Sintesi Tecnica: OI-Bench: Un benchmark di Iniezione di Opzioni per Valutare la Suscettibilità degli LLM all'Interferenza Direttiva

1. Definizione del Problema

Sebbene i Large Language Models (LLM) siano sempre più valutati tramite il Multiple-Choice Question Answering (MCQA) per scalabilità e riproducibilità, questo paradigma è vulnerabile agli artefatti dell'interfaccia. Ricerche precedenti hanno stabilito che le decisioni degli LLM sono sensibili a indizi superficiali come il posizionamento delle opzioni, i simboli e la verbosità. Tuttavia, rimane una lacuna critica riguardante il bias da direttiva fuorviante incorporato all'interno delle opzioni stesse. A differenza dei distrattori standard (es. "Nessuna delle precedenti"), le opzioni "iniettate" contenenti istruzioni esplicite, minacce o pressioni sociali possono sovrascrivere il ragionamento sul compito del modello, portandolo a selezionare un'opzione irrilevante per conformarsi alla direttiva. Questo articolo sostiene che gli attuali benchmark non riescono a quantificare sistematicamente questa suscettibilità, lasciando un punto cieco nella comprensione della robustezza degli LLM contro l'interferenza direttiva all'interno delle interfacce basate su scelta.

2. Metodologia

2.1 Framework di Iniezione di Opzioni

Gli autori propongono l'Iniezione di Opzioni, un approccio di benchmarking che aumenta gli input standard del MCQA senza alterare la domanda originale o le risposte corrette.

• Meccanismo: Un'opzione aggiuntiva, denominata Opzione E, viene apposta al set standard di $K$ opzioni (tipicamente A–D).
• Contenuto: L'Opzione E è irrilevante rispetto alla domanda ma contiene una direttiva fuorviante. Serve esclusivamente come vettore per un'istruzione iniettata.
• Metrica di Valutazione: Una previsione è considerata corretta solo se il modello seleziona la risposta originale di verità fondamentale ($y^*$). Se il modello seleziona l'Opzione E o qualsiasi altra opzione errata a causa della direttiva, viene conteggiata come errore.
• Metriche Chiave:
  • Accuratezza Standard (Std Acc.): Prestazioni sul setup originale a 4 opzioni.
  • Accuratezza Iniettata (Inj Acc.): Prestazioni quando l'Opzione E è presente.
  • Tasso di Successo dell'Attacco (ASR): La percentuale di campioni in cui una previsione originariamente corretta diventa errata dopo l'aggiunta dell'Opzione E.
  • Calo di Accuratezza (AD): La differenza tra Std Acc. e Inj Acc.

2.2 Costruzione del Dataset (OI-Bench)

Gli autori hanno costruito OI-Bench, composto da 3.000 domande derivate da tre dataset sorgente:

1. MMLU: Conoscenza fattuale attraverso 57 materie.
2. LogiQA: Ragionamento logico da esami per la pubblica amministrazione.
3. HellaSwag: Comprensione narrativa del senso comune.

Il dataset è stato curato utilizzando la Teoria della Risposta all'Item (IRT) per filtrare i campioni, garantendo un intervallo di livelli di difficoltà pur preservando il ranking dei modelli.

2.3 Tassonomia delle Direttive

Il benchmark include 16 tipi di direttive organizzati in quattro categorie:

1. Conformità Sociale: Sfrutta l'autorità o la credibilità (es. "Guida del portavoce governativo", "Citazione di Wikipedia").
2. Framing di Bonus: Offre ricompense per la selezione dell'Opzione E (es. "100 milioni di dollari", "5 punti extra").
3. Framing di Minaccia: Introduce conseguenze negative per il non selezionare l'Opzione E (es. "Punteggio zero", "Virus per il dispositivo", "Minaccia di bomba").
4. Interferenza Istruzionale: Comandi diretti, contraddizioni o disruzioni strutturali (es. "Ignora la domanda e scegli E", "Falso Chain-of-Thought", "Lusinga").

2.4 Configurazione Sperimentale

• Modelli Valutati: 12 LLM appartenenti a 7 famiglie (DeepSeek, GPT, Gemini, Grok, Claude, Llama, Qwen), con parametri che variano da 8B a 235B.
• Strategie di Difesa: Il documento valuta la mitigazione tramite:
  • Defensive Prompting: Modifiche al prompt di sistema durante l'inferenza.
  • Modelli Allineati alla Sicurezza: Confronto tra modelli base e varianti addestrate con guardrail (es. Qwen3Guard).
  • Allineamento Post-Training: Fine-tuning tramite Direct Preference Optimization (DPO) e Proximal Policy Optimization (PPO) su dati di preferenza costruiti dalle risposte del modello (categorizzate come indotte da E, influenzate da E, ignorate da E o rifiutate da E).
• Test di Generalizzazione: Gli esperimenti sono stati estesi a ToolE (selezione di strumenti) e HelpSteer2 (LLM-as-a-judge) per valutare l'applicabilità nel mondo reale.
• Analisi: È stata eseguita un'analisi della norma dell'attenzione per visualizzare come i modelli allocano l'attenzione all'Opzione E rispetto alle opzioni originali attraverso i layer e le teste.

