Riepilogo Tecnico: STEER – Sfruttamento del Target di Embedding della Sicurezza tramite Raffinamento

1. Definizione del Problema

Il documento identifica una vulnerabilità critica nell'allineamento della sicurezza dei Large Language Model (LLM): la lacuna di copertura epistemica. L'attuale addestramento alla sicurezza è condotto quasi esclusivamente in inglese, creando "conoscenze ignote" (unknown unknowns) in cui i modelli non riescono a riconoscere richieste dannose espresse in lingue a basse risorse o in codice misto (code-switching).

A differenza degli operatori umani, che potrebbero esprimere incertezza di fronte a pattern linguistici sconosciuti, gli LLM mostrano un'estrapolazione eccessivamente sicura. Essi generano con fiducia risposte dannose a questi input fuori distribuzione perché i loro meccanismi di sicurezza sono calibrati solo su dati in inglese. Il documento sostiene che questo non sia semplicemente un problema di robustezza avversaria, ma un fallimento fondamentale della copertura dell'addestramento. Inoltre, la ricerca sull'interpretabilità meccanicistica (Arditi et al., 2024) ha rivelato che il fine-tuning della sicurezza concentra il meccanismo di rifiuto in una singola direzione lineare nel residuo dello stream del modello. Ciò crea un "punto di fallimento singolo" che può essere sfruttato se le parole specifiche che attivano tale direzione vengono identificate e neutralizzate.

2. Metodologia: L'attacco STEER

Gli autori introducono STEER (Safety Targeted Embedding Exploit via Refinement), un attacco guidato dal gradiente che sfrutta la struttura geometrica del circuito di sicurezza interno del modello. Invece di utilizzare perturbazioni brute-force o code-switching casuale, STEER legge sistematicamente le rappresentazioni interne del modello per aggirare il meccanismo di rifiuto.

L'attacco procede in quattro fasi sequenziali:

1. Selezione dello Strato tramite Discriminante Lineare di Fisher (FLD):
   La direzione del rifiuto non è ugualmente leggibile in tutti gli strati del transformer. STEER identifica automaticamente lo strato ($l^*$) in cui il segnale di sicurezza è più concentrato utilizzando il rapporto del Discriminante Lineare di Fisher. Questo strato funge da punto focale per l'attacco. La nitidezza del picco FLD funge anche da metrica per la vulnerabilità strutturale del modello.

2. Pre-elaborazione tramite Parafrasi:
   Prima dell'analisi del gradiente, la richiesta dannosa viene parafrasata (utilizzando GPT-4o) per sostituire le parole chiave esplicite con formulazioni indirette. Ciò riduce il punteggio di rifiuto iniziale e fornisce un segnale più pulito per la successiva attribuzione del gradiente.

3. Attribuzione dei Token basata sul Gradiente:
   Il modello calcola l'attribuzione del gradiente di ogni token di input rispetto alla direzione di rifiuto identificata ($r$) allo strato $l^*$. Questo quantifica quanto ogni parola contribuisca ad attivare il circuito di sicurezza. Le parole con i punteggi di attribuzione più elevati vengono identificate come i trigger primari per il rifiuto.

4. Code-Switching Iterativo:
   L'attacco sostituisce iterativamente le parole con la maggiore attribuzione con le loro traduzioni in un pool di 11 lingue (incluse lingue a basse risorse come il giavanese e lo swahili, e script non latini come il thailandese e l'arabo). Per ogni parola, il sistema seleziona la traduzione che minimizza il punteggio di rifiuto (il prodotto scalare tra l'embedding del prompt e la direzione di rifiuto). Questo ciclo si ripete fino a 8 volte o finché un giudice non conferma un jailbreak riuscito.

3. Contributi Chiave

Il documento presenta quattro contributi principali:

1. La Pipeline STEER: Un metodo di attacco mirato che ottiene alti tassi di successo sfruttando le specifiche proprietà geometriche dell'allineamento della sicurezza, superando il code-switching casuale e gli attacchi di suffisso basati sul gradiente (GCG).
2. Metodo FLD per la Selezione dello Strato: Un metodo automatico per localizzare lo strato più leggibile per la direzione di rifiuto, che quantifica anche la vulnerabilità strutturale della codifica di sicurezza di un modello.
3. Valutazione Esaustiva: Test estesi su sei modelli open-source da 8 miliardi di parametri (Llama-3, Mistral, Gemma, Qwen, DeepSeek, GLM) e tre benchmark (JailbreakBench, HarmBench, AdvBench), per un totale di oltre 3.000 tentativi di attacco.
4. Generalizzazione della Struttura di Rifiuto: Evidenza empirica che la direzione di rifiuto lineare identificata da Arditi et al. (2024) si generalizza attraverso modelli architettonicamente diversi, suggerendo che si tratti di una proprietà sistematica degli attuali metodi di allineamento piuttosto che di un artefatto di una specifica ricetta di addestramento.

