Riepilogo Tecnico: Il Grande Impostore: Un Problema di Stocasticità nel Jailbreak degli LLM

1. Enunciato del Problema

Lo standard attuale per valutare la sicurezza dei Modelli Linguistici di Grandi Dimensioni (LLM), il Tasso di Successo dell'Attacco (ASR), è fondamentalmente difettoso perché tratta l'ASR come una proprietà fissa di un attacco. Gli autori sostengono che l'ASR è in realtà una variabile casuale fortemente influenzata da due fonti indipendenti di stocasticità ampiamente ignorate nella letteratura esistente:

1. Stocasticità di Generazione: La maggior parte degli attacchi di jailbreak (ad esempio, Best-of-N, Crescendo) è stocastica per progettazione. Generano molteplici prompt candidati e ne selezionano uno basato su un singolo tentativo riuscito. Una singola esecuzione produce un insieme diverso di candidati a seconda del seme casuale, portando a risultati ASR variabili.
2. Stocasticità di Valutazione: I giudici automatizzati (ad esempio, Llama-Guard) utilizzati per classificare le risposte come "dannose" o "sicure" sono essi stessi stocastici quando operano a temperatura $T > 0$. La stessa risposta del modello può essere etichettata come dannosa in una valutazione e benigna in un'altra.

Di conseguenza, i numeri ASR riportati sono sistematicamente gonfiati e non confrontabili tra i diversi articoli. Un prompt che riesce 1 volta su 10 tentativi è spesso trattato in modo identico a uno che riesce 10 volte su 10, oscurando il fatto che il primo possa essere un "colpo di fortuna" piuttosto che una vulnerabilità genuina.

2. Metodologia

Il documento propone uno studio empirico sistematico per quantificare l'impatto di questi fattori stocastici.

Configurazione Sperimentale

• Attacchi: Sono stati valutati quattro attacchi black-box: Best-of-N (BoN), PAIR, TAP e Crescendo.
• Modelli Target: Cinque modelli istruiti (instruction-tuned) che variano da 1B a 70B parametri, appartenenti a tre famiglie (Meta Llama-3, Google Gemma-3, IBM Granite).
• Giudici: Due giudici basati su LLM (Llama-Guard-3-1B e Llama-Guard-3-8B).
• Parametri: Lo studio varia sei parametri di stocasticità attraverso le pipeline di generazione e valutazione:
  • Temperature: Generazione del modello target ($T_{gen}$), valutazione del modello target ($T_{eval}$), generazione del giudice ($\theta_{gen}$) e valutazione del giudice ($\theta_{eval}$).
  • Soglie di Coerenza: Il numero di valutazioni consecutive riuscite richieste ($k_{gen}$ per la generazione, $k_{eval}$ per la valutazione).
  • Semi: Multipli semi casuali indipendenti ($S=5$) per misurare la varianza.

Framework Proposti

Per affrontare l'instabilità dell'ASR, gli autori introducono la Coerenza per il Successo dell'Attacco (CAS) e due framework associati:

1. Metrica CAS: Un indicatore binario per prompt. Un jailbreak è contato come riuscito solo se tutte le $k$ valutazioni indipendenti restituiscono un verdetto dannoso.

   • L'ASR standard corrisponde a $k=1$.
   • La metrica a livello di dataset è $ASR(k_{eval})$, la frazione di prompt per cui $CAS(r, k_{eval}) = 1$.

2. CAS-gen (Framework di Generazione dell'Attacco):

   • Invece di accettare un prompt di jailbreak dopo un singolo tentativo riuscito ($k_{gen}=1$), l'attacco deve elicita una risposta dannosa in modo coerente attraverso $k_{gen}$ esecuzioni indipendenti.
   • Questo filtra i "successi casuali" alla fonte, garantendo che il dataset di attacco contenga solo prompt robusti.