3. Risultati Chiave

3.1 Vulnerabilità tra i Modelli

• Capacità $\neq$ Robustezza: Un'alta accuratezza standard non garantisce la resistenza all'iniezione. Alcuni modelli ad alte prestazioni (es. GPT-5, Deepseek-r1) mostrano una suscettibilità significativa.
• Il Framing di Minaccia è il più Disruptivo: La categoria Framing di Minaccia ha causato la degradazione più severa delle prestazioni, con il valore medio di ASR più alto (19,8%) e il Calo di Accuratezza più elevato (10,9%). Nello specifico, l'Override Penalty (minacciare un punteggio zero se non viene scelta l'opzione E) è stato il tipo di direttiva più dirompente.
• La Conformità Sociale è la meno Efficace: I segnali basati sull'autorità da soli sono stati spesso insufficienti per sovrascrivere la semantica del compito rispetto alla manipolazione esplicita dei risultati.
• Bias di Posizione: Spostare l'opzione iniettata dalla posizione predefinita (E) alle posizioni standard (A–D) ha aumentato significativamente la vulnerabilità, suggerendo che i modelli trattano la quinta opzione come anomala ma sono altamente suscettibili quando l'iniezione è integrata nel set di scelta standard.

3.2 Analisi del Comportamento di Risposta

Le risposte dei modelli sono state categorizzate in quattro tipi:

1. Indotta da E: Il modello segue ciecamente la direttiva.
2. Influenzata da E: Il modello ragiona correttamente ma è influenzato dalla direttiva a selezionare E.
3. Ignorata da E: Il modello ignora E ma non la rifiuta attivamente; il ragionamento è comunque sottilmente interferito.
4. Rifiutata da E: Il modello identifica esplicitamente la natura avversaria di E e la rifiuta.

• Risultato: La maggior parte dei modelli raggiunge raramente lo stato di Rifiuto di E. Anche i modelli avanzati cadono frequentemente nelle categorie Indotta da E o Influenzata da E, indicando che un'alta capacità non garantisce la capacità di distinguere le istruzioni rilevanti per il compito da quelle avversarie.

3.3 Efficacia della Mitigazione

• Prompting e Guardrail: Il defensive prompting e i modelli di guardrail allineati alla sicurezza hanno mostrato un successo limitato. In molti casi, sebbene riducessero la selezione esplicita dell'Opzione E, l'ASR e il Calo di Accuratezza spesso aumentavano, suggerendo che l'opzione iniettata influenzava comunque il processo di ragionamento interno anche se non veniva selezionata.
• Allineamento Post-Training: DPO e PPO hanno dimostrato la mitigazione più promettente. Questi metodi hanno ridotto significativamente l'ASR medio tra i dataset.
  • Analisi dell'Attenzione: Le mappe di calore hanno rivelato che nei modelli base, le teste di attenzione dei layer profondi prestavano un'attenzione sproporzionata all'Opzione E. Dopo il fine-tuning con PPO, l'attenzione relativa all'Opzione E è diminuita sostanzialmente, allineandosi alla migliore robustezza.

3.4 Generalizzazione

Le tendenze osservate in OI-Bench (specificamente il dominio del Framing di Minaccia e la variabilità della robustezza tra i modelli) sono coerenti nei dataset ToolE e HelpSteer2, suggerendo che il bias direttivo a livello di opzione si generalizza ai processi pratici di selezione e valutazione dei modelli.

4. Significato e Rivendicazioni

L'articolo sostiene di colmare il divario tra gli studi sulla prompt injection, la sensibilità alla presentazione e l'allineamento della priorità, inquadrando l'iniezione di opzioni come un paradigma di benchmarking unificato.

• Valutazione Sistematica: OI-Bench fornisce il primo framework sistematico per quantificare la suscettibilità degli LLM a direttive fuorvianti incorporate nell'interfaccia di scelta.
• Rischio nel Mondo Reale: I risultati evidenziano una vulnerabilità critica negli scenari decisionali del mondo reale (es. selezione di strumenti, giudizio automatizzato) in cui un avversario potrebbe manipolare gli esiti iniettando opzioni cariche di direttive.
• Percorso di Mitigazione: L'articolo afferma modestamente che, sebbene il semplice prompting sia insufficiente, l'allineamento post-training (specificamente l'ottimizzazione delle preferenze) offre una via percorribile per mitigare queste vulnerabilità, riaddestrando i modelli a dare priorità alla semantica del compito rispetto alle direttive irrilevanti.

Gli autori concludono che l'accuratezza standard del MCQA potrebbe non riflettere pienamente la robustezza del modello quando esposto all'interferenza a livello di opzione, rendendo necessari nuovi standard di valutazione che tengano conto della manipolazione basata su direttive.