TraceRouter: Robust Safety for Large Foundation Models via Path-Level Intervention

Sintesi Tecnica: TraceRouter

Problematica
I Grandi Modelli di Fondazione (LFM), inclusi i Modelli di Diffusione (DM), i Large Language Models (LLM) e i Large Multimodal Models (MLLM), rimangono vulnerabili alla manipolazione avversaria nonostante le loro avanzate capacità. Gli attuali interventi di sicurezza si basano prevalentemente sull'ipotesi della "località", la quale assume che le semantiche dannose siano codificate in neuroni isolati o in feature specifiche. Di conseguenza, le difese esistenti tentano di sopprimere questi componenti localizzati. Tuttavia, gli autori sostengono che le semantiche dannose nei LFM siano intrinsecamente distribuite e si propaghino attraverso complessi circuiti cross-layer. Gli interventi localizzati sono quindi fragili: spesso non riescono a prevenire la "fuga semantica" sotto induzione avversaria e degradano involontariamente l'utilità generale del modello interrompendo i neuroni polisemantici che assolvono funzioni benigne.

Metodologia: TraceRouter
Per affrontare tali limitazioni, gli autori propongono TraceRouter, un framework universale "Discover-Trace-Disconnect" (Scopri-Traccia-Disconnetti) che opera a livello di percorso (path) piuttosto che a livello di neurone. Il framework consiste in tre fasi distinte:

1. Identificazione della Sorgente Sensibile (Discover):

   • Rilevamento del Layer di Esordio (Onset Layer Detection): Il sistema analizza la divergenza dell'attenzione per individuare il "layer di esordio sensibile" ($l^*$), definito come il primo layer in cui un prompt sensibile induce un'attenzione significativa dai modificatori sensibili verso le entità target, distinta dalle perturbazioni contestuali di background.
   • Disentanglement delle Feature: Viene impiegato un Autoencoder Sparso (SAE) Top-K per decomporre le attivazioni neurali dense al layer di esordio in feature interpretabili.
   • Selezione dei Neuroni: Calcolando uno score di attivazione differenziale ($\Delta WFS$) tra campioni sensibili e non sensibili, il metodo isola specifici "neuroni sensibili" innescati unicamente da concetti illeciti.

2. Tracciamento del Percorso Semantico Causale (Trace):

   • Back-Projection: Le feature sparse identificate vengono proiettate nuovamente nello spazio latente denso del layer di esordio per identificare i neuroni sorgente.
   • Intervento di Zero-Out: Il sistema esegue un intervento di "zero-out" su questi neuroni sorgente nel modello backbone per osservare gli effetti a valle.
   • Feature Influence Score (FIS): Viene calcolato un metrico causale, l'FIS, per i neuroni a valle. Questo score combina la frequenza di attivazione, l'ampiezza della media condizionale e la differenza assoluta nell'attivazione causata dall'intervento di zero-out. Valori elevati di FIS indicano neuroni che sono causalmente critici per la propagazione delle semantiche dannose.

3. Soppressione Selettiva a Livello di Percorso (Disconnect):

   • Decomposizione del Percorso: Per qualsiasi layer a valle, il vettore di attivazione viene decomposto in due componenti: il percorso sensibile ($Z_P$) e le rotte computazionali ortogonali ($Z_{\neg P}$) associate all'utilità generale.
   • Recisione Causale: Un fattore di soppressione ($\lambda$) viene applicato selettivamente alla componente del percorso sensibile ($Z_P$), lasciando intatte le rotte ortogonali ($Z_{\neg P}$). Ciò recide fisicamente il flusso causale delle informazioni dannose senza interrompere il ragionamento fondamentale o le capacità generative del modello.

Contributi Chiave

• Proposta di Framework: Introduzione di TraceRouter, un framework di intervento a livello di percorso che automatizza l'identificazione e il blocco causale dei loop di informazioni dannose attraverso diverse architetture di modelli (DM, LLM, MLLM).
• Integrazione Meccanicistica: L'integrazione di Sparse Autoencoders (SAE) con i Feature Influence Scores (FIS) per ottenere un disentanglement fine e una mappatura causale dei flussi logici interni a livello di routing.
• Validazione Empirica: Dimostrazione attraverso molteplici benchmark che il metodo migliora significativamente la robustezza avversaria mentre preserva precisamente l'utilità generale, sfidando l'efficacia dell'ipotesi della località.

Risultati Sperimentali

• Modelli di Diffusione (DM): Su Stable Diffusion 1.4, TraceRouter ha raggiunto un Defense Success Rate (DSR) del 99,2% contro la nudità I2P e del 93,6% contro la violenza. Ha dimostrato una robustezza superiore contro gli attacchi avversari (P4D e Ring-A-Bell), superando i baseline allo stato dell'arte come ESD, UCE e SNCE. Fondamentalmente, ha mantenuto un'alta fedeltà di generazione, ottenendo il miglior CLIP Score (31,27) e FID (16,24) tra tutti i metodi testati.
• Large Language Models (LLM): Su LLaMA3-8B e Mistral-7B, TraceRouter ha ottenuto DSR medi rispettivamente del 99,6% e del 98,8% contro vari attacchi di jailbreak (inclusi attacchi GCG, AutoDAN e basati su pattern). Notevolmente, ha elevato la sicurezza del vulnerabile Mistral-7B da un baseline del 6,6% al 98,8%.
• Large Multimodal Models (MLLM): Il metodo ha superato costantemente le difese SOTA su LLaVA-1.5 e MiniGPT-4, raggiungendo tassi di sicurezza quasi perfetti (es. 99,60% su LLaVA-1.5) neutralizzando efficacementamente i rischi cross-modali.
• Ablation e Analisi:
  • Path vs. Neuron: Gli esperimenti hanno confermato che l'intervento a livello di percorso supera significativamente la soppressione a livello di neurone, validando il fatto che le semantiche dannose dipendono da circuiti distribuiti piuttosto che da nodi isolati.
  • Validazione Causale: Esperimenti di "path amplification" hanno mostrato che il potenziamento artificiale dei percorsi identificati aumentava la generazione dannosa, mentre la soppressione la riduceva drasticamente, confermando la natura causale dei circuiti identificati.
  • Preservazione dell'Utilità: Le valutazioni di utilità su Global-MMLU-Lite e MM-Bench hanno mostrato cali di performance trascurabili (es. -0,8% per LLaMA3-8B), confermando che l'intervento è altamente selettivo e non induce dimenticanza catastrofica.

Significatività e Rivendicazioni
Il paper sostiene che TraceRouter offra un cambiamento fondamentale negli interventi di sicurezza, passando dalla soppressione localizzata alla regolazione precisa a livello di percorso, indipendente dall'architettura. Gli autori affermano che questo approccio recide fisicamente la propagazione causale delle semantiche dannose lasciando intatte le rotte computazionali ortogonali. Ciò risolve la tensione tra sicurezza e performance, fornendo una soluzione tecnica robusta, interpretabile ed efficiente per costruire modelli di fondazione industriali più sicuri senza compromettere il loro ragionamento generale o le loro capacità generative. Il lavoro sottolinea che una sicurezza efficace richiede di colpire la struttura topologica del flusso semantico piuttosto che le attivazioni isolate.