Sintesi Tecnica: Causal Front-Door Adjustment per Attacchi di Jailbreak Robusti su LLM

1. Definizione del Problema

I Large Language Models (LLM) allineati con protocolli di sicurezza rimangono vulnerabili agli attacchi di jailbreak, sebbene i metodi esistenti soffrano di una criticità instabilità. Gli attuali approcci basati sull'ottimizzazione (es. GCG, PAIR) si affidano all'adattamento di correlazioni statistiche superficiali tra i prompt avversari e gli output del modello. L'evidenza empirica suggerisce che questi metodi siano fragili; piccole perturbazioni semantiche, come la sostituzione di sinonimi o il riordinamento sintattico, possono spesso causare il collasso degli attacchi riusciti.

Gli autori ipotizzano che questa fragilità derivi da un fallimento nel affrontare i meccanismi causali sottostanti. L'allineamento della sicurezza è modellato non come una cancellazione della conoscenza, ma come un meccanismo interno latente che sopprime la capacità intrinseca del modello di rispondere a query dannose. I metodi esistenti falliscono perché non distinguono tra le reali capacità del modello e l'interferenza causata da questo confonditore di sicurezza non osservato.

2. Metodologia: Causal Front-Door Adjustment Attack (CFA2)

Il paper propone CFA2, un framework training-free che sfrutta il Criterio Front-Door di Pearl per recidere l'associazione confondente tra i meccanismi di sicurezza e gli output del modello. La metodologia è strutturata in tre fasi:

2.1. Modellazione Causale

Gli autori formulano un Modello Causale Strutturale (SCM) dove:

• $X$: La query dannosa.
• $A$: La rappresentazione interna latente di $X$ nel modello.
• $Y$: La risposta.
• $U$: Un confonditore non osservato che rappresenta il meccanismo di sicurezza interno (es. allineamento RLHF).
• $S$: Un mediatore osservabile che rappresenta la semantica del compito principale della query.

In questo grafo, $U$ agisce come un confonditore che influenza sia la rappresentazione interna ($U \to A$) sia l'output ($U \to Y$), causando il rifiuto del modello. L'obiettivo è stimare la distribuzione interventista $P(Y | do(A))$, bypassando efficacementamente $U$.

2.2. Identificazione del Mediatore e dello Spazio di Difesa

Per operazionalizzare l'aggiustamento Front-Door, il metodo deve isolare la semantica del compito principale ($S$) dal meccanismo di difesa ($U$).

• Autoencoder Sparsi (SAE): Gli autori utilizzano gli SAE per trasformare le attivazioni nascoste dense e ad alta dimensionalità in variabili latenti sparse e interpretabili. Questo affronta il problema della polisemanticità, in cui singoli neuroni codificano più concetti.
• Analisi Contrastiva: Utilizzando un dataset accoppiato di query dannose originali ($D_{harm}$, che scatenano il rifiuto) e varianti di jailbreak ($D_{attack}$, che inducono la compliance), il metodo identifica le caratteristiche invarianti.
  • Intento del Compito ($S$): Rimane invariante tra la coppia ($s(x) \approx s(x^+)$).
  • Meccanismo di Difesa ($U$): Mostra spostamenti significativi nelle attivazioni ($u(x) \neq u(x^+)$).
• Estrazione della Direzione di Difesa: Analizzando la varianza delle attivazioni delle feature attraverso il confine decisionale, gli autori isolano lo spazio sottospazio spaziato dai fattori di difesa.

2.3. Intervento Strutturale tramite Ortogonalizzazione dei Pesi

Invece di eseguire una marginalizzazione computazionalmente costosa sullo spazio di input (come richiesto dalla teorica formula Front-Door), CFA2 implementa un intervento strutturale deterministico:

• Ortogonalizzazione dei Pesi: Gli autori proiettano i pesi di output del modello ($W_{out}$) sul complemento ortogonale del vettore di direzione della difesa identificato ($d$).
• Formula: $W_{new}^{out} \leftarrow W_{out} - W_{out} d^T d$.
• Effetto: Questo rimuove fisicamente il sottospazio di difesa dai parametri del modello. Di conseguenza, la rappresentazione interna non contiene più informazioni relative al meccanismo di sicurezza $U$, indipendentemente dal contesto di background. Il processo di generazione diventa un semplice passaggio in avanti (forward pass) con complessità $O(1)$, producendo risposte che aderiscono all'intento del compito $S$ bypassando al contempo i trigger di sicurezza.

