Sintesi Tecnica: Il Tradeoff tra Rifiuto e Conformità

Definizione del Problema

Le attuali valutazioni della sicurezza per i Large Language Models (LLM) si affidano pesantemente ai tassi di rifiuto come proxy della sicurezza. Questo articolo sostiene che i tassi di rifiuto siano una metrica scarsa perché non riescono a catturare due modalità di fallimento distinte e ampiamente indipendenti: l'over-refusal (rifiuto di prompt benigni) e la conformità dannosa (generazione di contenuti non sicuri in risposta a prompt avversari).

I benchmark esistenti affrontano tipicamente solo una di queste modalità in isolamento. I benchmark di tossicità (es. ToxiGen) valutano la generazione non sicura senza tenere conto dei tassi di rifiuto benigni, mentre i benchmark di over-refusal (es. XSTest, OR-Bench) misurano i falsi positivi senza valutare la vulnerabilità agli input avversari. Inoltre, i tassi di rifiuto osservati possono essere confusi dagli squilibri di tossicità all'interno dei dataset di valutazione, rendendo inaffidabili i confronti tra gruppi demografici. L'articolo postula che alti tassi di rifiuto non implicano una bassa conformità dannosa, e che i modelli di diversi ecosistemi adottano strategie di calibrazione fondamentalmente diverse che non sono catturate da riassunti di sicurezza a numero singolo.

Metodologia

Gli autori hanno condotto un audit empirico su larga scala di 21 LLM open-weight istruiti per istruzioni attraverso quattro benchmark di sicurezza: OR-Bench, XSTest, ToxiGen e BOLD. Lo studio abbraccia molteplici famiglie di modelli (Llama, Qwen, DeepSeek, Mistral, ecc.), generazioni, scale ed ecosistemi regionali (USA, Cina, Europa, Medio Oriente, India, Corea, Giappone).

Framework di Valutazione

1. Classificazione dell'Output: Le risposte sono state classificate in tre categorie:
   • Rifiuto (SR): Il modello declina l'impegno.
   • Conformità Sicura (SC): Il modello risponde in modo utile senza danni.
   • Conformità Danerosa (SU): Il modello produce contenuti dannosi, discriminatori o non sicuri.
2. Metriche:
   • Tasso di Over-Refusal (ORR): $P(SR | T_B)$, la probabilità di rifiutare un prompt benigno.
   • Tasso di Conformità Danerosa (HCR): $P(S_{unsafe} | T_T)$, la probabilità di generare contenuti non sicuri su un prompt tossico.
   • Gap di Rifiuto Corretto per la Tossicità ($\Delta$): Una metrica progettata per isolare la sensibilità del modello agli attributi demografici dagli effetti di composizione del dataset, marginalizzando sulla distribuzione di tossicità del benchmark.
3. LLM-as-a-Judge: Per gestire comportamenti sfumati (es. rifiuti parziali, risposte con premesse di sicurezza), gli autori hanno impiegato una pipeline multi-judge utilizzando due modelli distinti (Llama-3.3-70B-Instruct e Qwen2.5-32B-Instruct) per mitigare il bias circolare. Le analisi primarie hanno utilizzato un'astrazione binaria (Sicuro vs Non Sicuro) per garantire la stabilità.
4. Configurazione Sperimentale: Tutti i modelli sono stati valutati utilizzando la decodifica greedy su GPU NVIDIA A100, generando oltre 7,1 milioni di coppie prompt-risposta e 14,3 milioni di annotazioni del giudice.

Risultati Chiave

1. L'Ortogonalità delle Modalità di Fallimento della Sicurezza

Lo studio ha rilevato che l'over-refusal e la conformità dannosa sono quasi del tutto non correlati ($r = -0,032$). La tendenza di un modello a rifiutare prompt benigni non fornisce essenzialmente alcuna informazione sulla sua vulnerabilità agli input avversari.

• Ecosistemi Conservativi: Modelli come Llama-3-8B e Falcon3-7B mostrano un alto ORR (es. 11,12% e 9,47% rispettivamente) ma un HCR molto basso (0,30% e 0,00%). Prioritizzano la sicurezza a scapito dell'utilità.
• Ecosistemi Permissivi: Modelli come DeepSeek-R1-7B mostrano un ORR estremamente basso (0,26%) ma un alto HCR (29,71%), preservando l'utilità pur tollerando una significativa conformità dannosa.
• Ecosistemi Bilanciati: Qwen-2.5-7B ha ottenuto valori bassi su entrambe le metriche (ORR 0,80%, HCR 0,16%).
• Falsi Positivi: Alti tassi di rifiuto non garantiscono la robustezza; Airavata-7B ha mostrato un ORR del 40,70% pur presentando comunque un HCR dell'11,70%, indicando che l'intervento indiscriminato non può sostituire l'applicazione mirata della sicurezza.

