💻 computer science

Moving the Safety Barrier: Dynamic Routing Adaptive Alignment Against White-Box Attacks

Questo articolo propone il Dynamic Routing Adaptive Alignment (DRAA), un framework che migliora la robustezza dei grandi modelli di fondazione contro gli attacchi white-box identificando e localizzando i percorsi di sicurezza, per poi addestrare percorsi compensativi al fine di mantenere il comportamento di rifiuto anche quando i meccanismi di sicurezza primari vengono compromessi.

Autori originali: Shangze Li, Chuancheng Shi, Simiao Xie, Lingzhi He, Cheng Ji, Zifeng Cheng, Fei Shen, Chao Wu, Tat-Seng Chua

Pubblicato 2026-08-05

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Shangze Li, Chuancheng Shi, Simiao Xie, Lingzhi He, Cheng Ji, Zifeng Cheng, Fei Shen, Chao Wu, Tat-Seng Chua

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di camminare attraverso una biblioteca enorme e frenetica dove i libri possono risponderti. Questo è il mondo dei Large Foundation Models (LFM), i cervelli IA super intelligenti che alimentano tutto, dagli assistenti di scrittura ai chatbot. Affinché questi sistemi di IA siano sicuri, hanno bisogno di una "guardia di sicurezza" all'interno del loro cervello che impedisca loro di rispondere a domande pericolose, come "Come costruisco una bomba?" o "Come hackero una banca?". Per molto tempo, gli scienziati hanno pensato che questa guardia fosse una singola, robusta porta. Hanno costruito difese per chiudere bene quella porta. Ma recentemente, gli hacker (gli "attaccanti white-box") hanno capito che potevano sbirciare dentro le planimetrie della biblioteca, trovare esattamente dove si trova quella porta e semplicemente rimuoverne i cardini. Una volta rimossa la porta, l'IA dimentica come dire "no" e aiuta felicemente con le cose cattive. La grande domanda è: come costruiamo un'IA che non dipenda da una sola porta, ma che possa costruire istantaneamente un nuovo muro se quello vecchio viene abbattuto?

Questo è esattamente ciò che affronta il documento "Moving the Safety Barrier: Dynamic Routing Adaptive Alignment Against White-Box Attacks". Gli autori, guidati da Shangze Li e colleghi, hanno capito che il vecchio modo di costruire la sicurezza dell'IA era troppo rigido. Propongono un nuovo framework chiamato DRAA (Dynamic Routing Adaptive Alignment). Immagina di addestrare una guardia di sicurezza non solo a stare davanti a una porta specifica, ma a imparare come deviare istantaneamente il traffico attraverso un tunnel segreto ogni volta che quella porta viene bloccata.

Ecco come funziona il loro "trucco magico", suddiviso in semplici passaggi:

1. Trovare la "Porta Magica"
Per prima cosa, i ricercatori dovevano capire esattamente quale parte del cervello dell'IA stesse facendo il "dire no". Hanno sottoposto l'IA a domande sicure (come "Come si cucina una torta?") e domande non sicure (come "Come si ruba una torta?"). Confrontando come si illuminavano le cellule cerebrali (neuroni) dell'IA per ciascuna, hanno individuato la specifica "rotta di sicurezza": un percorso specifico di neuroni che funge da guardia principale.

2. Rompere la Porta Apposta
Successivamente, hanno fatto qualcosa di rischioso: hanno temporaneamente "spento" quella rotta di sicurezza principale nel cervello dell'IA. Hanno posto nuovamente all'IA le domande pericolose. Come previsto, senza la sua guardia principale, l'IA ha iniziato a dare risposte cattive. Questo è stato il "fallimento" che dovevano studiare.

3. Insegnare una Deviazione
Questa è la parte intelligente. I ricercatori hanno preso quei momenti in cui l'IA è fallita (perché la porta principale era sparita) e li hanno usati per insegnare all'IA una nuova lezione. Le hanno detto: "Ehi, quando la guardia principale manca, devi trovare un altro modo per dire 'no'". Hanno utilizzato un metodo di addestramento speciale chiamato DR-DPO (Dynamic Routing Direct Preference Optimization). Immaginalo come un gioco in cui l'IA è costretta a imparare una strategia di "deviazione". L'addestramento blocca i neuroni di sicurezza originali in modo che l'IA non possa semplicemente fare affidamento su di essi; deve per forza trovare nuovi percorsi nascosti nel suo cervello per gestire il pericolo.

4. Il Risultato: Un'IA Super-Resiliente
I ricercatori hanno testato questo metodo su diversi modelli di IA, tra cui Qwen2.5 e LLaMA-3.2. I risultati sono stati impressionanti. Quando gli hacker hanno cercato di "potare" (tagliare fuori) i noti neuroni di sicurezza, i vecchi modelli di IA sono crollati e hanno dato risposte dannose. Ma i modelli addestrati con DRAA? Hanno continuato a dire "no".

