Riepilogo Tecnico: Geometry-Lite: Sonda di Sicurezza Interpretabile tramite Geometria del Margine a Livello di Strato

Definizione del Problema

Man mano che i modelli linguistici di grandi dimensioni (LLM) vengono distribuiti su larga scala, il rilevamento della dannosità a livello di prompt è diventato un componente critico per la sicurezza. Sebbene le sonde basate sugli stati nascosti, che utilizzano classificatori lineari su istantanee di singoli strati (tipicamente l'ultimo token del prompt), costituiscano i baseline standard, esse si basano sull'assunzione che un singolo strato sia sufficiente a riassumere i segnali rilevanti per la sicurezza. Tale assunzione merita una riesame per due motivi:

1. Casi Limite: Le prestazioni aggregate su benchmark standard spesso oscurano il comportamento su prompt ambigui, che sono critici per i sistemi di sicurezza operanti a bassi tassi di falsi positivi.
2. Generalizzazione Fuori Distribuzione (OOD): I modelli che performano bene su split di benchmark potrebbero fare affidamento su caratteristiche scorciatoia che non si trasferiscono. Lavori recenti indicano che le sonde di sicurezza basate sull'attivazione subiscono un degrado sostanziale sotto valutazione cross-dataset.

La domanda di ricerca centrale non è meramente se più strati aiutino, ma quale forma di evidenza multistrato rimanga utile in regimi critici per le decisioni (bassi tassi di falsi positivi) e sotto variazioni dei benchmark. Nello specifico, gli autori investigano se il segnale di sicurezza sia distribuito attraverso gli strati, guidato dal movimento da strato a strato (spostamento), o definito dalla posizione persistente di un profilo di margine rispetto ai confini di sicurezza.

Metodologia: Geometry-Lite

Gli autori introducono Geometry-Lite, una sonda compatta a livello di prompt progettata per decomporre i segnali di sicurezza multistrato lungo assi geometrici etichettati. Il metodo opera in tre fasi:

1. Riduzione del Margine a Livello di Strato

Per ogni strato del trasformatore $\ell$, lo stato nascosto $D$-dimensionale dell'ultimo token del prompt, $h^{(\ell)}(x)$, viene ridotto a un margine firmato scalare utilizzando tre letture geometriche complementari:

• Distanza dal Centroide: La differenza nella distanza euclidea rispetto alle medie condizionate alla classe ($\mu^+$ per sicuro, $\mu^-$ per non sicuro).
  $$m^{cent}_\ell(h) = \|h - \mu^-_\ell\|_2 - \|h - \mu^+_\ell\|_2$$
• Vicinato Locale k-NN: La differenza nella distanza media del coseno rispetto ai $k$ vicini più prossimi nei pool di addestramento sicuro e non sicuro. Questa è l'unica lettura non lineare.
  $$m^{knn}_\ell(h) = \bar{c}^-_k(h) - \bar{c}^+_k(h)$$
• Confine Lineare Supervisionato: Un confine di regressione logistica regolarizzato L2 adattato per strato su caratteristiche standardizzate, che produce un punteggio firmato.
  $$m^{lin}_\ell(h) = w^\top_\ell z + b_\ell$$

Questo processo converte la traiettoria dello stato nascosto $H(x) \in \mathbb{R}^{L \times D}$ in tre traiettorie di margine scalari $m^G(x) \in \mathbb{R}^L$ (dove $G \in \{cent, knn, lin\}$).

2. Sintesi del Profilo tramite Assi Nominati

Ogni profilo di margine viene sintetizzato lungo tre assi nominati per separare forme distinte di segnale a livello di strato:

• Livello del Margine: Cattura la posizione persistente del confine (ad esempio, margini agli estremi, valori estremali, occupazione del lato negativo e area).
• Cambiamento da Strato a Strato: Isola il movimento locale tramite differenze finite ($\Delta m_\ell = m_{\ell+1} - m_\ell$), separando il movimento dalla posizione assoluta.
• Forma Strutturale: Cattura proprietà grossolane del profilo (ad esempio, primo attraversamento del confine, variabilità del cambiamento, lunghezza totale del percorso e consistenza direzionale).

Questi assi generano un vettore di caratteristiche a 39 dimensioni $\phi(x)$ (13 caratteristiche per geometria).

3. Classificazione

Il vettore a 39 dimensioni viene immesso in un classificatore di regressione logistica regolarizzato L2. Il numero di parametri è indipendente dalla dimensione del modello di base e dalla dimensione dello stato nascosto.

Baseline e Confronti

Lo studio confronta Geometry-Lite con:

• Sonde a singolo strato: Lo strato con le migliori prestazioni selezionato tramite validazione.
• MultiLayer-DIM: Aggrega le proiezioni sulla direzione della differenza delle medie attraverso gli strati.
• MultiLayer-Linear: Aggrega i punteggi lineari supervisionati grezzi attraverso gli strati.
• TaT-Disp-LSTM: Una baseline basata sulla traiettoria che modella gli spostamenti a livello di strato con un LSTM.