3. CAS-eval (Framework di Valutazione dell'Attacco):

   • Un prompt di jailbreak fisso viene valutato $k_{eval}$ volte. È classificato come jailbreak coerente solo se tutte le $k_{eval}$ chiamate al giudice restituiscono un verdetto dannoso.
   • Questo sopprime i falsi positivi causati dalla non deterministica del giudice.

3. Risultati Chiave

La valutazione rivela che i parametri di stocasticità possono spostare l'ASR riportato di margini enormi (fino a 54 punti percentuali), rendendo i confronti tra articoli invalidi senza standardizzazione.

• Impatto della Soglia di Valutazione ($k_{eval}$): Passare da $k_{eval}=1$ a $k_{eval}=10$ riduce l'ASR di 12-24 punti percentuali in tutte le configurazioni. Ciò indica che la valutazione standard singola sovrastima significativamente il successo dell'attacco.
• Impatto della Temperatura del Giudice ($\theta_{eval}$): Questo è il parametro più volatile. Aumentare $\theta_{eval}$ da 0.0 a 1.0 può collassare l'ASR fino a 54 punti percentuali (ad esempio, Crescendo scende dall'86% al 32%). A $\theta_{eval}=0$, l'ASR diventa perfettamente stabile.
• Impatto del Budget di Generazione ($k_{gen}$): Aumentare $k_{gen}$ da 1 a 10 alza l'ASR riportato di 12-30 punti percentuali. Un filtro lasco ($k_{gen}=1$) ammette prompt borderline che degradano drasticamente sotto valutazione ripetuta.
• Impatto della Temperatura del Modello Target ($T_{eval}$): Spostare $T_{eval}$ da 0.0 a 1.0 cambia l'ASR al massimo di 18 punti percentuali senza direzione sistematica; non influisce sulla classifica relativa degli attacchi.
• Impatto del Seme dell'Attacco: La dispersione da seme a seme è modesta (fino a 20 punti percentuali) ma può essere più alta per configurazioni specifiche (ad esempio, 50 punti per BoN con LG-8B a $k_{eval}=10$).

4. Contributi e Significato

Il documento apporta tre contributi principali:

1. Studio Empirico Sistematico: La prima analisi completa sia della stocasticità di generazione che di valutazione su molteplici attacchi, modelli e giudici, identificando i parametri specifici che guidano la varianza dell'ASR.
2. Nuova Metrica e Framework: L'introduzione della CAS (Coerenza per il Successo dell'Attacco) e dei framework CAS-gen/CAS-eval. Questi strumenti permettono ai ricercatori di filtrare i colpi di fortuna e il rumore dei giudici, producendo stime ASR più affidabili e riproducibili.
3. Standard Minimo di Reporting: Gli autori propongono una checklist per la ricerca futura per garantire la confrontabilità. Al minimo, gli articoli devono divulgare:
   • $k_{gen}$ (soglia di coerenza di generazione)
   • $k_{eval}$ (soglia di coerenza di valutazione)
   • $\theta_{eval}$ (temperatura di valutazione del giudice)
   • (Per attacchi BoN) $\theta_{gen}$ (temperatura di ricerca del giudice)

Significato:
Il documento sostiene che la pratica attuale di riportare l'ASR come una stima puntuale senza controllare la stocasticità è "fondamentalmente difettosa". Ignorando queste variabili, la comunità crea uno scenario da "Grande Impostore" in cui alti punteggi ASR sono spesso artefatti di semi casuali e rumore dei giudici piuttosto che vulnerabilità genuine. I framework proposti e gli standard di reporting mirano a ripristinare il rigore statistico nel benchmarking della sicurezza degli LLM, assicurando che i tassi di successo riportati riflettano un'efficacia di attacco genuina e riproducibile. Gli autori notano che i loro risultati si basano su modelli open-weight e che estendere questa analisi a modelli proprietari fortemente allineati tramite RLHF rimane una questione empirica aperta a causa delle restrizioni API e della mancanza di trasparenza.