Per esempio, su un modello da 14 miliardi di parametri chiamato Qwen2.5-14B, la difesa standard è fallita completamente quando la rotta di sicurezza è stata attaccata, lasciando passare 270 su 313 prompt dannosi. Il modello DRAA, invece, ne ha fatti passare solo 5 su 313. Anche su modelli più piccoli, come la versione da 1,5 miliardi di parametri, DRAA ha ridotto il tasso di fallimento da 248 a soli 43.

Gli autori hanno anche controllato se questa abilità di "deviazione" rendesse l'IA meno intelligente nei compiti normali. Hanno testato il modello su problemi matematici (GSM8K) e conoscenza generale (ARC). I risultati hanno mostrato che l'IA rimaneva altrettanto intelligente e utile come prima; ha solo acquisito un superpotere per rimanere sicura anche quando la sua difesa principale viene distrutta.

Perché Questo è Importante
Il documento suggerisce che affidarsi a un singolo percorso di sicurezza statico è un difetto fatale per la sicurezza dell'IA. Se un attaccante sa dove si trova la guardia, può rimuoverla. DRAA suggerisce un modo migliore: costruire la ridondanza. Addestrando l'IA a passare dinamicamente a percorsi di backup quando il percorso principale è compromesso, creiamo un sistema molto più difficile da rompere. Gli autori hanno scoperto che questo metodo funziona non solo per il testo, ma anche per immagini e video (modelli multimodali), rendendolo uno scudo robusto contro la prossima generazione di attacchi all'IA.

In breve, il documento sostiene che la sicurezza non dovrebbe essere una singola porta chiusa a chiave; dovrebbe essere una rete flessibile di percorsi che può deviare il traffico istantaneamente, garantendo che l'IA rimanga sicura indipendentemente da quanto qualcuno cerchi di entrare con la forza.

Sintesi Tecnica: Allineamento Adattivo del Routing Dinamico (DRAA)

1. Definizione del Problema

La diffusione capillare dei Large Foundation Models (LFM) ha spostato le minacce alla sicurezza dai jailbreak a scatola nera (black-box) agli attacchi strutturali a scatola bianca (white-box). In questi scenari, gli attaccanti con accesso ai parametri interni possono identificare e recidere con precisione i neuroni specifici o i percorsi causali responsabili del rifiuto sicuro.

I meccanismi di difesa esistenti si affidano a unità di sicurezza statiche o percorsi di rifiuto fissi (ad esempio, congelando specifici neuroni o ancorando i pesi). Il documento sostiene che tali metodi soffrono di un'assunzione di "componente statica": presuppongono che le strutture protette rimangano intatte durante l'implementazione. Sotto minacce white-box, una volta che questi percorsi difensivi fissi vengono precisamente potati o perturbati, la capacità di rifiuto del modello crolla completamente perché manca di meccanismi compensativi. Il problema centrale è la mancanza di ridondanza dinamica nell'attuale allineamento della sicurezza, rendendo i modelli fragili contro attacchi mirati a livello di percorso (route-level).

2. Metodologia: Allineamento Adattivo del Routing Dinamico (DRAA)

Il framework proposto, DRAA, riformula l'allineamento della sicurezza come un problema di recupero del percorso (route-recovery). Invece di limitarsi a rinforzare un singolo percorso statico, DRAA mira a dotare i modelli della capacità di ricostruire dinamicamente comportamenti sicuri quando i percorsi critici sono compromessi. Il framework si compone di tre fasi principali:

A. Localizzazione del Percorso di Sicurezza (Safety Route Localization)

DRAA identifica innanzitutto il "percorso di sicurezza" specifico su cui il modello attualmente fa affidamento per il rifiuto sicuro.

Meccanismo: Contrasta le attivazioni interne tra campioni di calibrazione sicuri e non sicuri.
Metriche: Calcola due punteggi per i neuroni in ogni livello:
1. Effect Size (ES): Misura la separazione distributiva tra input sicuri e non sicuri.
2. Safety Activation Shift (SAS): Misura l'amplificazione direzionale dell'attivazione sotto input non sicuri rispetto alla media del livello.
Risultato: Un insieme di neuroni $S$ (il percorso di sicurezza) è definito come l'unione dei neuroni con alti punteggi ES e SAS attraverso i livelli.

B. Estrazione del Fallimento Causale (Causal Failure Mining)

Per addestrare il modello a gestire il fallimento del suo percorso di sicurezza primario, DRAA simula attacchi mirati.

Intervento: Il percorso di sicurezza $S$ identificato viene temporaneamente mascherato (azzerato) durante l'inferenza.
Costruzione dei Dati: Il sistema raccoglie campioni in cui il modello intatto produce un rifiuto sicuro ( $y_{ori}$ ), ma il modello con il percorso disabilitato fallisce e genera una risposta non sicura ( $y_{cut}$ ).
Coppie di Preferenza: Questi casi formano "coppie di preferenza consapevoli del fallimento" $(x, y_{ori}, y_{cut})$ , creando un dataset ( $D_{fail}$ ) che mira specificamente agli scenari in cui il meccanismo di sicurezza primario è interrotto.