2. Stabilità all'interno delle Famiglie di Modelli

Il comportamento di rifiuto e conformità è stabile all'interno delle famiglie di modelli attraverso generazioni e scale, suggerendo che gli obiettivi di post-training (es. policy RLHF, dati di fine-tuning della sicurezza) modellano il comportamento di sicurezza più dell'architettura o della dimensione del modello.

• Famiglia Llama: Attraverso le generazioni (da Llama-2 a Llama-3.1), l'HCR è rimasto vicino allo zero mentre l'ORR è aumentato leggermente, mantenendo un profilo ad alto intervento.
• Famiglia Qwen: Ha mantenuto un basso ORR attraverso le generazioni, mentre l'HCR è migliorato leggermente.
• Implicazione: Un singolo snapshot del modello è ragionevolmente rappresentativo del profilo di sicurezza del suo ecosistema, a condizione che la linea di post-training rimanga coerente.

3. Protezione Demografica Disuguale

La protezione demografica è altamente disomogenea e spesso invisibile alle metriche aggregate.

• Sovra-protezione: I modelli spesso sovra-proteggono gruppi razziali e religiosi prominenti (es. ebrei, latini, musulmani), rifiutando prompt benigni che menzionano queste identità. Ad esempio, Llama-3.1-8B ha rifiutato il 16,32% dei prompt benigni che facevano riferimento alla demografia ebraica.
• Sotto-protezione: I modelli sono sostanzialmente più vulnerabili agli attacchi mirati alla disabilità. Airavata-7B ha mostrato un HCR dell'8,99% per i prompt relativi alla disabilità mentale, il più alto HCR specifico per sottogruppo osservato.
• Effetti di Composizione: I tassi di rifiuto grezzi spesso rappresentano erroneamente queste disparità a causa della frequenza dei gruppi demografici nei subset tossici. Il gap corretto per la tossicità ($\Delta$) ha rivelato che gli effetti di composizione gonfiano alcune stime di rifiuto demografico.

4. Sensibilità al Benchmark e alla Scelta del Giudice

• Struttura del Benchmark: I tassi di over-refusal variano significativamente in base al design del benchmark. I modelli hanno mostrato un ORR più alto su XSTest (pairing strutturale) rispetto a OR-Bench (ambiguità semantica), indicando che le caratteristiche superficiali lessicali possono innescare il rifiuto anche quando l'intento è benigno.
• Dipendenza dal Giudice: I risultati sull'over-refusal sono stati altamente stabili tra i due modelli giudice ($r = 0,990$). Tuttavia, le valutazioni della conformità dannosa sono state fortemente dipendenti dal giudice per gli output borderline ($r = 0,356$), in particolare riguardo a disclaimer parziali o assistenza indiretta. Ciò suggerisce che gli audit con un singolo giudice possono produrre stime di conformità che riflettono la calibrazione del valutatore piuttosto che le proprietà intrinseche del modello.

Significato e Contributi

L'articolo apporta tre contributi primari al campo della valutazione della sicurezza degli LLM:

1. Audit Congiunto delle Modalità di Fallimento: Va oltre la valutazione basata solo sul tasso di rifiuto misurando congiuntamente l'over-refusal e la conformità dannosa attraverso 21 modelli e quattro benchmark, dimostrando che queste sono modalità di fallimento ortogonali che richiedono strategie di mitigazione distinte.
2. Caratterizzazione Cross-Ecosistema: Rivela che il comportamento di sicurezza è guidato più dagli obiettivi di post-training che dall'architettura, portando a strategie di calibrazione fondamentalmente diverse tra gli ecosistemi (conservativi vs permissivi).
3. Analisi Demografica e di Robustezza: Rivela lacune sistematiche nella protezione demografica, mostrando che i modelli sovra-proteggono i gruppi identitari visibili mentre falliscono nel proteggere contro gli attacchi mirati alla disabilità. Evidenzia inoltre la necessità di utilizzare ensemble di valutatori eterogenei e di correggere per la composizione del dataset per garantire confronti equi.

Gli autori concludono che un audit di sicurezza robusto richiede una valutazione congiunta di entrambe le modalità di fallimento, una reportistica demografica disaggregata (corretta per la composizione della tossicità) e l'uso di molteplici benchmark e ensemble di valutatori per evitare le insidie delle valutazioni basate su un singolo metrica o un singolo giudice.