Riepilogo Tecnico: L'illusione della sicurezza cross-linguistica nelle lingue a basse risorse

Problematica

L'attuale allineamento della sicurezza nei Large Language Models (LLM) è sviluppato prevalentemente utilizzando lingue ad alte risorse, in particolare l'inglese. L'assunto prevalente è che tali salvaguardie di sicurezza si generalizzino universalmente attraverso contesti multilingue, formando un "manifold di danno" indipendente dalla lingua. Tuttavia, tale assunto rimane inesplorato, specialmente per quanto riguarda le lingue a basse risorse.

I paradigmi di valutazione esistenti si affidano pesantemente a traduzioni letterali, ignorando metafore culturalmente specifiche, linguaggi in codice e sfumature pragmatiche. Poiché i modelli spesso elaborano la logica di sicurezza attraverso un percorso interno di "pensare in inglese", le sfumature culturali perse nella traduzione latente possono eludere completamente l'allineamento. Ciò crea errori strutturali di mappatura che permettono ad attori avversari di sfruttare jailbreak semantici utilizzando metafore localizzate. La "maledizione della multilinguità" suggerisce che i dati ad alte risorse oscurino le sfumature linguistiche a basse risorse, sollevando la questione se i modelli apprendano realmente un concetto di sicurezza universale o se mappino semplicemente trigger sintattici su un filtro centrato sull'inglese.

Metodologia

Per investigare il trasferimento della sicurezza cross-linguistica senza fare affidamento su valutazioni basate sulla generazione potenzialmente instabili, gli autori propongono un Framework Geometrico Latente. Questo approccio sonda le rappresentazioni degli stati nascosti durante l'inferenza per analizzare come i concetti di sicurezza vengano mappati attraverso i confini linguistici.

1. Costruzione del Dataset: LoDNA

Gli autori introducono LoDNA (Low-resource Do-Not-Answer), un dataset di sicurezza per quattro lingue africane: Twi, Hausa, Amarico e Swahili.

• Costruzione: Il dataset estende il dataset inglese Do-Not-Answer (DNA). Comporta un processo in due fasi: (1) traduzione letterale e correzione da parte di madrelingua, e (2) localizzazione del contesto culturale, in cui i prompt vengono riscritti per allinearsi a usi linguistici culturalmente radicati e naturalmente occorrenti, preservando al contempo l'intento dannoso.
• Confronto: Lo studio confronta Safe English ($S_{en}$), Unsafe English ($U_{en}$), Safe Target Language ($S_{\ell}$), Literal Harmful Target Language ($L_{\ell}$) e Culturally Localized Harmful Target Language ($C_{\ell}$).

2. Analisi Geometrica

Il framework analizza gli stati nascosti ($h_k(x)$) estratti dai layer transformer medi-tardivi (specificamente i layer 14–24) attraverso quattro modelli: Mistral, Llama, Qwen2.5 e AfriqueQwen.

• Vettori di Rifiuto: La direzione di rifiuto inglese è definita come $r_{en}^k = \mu_k(U_{en}) - \mu_k(S_{en})$. Gli spostamenti dannosi della lingua target sono definiti similmente ($r_{\ell, lit}^k$ e $r_{\ell, ctx}^k$).
• Metriche:
  • Similarità del Coseno: Misura l'allineamento tra la direzione di rifiuto inglese e i vettori della lingua target.
  • Signed Retained Component (SRC): Calcola la percentuale della direzione di rifiuto inglese recuperata dallo spostamento della lingua target.
  • Drift per Layer: Calcola la differenza nei prodotti scalari grezzi tra i prompt letterali e quelli culturali rispetto alla direzione di rifiuto inglese ($Drift_k = RawDot_A - RawDot_B$).
  • Proiezione PCA: Proietta i prompt della lingua target sul piano di sicurezza definito dall'inglese per osservare il comportamento di clustering.
  • Linear Probing: Addestra probe logistici sugli stati nascosti inglesi e li valuta zero-shot sui prompt della lingua target per testare l'isolamento rappresentazionale.

3. Fondamento Comportamentale

Per complementare i risultati geometrici, gli autori utilizzano la Normalized Sequence Log-Likelihood (SLL) e la Probabilità di Rifiuto. Queste metriche misurano la probabilità che il modello generi sequenze di rifiuto standard (es. "I'm sorry", "Samahani") attraverso diverse lingue, correggendo le discrepanze di tokenizzazione.

Contributi Chiave

1. Dataset LoDNA: Costruzione di dataset di sicurezza per Twi, Amarico, Hausa e Swahili, accoppiando traduzioni letterali con prompt culturalmente localizzati.
2. Valutazione Localizzata: Adattamento di prompt inglesi curati dalla comunità in Twi con contesti ghanesi, consentendo la valutazione oltre i contesti eurocentrici.
3. Framework Geometrico Latente: Una nuova metodologia per analizzare l'allineamento della sicurezza cross-linguistica a livello rappresentazionale, evitando il ricorso alla generazione di testo.
4. Diagnosi Meccanicistica: Analisi che distingue se i fallimenti della sicurezza derivino dalla complessità semantica culturalmente radicata o da debolezze strutturali nella mappatura cross-linguistica.