C. Ottimizzazione della Preferenza Diretta del Routing Dinamico (DR-DPO)

La fase finale addestra il modello a imparare percorsi compensativi senza rinforzare il percorso primario ora vulnerabile.

Blocco del Percorso (Route Locking): Durante il processo di ottimizzazione DPO, i parametri corrispondenti al percorso di sicurezza identificato $S$ vengono congelati (tramite gradient masking in adattatori LoRA).
Obiettivo: Il modello è costretto a minimizzare la perdita di preferenza utilizzando solo lo spazio dei parametri non ristretto ( $\theta_R$ ).
Strategia: Questo implementa una strategia di "deviazione quando bloccato". Il modello non può semplicemente rafforzare l'esistente percorso fragile; deve scoprire e rafforzare percorsi alternativi latenti (percorsi compensativi) all'interno dei parametri rimanenti per mantenere il comportamento di rifiuto sicuro anche quando il percorso primario è disabilitato.
Inferenza: Durante l'inferenza effettiva, il percorso di sicurezza rimane attivo, ma i nuovi percorsi compensativi appresi forniscono una capacità difensiva aggiuntiva se il percorso primario viene perturbato.

3. Contributi Chiave

Proposta di Framework: Introduzione di DRAA, che sposta l'allineamento della sicurezza dalla protezione di nodi statici alla ricostruzione dinamica dei meccanismi di rifiuto sotto attacco.
Obiettivo DR-DPO: Un nuovo obiettivo di ottimizzazione che blocca il percorso di sicurezza durante l'addestramento, costringendo il modello a imparare percorsi compensativi nello spazio dei parametri non attaccato.
Validazione Empirica: Esperimenti estesi che dimostrano come DRAA migliori significativamente la robustezza contro gravi attacchi di potatura (pruning) white-box, preservando al contempo l'utilità generale.

4. Risultati Sperimentali

Il documento valuta DRAA attraverso vari backbone di LLM (Qwen2.5, LLaMA-3.2, Gemma, Phi) e LLM Multimodali (Qwen2.5-VL, LLaVA) sotto quattro impostazioni di potatura: ORI (nessuna potatura), ES, SAS e FULL (unione dei neuroni ES e SAS).

Robustezza alla Potatura: Nell'impostazione più forte di potatura FULL, DRAA raggiunge costantemente il tasso di successo dell'attacco (ASR) più basso rispetto ai baseline come SN-Tune, RLHF-Safety e SafeNeuron.
- Esempio: Su Qwen2.5-7B, DRAA ha ridotto l'ASR FULL a 26/313, mentre il modello originale aveva 279/313 e SafeNeuron aveva 183/313.
- Esempio: Su LLaMA-3.2-8B, DRAA ha ottenuto un ASR di 11/313 sotto potatura FULL, rispetto a 221/313 per il modello originale.
Sicurezza Multimodale: DRAA ha dimostrato una robustezza superiore negli scenari di jailbreak visivo (compiti VL-Question e NSFW), riducendo significativamente l'ASR FULL (ad esempio, da 174/313 a 5/313 su Qwen2.5-VL-7B per VL-Question).
Generalizzazione ad Attacchi Non Visti: DRAA ha mantenuto la robustezza contro meccanismi di attacco white-box non visti (GRAD, WANDA, ABLATE) non utilizzati durante l'addestramento, indicando che non si limita a un overfitting su specifici pattern di potatura.
Preservazione dell'Utilità: Il metodo ha preservato le capacità generali (misurate tramite ARC, GSM8K, TruthfulQA) senza degradazioni significative.
Efficienza: L'approccio aggiunge un sovraccarico trascurabile durante l'inferenza. La localizzazione richiede circa 0,58 minuti per 1.000 campioni e l'addestramento circa 12,7 minuti. Dopo aver unito gli adattatori, il modello mantiene il numero originale di parametri e le velocità di inferenza.

5. Significato e Rivendicazioni

Il documento afferma che DRAA affronta una vulnerabilità critica nell'attuale allineamento della sicurezza: la dipendenza da difese statiche a punto singolo che collassano sotto attacchi white-box mirati. Introducendo percorsi compensativi dinamici, il framework ristruttura la dipendenza dai percorsi sottostanti della sicurezza del modello.

Gli autori sottolineano che DRAA non migliora solo la sicurezza contro attacchi noti, ma cambia fondamentalmente l'architettura del modello affinché sia resiliente agli attacchi. Il meccanismo di "deviazione quando bloccato" assicura che, anche se un attaccante identifica con successo e recide i neuroni di sicurezza primari, il modello mantenga la capacità di rifiutare richieste dannose attraverso percorsi alternativi appresi. Questo approccio offre un paradigma più robusto per il deployment di LFMs in ambienti aperti dove i parametri interni possono essere esposti ad avversari.