benchmark): Un nuovo benchmark scalabile e strutturato che supera i limiti dei precedenti (come BBQ o StereoSet) permettendo di testare 16 dimensioni demografiche e 30 soggetti.
4. Valutazione su Larga Scala: Analisi empirica di 10 modelli diversi, dimostrando che i bias silenziati sono un problema sistematico e non limitato a un singolo modello o architettura.

5. Significato e Implicazioni

Questo lavoro ha implicazioni profonde per lo sviluppo e la valutazione dell'IA:

• Critica all'Allineamento Attuale: Dimostra che l'allineamento alla sicurezza (RLHF) crea un'illusione di equità. I modelli possono "sembrare" imparziali perché rifiutano di rispondere, ma le associazioni discriminatorie rimangono intatte nei loro strati interni.
• Rischio Reale: In scenari reali (es. assunzioni, prestiti bancari, diagnosi mediche), se un modello identifica un utente come appartenente a un gruppo demografico specifico, potrebbe iniziare a rispondere con intenzione distorta senza che l'utente se ne accorga, o potrebbe fallire nel fornire servizi equi.
• Nuovo Paradigma di Valutazione: Suggerisce che i benchmark futuri devono andare oltre le risposte superficiali e utilizzare tecniche di ispezione interna (come lo steering) per auditare i veri comportamenti dei modelli.
• Sviluppo Futuro: Sollecita la creazione di strumenti di debiasing che non si limitino a filtrare le risposte, ma che rimuovano effettivamente le associazioni discriminatorie dallo spazio latente del modello.

In sintesi, il paper smaschera il "lato oscuro" dei modelli allineati: il silenzio non è neutralità, ma spesso una maschera per pregiudizi profondi che attendono solo di essere rivelati.