GUARD-SLM: Token Activation-Based Defense Against Jailbreak Attacks for Small Language Models

1. Il Problema

I Small Language Models (SLM), con parametri che vanno da 100 milioni a 8 miliardi, stanno emergendo come alternative efficienti ed economiche ai Large Language Models (LLM) per la distribuzione su dispositivi periferici (edge devices) a risorse limitate. Tuttavia, la sicurezza di questi modelli è una preoccupazione critica.

Il paper evidenzia che:

• Gli SLM sono più vulnerabili agli attacchi di "jailbreak" rispetto agli LLM più grandi.
• Le difese esistenti (basate su input, output o riaddestramento) presentano limiti: quelle basate sull'input possono essere aggirate tramite offuscamento, quelle basate sull'output introducono latenza, e il riaddestramento è costoso e può degradare le capacità generali del modello.
• C'è una comprensione incompleta di come le rappresentazioni interne dei modelli (attivazioni degli strati nascosti) varino tra prompt benigni e prompt maliziosi ottimizzati, rendendo difficile progettare difese robuste senza modificare i parametri del modello.

2. Metodologia: GUARD-SLM

Gli autori propongono GUARD-SLM, un metodo di difesa leggero che opera nello spazio di rappresentazione (attivazioni interne) durante l'inferenza, senza richiedere riaddestramento o modifiche ai parametri del modello.

La metodologia si articola in due fasi principali:

A. Analisi delle Attivazioni Strato per Strato

Gli autori hanno condotto uno studio empirico su 9 diverse tecniche di jailbreak (tra cui AutoDAN, TAP, GCG, DeepInception) applicate a 7 SLM e 3 LLM.

• Osservazione Chiave: Analizzando le attivazioni dell'ultimo token ($h_{last}$) attraverso i vari strati del transformer, hanno scoperto che i prompt di jailbreak (specialmente quelli ottimizzati) formano pattern distinguibili nello spazio delle rappresentazioni rispetto ai prompt benigni.
• Separabilità: Mentre i prompt benigni formano cluster compatti e stabili, i prompt di jailbreak ottimizzati si spostano in regioni distinte dello spazio vettoriale, anche negli strati iniziali (early layers). Questa separabilità è osservabile in tutti gli strati, non solo in quelli finali.

B. Meccanismo di Filtro nello Spazio di Attivazione

Il framework GUARD-SLM implementa un classificatore binario leggero integrato nel processo di inferenza:

1. Estrazione: Durante il passaggio in avanti (forward pass), il sistema estrae l'attivazione dell'ultimo token dallo strato target selezionato ($\ell^*$).
2. Classificazione: Un modello di Support Vector Machine (SVM) con kernel RBF, addestrato offline su attivazioni etichettate (benigne vs. maliziose), classifica l'attivazione estratta.
3. Decisione:
   • Se il classificatore rileva un prompt malizioso ($\hat{y}=1$), la generazione viene interrotta immediatamente e viene restituita un rifiuto.
   • Se il prompt è considerato sicuro ($\hat{y}=0$), il modello procede con la generazione autoregressiva standard, riutilizzando gli stati nascosti già calcolati.

3. Contributi Chiave

• Valutazione Empirica Estesa: Analisi sistematica della vulnerabilità di SLM e LLM contro 9 categorie di attacchi di jailbreak, dimostrando che gli SLM sono significativamente più esposti.
• Analisi dello Spazio di Rappresentazione: Dimostrazione che le caratteristiche legate al jailbreak sono visibili in tutti gli strati del modello, fornendo nuovi insight sulla dinamica della sicurezza negli SLM.
• Proposta GUARD-SLM: Sviluppo di un metodo di difesa intraprocess (durante l'esecuzione) che:
  • Non richiede riaddestramento.
  • Non aggiunge token extra (nessun overhead di input/output).
  • Introduce un overhead computazionale minimo.
• Risorsa Open Source: Pubblicazione di codice, dataset e risultati per la riproducibilità.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su modelli come LLaMA-2-7B, Vicuna-7B e Mistral-7B utilizzando dataset come AdvBench e HarmBench.

• Vulnerabilità: Gli SLM mostrano tassi di successo degli attacchi (ASR) molto elevati (spesso >90% per attacchi come AutoDAN e TAP) senza difese.
• Efficacia della Difesa: GUARD-SLM ha ridotto il tasso di successo degli attacchi a quasi zero (es. 0.00% - 0.74%) su tutte le tecniche di attacco testate, inclusi quelli ottimizzati complessi come CodeChameleon e DeepInception.
• Efficienza:
  • Overhead: A differenza di metodi come SmoothLLM o Self-Eval che richiedono più passaggi in avanti o token aggiuntivi, GUARD-SLM utilizza un singolo passaggio in avanti e non aggiunge token.
  • Tempo: Il tempo di inferenza medio è di 0.43s rispetto a 1.12s - 38.07s delle altre difese (vedi Tabella 4).
• Robustezza: La difesa mantiene un'alta accuratezza di rilevamento (spesso >99% per attacchi ottimizzati) attraverso tutti gli strati del modello, confermando che i segnali di sicurezza sono distribuiti nell'intera architettura.

5. Significato e Implicazioni

Questo lavoro è significativo perché:

1. Abilita la Sicurezza Edge: Fornisce una soluzione praticabile per proteggere gli SLM su dispositivi con risorse limitate, dove le difese pesanti basate su LLM esterni o riaddestramento non sono fattibili.
2. Cambio di Paradigma: Sposta il focus dalla filtrazione del testo (input/output) al monitoraggio delle attivazioni interne, offrendo una difesa più robusta contro l'offuscamento dei prompt.
3. Scalabilità: Dimostra che è possibile ottenere difese ad alte prestazioni con un costo computazionale trascurabile, rendendo la sicurezza un componente nativo dell'inferenza piuttosto che un'aggiunta costosa.

In conclusione, GUARD-SLM rappresenta un passo avanti cruciale per l'adozione sicura e diffusa dei Small Language Models in scenari reali, dimostrando che il monitoraggio delle attivazioni dei token può bloccare efficacemente gli attacchi di jailbreak senza compromettere l'efficienza.