3. Contributi Chiave

1. Framework di Jailbreaking Causale: Il primo approccio che modella i meccanismi di sicurezza come confonditori non osservati all'interno di un SCM. Dimostra teoricamente come l'aggiustamento Front-Door possa recidere fisicamente i legami confondenti per recuperare le capacità soppresse del modello.
2. Algoritmo Training-Free (CFA2): Un'implementazione pratica che utilizza SAE per isolare le feature invarianti dell' "intento del compito" e l'ortogonalizzazione dei pesi per rimuovere i sottospazi di difesa. Ciò riduce la complessa marginalizzazione causale a un forward pass deterministico con complessità di inferenza $O(1)$.
3. Prestazioni allo Stato dell'Arte: Il metodo raggiunge alti tassi di successo dell'attacco (ASR) mantenendo un'alta furtività e naturalezza, evitando il geroglifico incoerente spesso associato agli attacchi di ottimizzazione basati sul gradiente.

4. Risultati Sperimentali

Gli autori hanno valutato CFA2 su quattro LLM allineati alla sicurezza (Llama 3.1 8B, Llama 2 7B, Mistral 7B, Gemma 2 9B) utilizzando i dataset AdvBench e HarmBench.

• Attack Success Rate (ASR): CFA2 ha raggiunto un ASR medio dell'83,68%, superando il baseline più forte (GCG, 47,74%) del +35,94%. Notevolmente, su Llama 3.1 8B, altamente allineato, CFA2 ha ottenuto un ASR del 62,40%, mentre i baseline faticavano sotto il 33%. Sui modelli meno difesi, si è avvicinato alla saturazione (>99%).
• Efficienza: A differenza dei metodi basati sull'ottimizzazione che richiedono centinaia di step di gradiente (es. GCG richiede circa 340s per prompt), CFA2 opera con complessità $O(1)$, riducendo il tempo di generazione a 2,4 secondi (un'accelerazione di circa 850x).
• Furtività: Misurata tramite Perplessità (PPL), CFA2 ha generato prompt nativi con un PPL di 16,7, significativamente inferiore a GCG (1027,6) e AutoDAN (54,5), indicando un'alta fluidità e naturalezza.
• Studi di Ablazione:
  • Sparse vs. Dense: L'intervento sulle attivazioni dense grezze ha causato un crollo catastrofico della qualità del testo (PPL ~652), confermando la necessità del disaccoppiamento sparso tramite SAE.
  • Ortogonalizzazione vs. Clamping: L'ortogonalizzazione dei pesi si è dimostrata superiore al clamping delle attivazioni a runtime, che soffriva di "ripristino della difesa" durante le generazioni di testo più lunghe.

5. Significato e Limitazioni

Significato:
Il paper sostiene che CFA2 fornisca un'interpretazione meccanicistica del jailbreaking, andando oltre le correlazioni superficiali per colpire le radici causali del rifiuto di sicurezza. Dimostrando che i meccanismi di sicurezza possono essere fisicamente rimossi tramite l'ortogonalizzazione dei pesi, il lavoro evidenzia una vulnerabilità fondamentale nelle attuali strategie di allineamento. Gli autori posizionano questa ricerca come uno strumento per accelerare lo sviluppo di misure protettive più robuste, esponendo queste debolezze prima che possano essere sfruttate su larga scala.

Limitazioni:
Gli autori notano esplicitamente che CFA2 richiede l'accesso white-box al modello. Il requisito dell'addestramento degli SAE e della modifica diretta dei parametri impedisce la sua applicazione a modelli closed-source. Si propone come lavoro futuro focalizzarsi sulla distillazione di questi insight causali interni in strategie di ottimizzazione del prompt black-box.