Sintesi Tecnica: THRD – Un Framework di Difesa Multi-Turn Senza Addestramento

1. Definizione del Problema

I Large Language Models (LLM) rimangono vulnerabili agli attacchi di jailbreak multi-turn, che sfruttano la dinamica conversazionale per erodere gradualmente le barriere di sicurezza. A differenza degli attacchi single-turn che si basano su prompt espliciti e ingegnerizzati, gli attacchi multi-turn (ad esempio, Crescendo, X-Teaming, Tempest) utilizzano un'escalation graduale, una coordinazione tra i turni e risposte intermedie apparentemente innocue per guidare il modello verso una conformità dannosa.

I meccanismi di difesa esistenti affrontano due limitazioni primarie in questo contesto:

1. I metodi basati sull'addestramento (ad esempio, SFT, RLHF) faticano a coprire lo spazio combinatorio e adattivo delle traiettorie di interazione guidate dall'attacco senza degradare l'utilità del modello.
2. Le difese a tempo di inferenza spesso si affidano all'analisi single-turn, valutando ogni input isolatamente. Ciò non riesce a cogliere come il rischio si accumuli attraverso la cronologia della conversazione, dove i singoli turni possono apparire innocui mentre l'aggregato del contesto sposta il modello verso esiti dannosi.

La sfida centrale è che il comportamento di sicurezza nelle interazioni multi-turn è dipendente dalla traiettoria: la cronologia del dialogo modella continuamente il contesto di condizionamento del modello, rendendo insufficiente la valutazione isolata del singolo turno.

2. Metodologia: Il Framework THRD

Gli autori propongono THRD, il primo framework training-free progettato per modellare esplicitamente l'accumulo del rischio temporale per la difesa dai jailbreak multi-turn. THRD opera a tempo di inferenza e decompone la valutazione della sicurezza in quattro moduli integrati:

A. Turn-level Risk Assessor (TRA)

• Funzione: Stima il rischio istantaneo dell'input corrente ($R_i$).
• Meccanismo: Adotta un paradigma di analisi a due stadi per catturare sia segnali semantici che strutturali. Assegna un punteggio ordinale $R_i \in [1, 5]$.
• Calibrazione: Per evitare falsi positivi da parole chiave benigne (ad esempio, "kill" in un contesto di processi), gli autori esplorano varianti di prompt che spostano il focus dal contenuto delle parole chiave alla struttura della richiesta e richiedono prove strutturali concrete prima di assegnare un rischio elevato.

B. Historical Context Analyzer (HCA)

• Funzione: Inferisce l'intento cumulativo analizzando la conversazione come un'interazione ordinata temporalmente.
• Meccanismo: Analizza la struttura della conversazione attraverso tre dimensioni:
  1. Forma conversazionale: Setup di role-play e framing.
  2. Schemi di evoluzione: Progressione della sensibilità dell'argomento.
  3. Completezza della catena di attacco: Se i turni precedenti formano una progressione verso obiettivi dannosi.
• Output: Un giudizio binario $J_h \in \{SAFE, UNSAFE\}$ che indica se la traiettoria mostra un intento malevolo.

C. Response Evaluator (RE)

• Funzione: Valuta se una risposta generata (dal turno precedente) possa facilitare danni a valle, anche se tecnicamente conforme alle policy.
• Motivazione: Affronta il "gap discriminatore-generatore", dove i modelli identificano meglio i contenuti dannosi durante la valutazione rispetto alla generazione.
• Meccanismo: Valuta la sicurezza del contenuto, la sensibilità delle informazioni e la conformità ai confini. Opera post-hoc (dopo l'emissione della risposta) per alimentare la decisione del turno successivo.
• Output: Un giudizio binario $J_r \in \{MAY\_FACILITATE, WILL\_NOT\_FACILITATE\}$.

D. Modulo Decisionale

• Funzione: Integra $R_i$, $J_h$ e $J_r$ in un punteggio di rischio in evoluzione temporale ($F(i)$) per determinare la strategia di risposta (Normale, Controllata o Rifiuto).
• Formula di Punteggio:
  $$F(i) = R_i + \Lambda(R_i) \cdot \Omega(\hat{J}^{(i-1)}_h, \hat{J}^{(i-1)}_r)$$
  • $\Lambda(R_i)$: Una funzione di attenuazione che modula l'influenza del segnale storico in base alla severità attuale.
  • $\Omega$: Una funzione composita che aggrega i rischi storici e a livello di risposta (usando la Norma L2).
  • Regolazione del Trend: Aggiunge una penalità se i punteggi di rischio mostrano un aumento monotono attraverso i turni consecutivi.
• Rifiuto Persistente: Una volta che viene attivato un rifiuto ad alto rischio, tutti i turni successivi vengono rifiutati incondizionatamente. Ciò impedisce agli attaccanti di recuperare tramite follow-up evasivi, dando priorità alla sicurezza rispetto alla continuità dell'interazione.

