Sintesi Tecnica: MEMBRANE

Definizione del Problema

Nonostante i progressi nell'allineamento della sicurezza, i Large Language Models (LLM) e gli agenti basati su LLM rimangono vulnerabili ad attacchi di jailbreak in continua evoluzione. Questi attacchi si sono spostati da semplici modifiche ai prompt a strategie complesse guidate dal feedback, come il raffinamento iterativo, la riscrittura basata sulla persuasione e le policy auto-adattive.

Le difese esistenti affrontano due limitazioni primarie:

1. Difese Statiche: I tradizionali classificatori di sicurezza e i modelli sottoposti a fine-tuning codificano la sicurezza in parametri fissi, rendendo i loro confini decisionali rigidi e difficili da rivedere post-deployment senza un costoso riaddestramento.
2. Carenze nella Memoria: Sebbene le guardrail aumentate dalla memoria offrano adattabilità, i design esistenti memorizzano la conoscenza della sicurezza in una forma "unilaterale". Essi catturano i pattern di attacco o le regole di rifiuto, ma mancano di condizioni accoppiate per consentire query benigne che somigliano superficialmente ad attacchi. Ciò porta a due modalità di fallimento accoppiate:
   • Copertura Fragile: Le difese rimangono legate alle specifiche forme superficiali già memorizzate.
   • Sovra-rifiuto (Over-Refusal): Man mano che la memoria si espande, le guardrail rifiutano sempre più frequentemente query benigne che condividono caratteristiche superficiali con gli attacchi memorizzati.

Metodologia: MEMBRANE

Gli autori propongono MEMBRANE, una guardrail esterna basata su una Contrastive Safety Memory (CSM). A differenza degli approcci precedenti, MEMBRANE evolve una base di conoscenza in cui ogni cella di memoria accoppia esplicitamente le condizioni per bloccare una query dannosa con le condizioni per consentire una richiesta benigna superficialmente simile.

Componenti Core

1. Contrastive Safety Memory (CSM):

   • Struttura: Ogni cella ($m$) consiste in un Profilo di Attacco ($P$), dei Criteri Decisionali ($D$) e di un Contesto Tool-Action ($T$) opzionale per la sicurezza degli agenti.
   • Profilo di Attacco: Caratterizza gli attacchi tramite strategia ($p_{strat}$), azione richiesta ($p_{act}$) e obiettivo di danno ($p_{harm}$). Fondamentalmente, l'indicizzazione si basa sulla strategia di attacco sottostante (es. persuasione, iniezione di ruolo) piuttosto che sui temi superficiali, permettendo a una singola cella di generalizzare attraverso diverse varianti tematiche dello stesso meccanismo.
   • Criteri Decisionali: Una coppia contrastiva ($d_{unsafe}, d_{safe}$). $d_{unsafe}$ definisce la sufficienza logica per bloccare una query, mentre $d_{safe}$ delinea le richieste benigne che devono essere consentite per prevenire il sovra-rifiuto.
   • Contesto Tool-Action: Per gli agenti, questo specifica quando un'azione rimane sicura nonostante corrisponda a criteri non sicuri, derivando da interazioni benigne accoppiate.

2. Auto-evoluzione Accoppiata (Paired Self-Evolution):

   • MEMBRANE aggiorna la CSM attraverso un ciclo guidato dall'esperienza. Ogni interazione coinvolge una query dannosa ($x_h$) e un suo corrispettivo benigno ($x_b$).
   • In base al verdetto della guardrail (Jailbroken, Over-refusal, o Correct), un Memory Planner seleziona un'azione: CREATE (nuovo pattern), UPDATE (perfezionamento di una cella esistente), DELETE (rimozione di una cella fuorviante) o SKIP.
   • Un Memory Writer sintetizza il contenuto della cella contrastiva, assicurando che il lato "sicuro" catturi esplicitamente il corrispettivo benigno. Un validatore non-LLM garantisce la correttezza strutturale.