Risultati e Conclusioni

1. Limitato Trasferimento Cross-Linguistico

Lo studio rileva che il trasferimento della sicurezza cross-linguistica è severamente limitato.

• Perdita di Segnale: I prompt dannosi nelle lingue target conservano meno del 10% del segnale di rifiuto inglese nella maggior parte delle coppie di modelli linguistici.
• Similarità del Coseno: La similarità del coseno tra i vettori di rifiuto della lingua inglese e della lingua target è generalmente vicina allo zero o negativa.
• Eccezione: Lo Swahili nel modello Llama mostra un'anomalia localizzata con un maggiore allineamento (circa il 27% di componente trattenuta), ma questo non si generalizza ad altre architetture (Mistral, Qwen2.5) o altre lingue.

2. Geometria Specifica per Lingua vs. Manifold Universale

• Proiezioni PCA: Quando proiettati sul piano di rifiuto inglese, i prompt delle lingue target (Hausa, Twi, Amarico) formano cluster compatti e specifici per lingua che non si sovrappongono alla regione di pericolo inglese. Ciò confuta l'esistenza di un manifold di danno completamente universale e indipendente dalla lingua.
• Rappresentazioni Isolate: Sebbene i prompt letterali e culturali siano semanticamente allineati all'interno della lingua target (coseno 0.95–0.996), essi divergono significativamente attraverso i layer rispetto alla baseline di sicurezza inglese. Ciò suggerisce che i modelli codifichino i concetti ma falliscano nellı indirizzarli ai meccanismi di sicurezza.

3. Fallimenti di Mappatura Strutturale

• Analisi del Drift: I prompt letterali e culturali divergono nella loro attivazione dei meccanismi di sicurezza. Ad esempio, in Hausa e Twi, le traduzioni letterali spesso attivano la direzione di rifiuto inglese più fortemente dei contesti culturali. Al contrario, l'Amarico mostra un drift negativo in Qwen2.5, dove i prompt culturali si allineano meglio.
• Differenze di Architettura: I modi di fallimento variano per architettura. Llama presenta un allineamento grezzo negativo nei layer successivi per la maggior parte delle lingue; Mistral mostra un allineamento debole e instabile; Qwen2.5 mostra grandi attivazioni grezze ma una bassa ritenzione del segnale di rifiuto inglese.

4. Conferma Comportamentale

• Probabilità di Rifiuto: La probabilità di emettere una sequenza di rifiuto standard è catastroficamente bassa (circa l'1.05% per i prompt letterali e l'1.15% per quelli culturali), il che significa che i modelli falliscono nell'iniziare un rifiuto in oltre il 98% dei casi.
• Output Qualitativi: I modelli spesso generano risposte coerenti e grammaticalmente corrette nelle lingue a basse risorse che aderiscono attivamente alle richieste dannose. Ciò indica che il modello comprende la lingua e l'intento, ma fallisce nel dirigere tale comprensione verso il meccanismo di rifiuto.
• Problemi di Tokenizzazione: Una severa frammentazione della tokenizzazione, in particolare nell'Amarico, porta alla corruzione dello script e a output non lessicali, distorcendo ulteriormente l'analisi geometrica.

Significato e Assertions

L'articolo sostiene che l'attuale allineamento della sicurezza multilingue sia superficiale. L'assunto di un manifold di danno universale e indipendente dalla lingua non è supportato dalle prove nelle lingue a basse risorse studiate. Invece, i meccanismi di sicurezza sembrano essere strutturalmente strozzati da un addestramento centrato sull'inglese, creando un gap rappresentazionale dove i prompt dannosi in lingua target non riescono a entrare nel confine di sicurezza appreso.

Gli autori concludono che:

1. I fallimenti della sicurezza nelle lingue non inglesi derivano sia da limitazioni strutturali della mappatura cross-linguistica sia dalla sensibilità alla forma del prompt (contesto culturale).
2. I metodi di valutazione attuali che si basano su traduzioni letterali e metriche basate sulla generazione sono insufficienti.
3. Una sicurezza multilingue robusta richiede non solo una maggiore copertura linguistica, ma anche una comprensione più profonda di come i concetti rilevanti per la sicurezza siano rappresentati e attivati attraverso i contesti linguistici e culturali.

Lo studio sottolinea che questi risultati sono correlazionali e osservazionali, derivati da modelli con 7B-8B parametri, e che sono necessari futuri lavori per affrontare i meccanismi causali e le scale maggiori dei modelli.