Contributi Chiave

1. Sonda Geometry-Lite: Una sonda compatta e interpretabile che converte gli stati nascosti a livello di strato in profili di margine firmati sotto tre letture geometriche e li sintetizza lungo assi nominati (posizione del confine, cambiamento e forma).
2. Decomposizione dell'Evidenza Multistrato: Il framework disgiunge tre spiegazioni dei segnali multistrato: aggregazione attraverso strati informativi, posizione del margine relativa al confine ed esplicito movimento da strato a strato.
3. Risultati Empirici:
   • Concentrazione del Segnale: L'evidenza di sicurezza è espressa principalmente attraverso una geometria del margine a posizione persistente (livello del margine e occupazione). Il movimento da strato a strato (deriva) contribuisce minimamente all'AUROC aggregato.
   • Utilità della Deriva: Sebbene la deriva aggiunga poco all'AUROC raggruppato, fornisce correzioni sparse orientate al richiamo sotto soglie FPR basse spostate.
   • Trade-off di Stabilità della Lettura: I confini lineari ottimizzati sono più netti in-distribuzione, mentre la geometria della media condizionale alla classe (centroide/DIM) mantiene la separazione in modo più affidabile sotto variazioni dei benchmark (protocollo LOBO).

Risultati Sperimentali

La valutazione copre nove backbones addestrati su istruzioni (famiglie Llama, Gemma, Qwen; 1.2B–70B) e sette benchmark di sicurezza (XSTest, WildJailbreak, JBB-Behaviors, DoNotAnswer, BeaverTails, PKU-SafeRLHF, ToxicChat).

• Prestazioni In-Distribuzione: Geometry-Lite (AUROC 0.955) e MultiLayer-Linear (0.954) superano la migliore sonda a singolo strato (0.941) e superano significativamente MultiLayer-DIM (0.911) e TaT-Disp-LSTM (0.945). Geometry-Lite corrisponde all'impilamento dei punteggi grezzi offrendo al contempo interpretabilità.
• Regimi Critici per le Decisioni: A bassi tassi di falsi positivi (3% e 5% FPR), il vantaggio multistrato è più pronunciato. Geometry-Lite migliora il Tasso di Vero Positivo (TPR) di circa 0.06–0.08 rispetto alla migliore sonda a singolo strato al 5% FPR.
• Generalizzazione (LOBO): Sotto la valutazione Leave-One-Benchmark-Out, il divario di prestazioni tra i metodi lineari supervisionati e i metodi basati sulla media di classe (MultiLayer-DIM) si riduce. MultiLayer-DIM (0.889) corrisponde a MultiLayer-Linear (0.889) e supera la migliore sonda a singolo strato (0.842) in molte celle.
• Ablazione delle Caratteristiche:
  • Le sole caratteristiche di magnitudine corrispondono al modello completo a 39 caratteristiche entro 0.001–0.002 AUROC.
  • Le sole caratteristiche strutturali e le sole caratteristiche Neg-drift sono significativamente più deboli.
  • Ablazione della Lettura: In-distribuzione, il confine lineare supervisionato è il più forte. Sotto variazioni severe dei benchmark, la lettura del centroide diventa il singolo ramo più stabile, superando i confini lineari sui sottoinsiemi tenuti fuori più difficili.

Significato e Affermazioni

Il documento afferma che l'evidenza di sicurezza a livello di prompt non è principalmente un segnale di movimento da strato a strato, bensì una geometria del margine a livello di strato persistente. I componenti utili di questo segnale sono la posizione del margine rispetto ai confini di sicurezza e la sua persistenza attraverso gli strati.

Lo studio evidenzia un trade-off critico nella sonda di sicurezza:

• I confini ottimizzati (classificatori lineari) catturano una forte separazione in-distribuzione ma degradano sotto spostamento di distribuzione.
• La geometria della media di classe (centroidi/DIM) è meno netta in-distribuzione ma più robusta agli spostamenti dei benchmark.

Di conseguenza, gli autori sostengono che le sonde di sicurezza multistrato dovrebbero essere valutate non solo in base all'AUROC in-distribuzione, ma anche in base a quali bias geometrici si trasferiscono sotto spostamento. Geometry-Lite funge da strumento per rendere visibili questi componenti e bias, in particolare nei regimi critici per le decisioni dove i falsi positivi sono costosi.

Limitazioni: Lo studio è limitato a sintesi di margini progettati a mano, prompt di sicurezza a turno singolo e etichette di sicurezza binarie. Il lavoro futuro potrebbe esplorare funzionali di profilo appresi, monitoraggio a più turni e applicazioni ad altri compiti a livello di prompt.