4. Risultati Sperimentali

STEER dimostra prestazioni superiori rispetto ai baseline (Direct, Random Code-Switching/CSRT, e GCG) in tutti i modelli e benchmark testati:

• Tasso di Successo dell'Attacco (ASR): STEER raggiunge fino al 93% di ASR su JailbreakBench e il 96,7% su AdvBench attraverso i sei modelli.
  • Su DeepSeek-R1 e Qwen3-8B, dove CSRT e GCG si assestano sotto il 50%, STEER raggiunge l'80–85%.
  • Su GLM-4-9B, GCG crolla al 39% mentre STEER raggiunge il 93%.
• Efficienza: L'attacco è altamente efficiente, con la maggior parte dei successi che avviene nelle prime iterazioni. La curva delle prestazioni tipicamente si stabilizza dopo 8 iterazioni.
• Trasferibilità Black-Box: I prompt creati da STEER su modelli open-source si trasferiscono a GPT-4o-mini con un ASR medio del 35,5%, superando significativamente GCG (29,3%) e CSRT (13,9%). Ciò suggerisce che l'attacco colpisca una struttura geometrica condivisa comune ai modelli addestrati con procedure di allineamento simili.
• Studi di Ablazione:
  • Selezione dello Strato: L'uso dello strato selezionato tramite FLD (ad esempio, lo strato 17 per Llama-3-8B) produce tassi di successo significativamente più alti rispetto all'uso del primo o dell'ultimo strato.
  • Pool Linguistico: L'utilizzo di tutte le 11 lingue è critico; limitare il pool alle prime 5 o a singole lingue riduce drasticamente i tassi di successo.
  • Parafrasi: Rimuovere la fase di parafrasi causa un calo massiccio dell'ASR (19–44 punti percentuali), confermando il suo ruolo nel ridurre l'attivazione iniziale del circuito di rifiuto.

5. Significato e Rivendicazioni

Il documento inquadra la sicurezza degli LLM non come un problema di robustezza avversaria, ma come un problema di copertura epistemica. La tesi centrale è che gli attuali meccanismi di sicurezza siano fragili perché si affidano a una singola direzione lineare calibrata sull'inglese.

• L'Interpretabilità Meccanicistica come Abilitatore: Lo studio dimostra che i risultati dell'interpretabilità meccanicistica (specificamente l'esistenza di una direzione di rifiuto) sono sufficienti per costruire attacchi mirati. Qualsiasi meccanismo di sicurezza identificato e localizzabile è, in linea di principio, un progetto per disabilitarlo.
• Vulnerabilità Sistemica: Il fatto che STEER funzioni su diverse architetture e si trasferisca a modelli chiusi implica che la vulnerabilità sia inerente alle attuali pratiche di allineamento (RLHF, DPO, ecc.) piuttosto che a specifiche architetture di modelli.
• Implicazioni per la Difesa: Gli autori sostengono che le difese superficiali (filtri di output, classificatori di prompt) siano insufficienti. Per colmare il divario, l'addestramento alla sicurezza deve essere ampliato per coprire l'intera distribuzione di input multilingue, e i modelli devono essere accoppiati con meccanismi di astensione principiata per gestire gli input fuori distribuzione in cui manca la copertura di sicurezza.
• Strumento di Audit: L'analisi FLD è proposta come un criterio rigoroso per l'audit della sicurezza del modello prima del deployment; un picco singolo e netto in un unico strato indica una codifica di sicurezza fragile e facilmente sfruttabile.

In conclusione, il documento sostiene che se un modello può essere sottoposto a jailbreak traducendo solo poche parole in lingue a basse risorse, la sua copertura di sicurezza non è reale. La soluzione richiede l'espansione della copertura dell'addestramento e il superamento della codifica di sicurezza a singola direzione.