3. Pipeline di Inferenza:

   • Fase 1 (Retrieval Vettoriale): Recupera le celle candidate in base alla similarità vettoriale dei campi serializzati della cella, dando priorità a un alto richiamo delle caratteristiche a livello di meccanismo.
   • Fase 2 (Retrieval Critic): Un reranker basato su LLM filtra i candidati, assegnando verdeti di APPLIES (si applica), MAYBE (forse) o DOES_NOT_APPLY (non si applica) per garantire che la strategia recuperata sia realmente allineata con la query, riducendo il rumore.
   • Decisione della Guardrail: La guardrail finale valuta la query condizionata sull'insieme filtrato di celle per emettere una decisione SAFE/UNSAFE.

Contributi Chiave

1. Contrastive Safety Memory (CSM): Una nuova rappresentazione della memoria che accoppia i pattern di attacco con i loro corrispettivi benigni, rendendo esplicito il lato "sicuro" del confine di sicurezza per sopprimere il sovra-rifiuto.
2. Paired Self-Evolution: Una regola di apprendimento guidata dall'esperienza che destilla le interazioni dannose e benigne in celle contrastive tramite operazioni di creazione, aggiornamento e cancellazione, indicizzate per strategia di attacco anziché per forma superficiale.
3. Valutazione Completa: Valutazione attraverso benchmark di sicurezza a livello di modello (HarmBench) e a livello di agente (AgentHarm), dimostrando robustezza contro sei distinte trasformazioni di jailbreak.

Risultati Sperimentali

Gli autori hanno valutato MEMBRANE contro lo stato dell'arte delle baseline (inclusi guardrail a livello di prompt, classificatori fine-tuned e difese aumentate dalla memoria) su HarmBench e AgentHarm.

• Performance: MEMBRANE ha ottenuto il punteggio F1 più alto su tutti i sei attacchi di jailbreak attraverso entrambi i benchmark.
  • Su HarmBench, ha ridotto l'Attack Success Rate (ASR) quasi a zero per ReNeLLM e FlipAttack, con un margine di F1 significativo rispetto alla baseline più forte.
  • Su AgentHarm, MEMBRANE ha ottenuto il miglior F1 tra tutti i metodi, con l'ASR che scende allo 0,9% su FlipAttack (rispetto al 100% del vanilla).
• Rifiuto Benigno: Una metrica critica per l'usabilità. MEMBRANE ha mantenuto un tasso di rifiuto benigno del 7–14% su AgentHarm. Questo è sostanzialmente inferiore alle baseline aumentate dalla memoria (28–53%) e alle guardrail statiche (73–85%), dimostrando la sua capacità di distinguere le query benigne dagli attacchi.
• Generalizzazione e Robustezza:
  • Trasferimento Cross-Attack: Le celle indicizzate per strategia hanno mantenuto l'87–88% delle loro prestazioni F1 quando trasferite ad attacchi diversi che condividono lo stesso meccanismo sottostante.
  • Avvelenamento della Memoria (Memory Poisoning): Sotto tassi di iniezione dati del 20% (sia attacchi "Safe-as-Unsafe" che "Unsafe-as-Safe"), MEMBRANE è rimasta stabile, con una deriva dell'ASR inferiore a 1 punto e un filtraggio efficace delle celle avvelenate da parte del Retrieval Critic.
• Latenza: Sebbene l'intero sistema comporti un overhead, una configurazione "MEMBRANE lite" (disabilitando il Retrieval Critic) ha ridotto la latenza a circa 2,3 secondi mantenendo alti punteggi F1, superando baseline pesanti come SmoothLLM.

Significato

Il paper sostiene che il fallimento primario delle precedenti difese basate sulla memoria sia la mancanza di un contrasto esplicito tra input sicuri e non sicuri. Strutturando la memoria come celle contrastive indicizzate per strategia di attacco invece che per tema superficiale, MEMBRME affronta i problemi accoppiati di fragilità della copertura e sovra-rifiuto.

Gli autori affermano che questo approccio permette a una singola cella di memoria di generalizzare attraverso le varianti tematiche dello stesso meccanismo di attacco, pur preservando esplicitamente le query benigne che condividono caratteristiche superficiali. I risultati suggeriscono che una memoria contrastiva auto-evolutiva può fornire una difesa adattiva e implementabile che mantiene un'alta precisione senza sacrificare l'accettazione delle richieste legittime degli utenti, anche di fronte a strategie avversarie in evoluzione e potenziale avvelenamento dei dati.