3. Contributi Chiave

1. Modellazione del Rischio Temporale: THRD è il primo framework training-free che modella esplicitamente come il rischio si accumula attraverso i turni di conversazione, andando oltre l'analisi isolata del single-turn.
2. Architettura Modulare: Introduce un framework unificato a tempo di inferenza che combina il rischio istantaneo (TRA), l'intento cumulativo (HCA) e il rilevamento del contenuto facilitativo (RE).
3. Efficienza Training-Free: Il framework non richiede il riaddestramento del modello, affidandosi invece a giudizi semantici basati su prompt e un'aggregazione leggera dei punteggi.
4. Validazione Empirica: Esperimenti estesi dimostrano che THRD difende efficacemente contro attacchi multi-turn allo stato dell'arte preservando l'utilità del modello.

4. Risultati Sperimentali

Il framework è stato valutato su Qwen2.5-7B e Llama-3-8B contro attacchi X-Teaming (collaborazione multi-agente) e Tempest (basato su ricerca ad albero).

• Attack Success Rate (ASR): THRD ha ridotto l'ASR allo 0,2–4,0% su entrambi i modelli e tipi di attacco.
  • Confronto: Le difese single-turn di base (PROACT, SAGE) sono fallite significativamente contro X-Teaming (ASR > 47% per PROACT, >86% per SAGE su Qwen) o hanno causato gravi perdite di utilità.
• Utilità del Modello: THRD ha preservato l'utilità entro una degradazione dell'1,5% sui benchmark MMLU e GSM8K, superando SAGE che ha subito cali superiori all'11%.
• Over-Refusal (Eccessivo Rifiuto): THRD ha mantenuto tassi di eccessivo rifiuto accettabili (12,4% su Qwen, 18,8% su Llama), significativamente migliori di SAGE (fino al 99,6%).
• Robustezza Single-Turn: THRD ha raggiunto lo 0% di ASR contro l'attacco single-turn AutoDAN, confermando che i meccanismi multi-turn non compromettono la difesa single-turn.
• Studi di Ablazione:
  • Rimuovere TRA o HCA ha causato la maggiore degradazione delle prestazioni (~24% di aumento dell'ASR), confermando che le analisi del turno corrente e cross-turno non sono ridondanti.
  • Rimuovere il Rifiuto Persistente ha aumentato l'ASR dall'1,59% al 5,15%, validando la necessità di bloccare i tentativi di recupero.
  • Sensibilità all'Ordine della Cronologia: Mescolare la cronologia della conversazione ha aumentato l'ASR, confermando che l'ordinamento temporale è critico per rilevare i pattern di escalation.

5. Significato e Rivendicazioni

Il paper sostiene che THRD affronta una lacuna critica nella sicurezza degli LLM: l'incapacità delle difese esistenti di rilevare attacchi che si basano su un accumulo graduale e cross-turn piuttosto che su violazioni esplicite single-turn.

• Necessità dell'Analisi Multi-Turn: L'analisi dei primi trigger di rifiuto rivela che oltre il 70% degli attacchi multi-turn richiede il Turno 2 o successivi per essere rilevato, poiché gli attaccanti progettano deliberatamente il Turno 1 per apparire innocuo. Ciò valida la necessità di un'aggregazione temporale esplicita.
• Risoluzione del Trade-off: THRD dimostra che è possibile ottenere forti prestazioni difensive contro attacchi multi-turn adattivi senza l'alto costo del riaddestramento o la severa degradazione dell'utilità vista in altri metodi a tempo di inferenza.
• Limitazioni: Gli autori riconoscono che l'HCA è il principale collo di bottiglia computazionale (responsabile di circa il 63–77% della latenza) e che il framework dipende dalle capacità di ragionamento del modello valutatore sottostante. Notano che futuri attacchi ottimizzati specificamente contro i pattern di prompting di THRD o attacchi che distribuiscono l'intento su traiettorie sostanzialmente più lunghe potrebbero rappresentare una sfida.

In conclusione, THRD fornisce un approccio robusto e senza addestramento per proteggere gli LLM contro l'evoluzione delle minacce di jailbreak multi-turn, trattando la sicurezza come una proprietà dipendente dalla traiettoria piuttosto che come un filtro statico dell'input.