ReFrame: Evidence-Guided Test-Time Safety Alignment in Multimodal Large Language Models

Nel mondo in rapida evoluzione dell'intelligenza artificiale, è emersa una nuova generazione di modelli in grado di vedere e parlare simultaneamente. Questi sistemi, noti come modelli linguistici di grandi dimensioni multimodali, non si limitano a elaborare il testo; comprendono le immagini, collegando i dettagli visivi alle parole scritte per rispondere a domande, risolvere problemi e generare contenuti creativi. Tuttavia, questa capacità ampliata di vedere e ragionare porta con sé una nuova e complessa sfida: la sicurezza. Sebbene questi modelli siano progettati per essere utili, a volte possono essere ingannati nel modo da cui ignorano le proprie regole di sicurezza. Un attaccante potrebbe nascondere una richiesta dannosa all'interno di un'immagine o dividere un'istruzione pericolosa tra un'immagine e una frase, confondendo il modello e portandolo a pensare che la richiesta sia innocua. Ciò crea una situazione difficile per gli sviluppatori. Molti dei modelli più potenti sono "black box", ovvero scatole nere, il che significa che il loro funzionamento interno è nascosto e non può essere modificato o riaddestrato da utenti esterni. Quando un modello è già stato distribuito e non può essere modificato, trovare un modo per mantenerlo sicuro senza comprometterne la capacità di essere utile diventa un puzzle critico.

I ricercatori hanno esplorato modi per risolvere questo problema, ma molte soluzioni esistenti richiedono l'accesso al codice interno del modello o comportano un costoso riaddestramento, il che è impossibile per i sistemi chiusi. Un team di scienziati ha ora proposto un approccio diverso chiamato ReFrame, un metodo che agisce come un filtro intelligente prima che il modello veda la richiesta dell'utente. Inveve di cercare di cambiare il modello stesso, ReFrame intercetta l'immagine e il testo in arrivo, li analizza e riscrive la richiesta in una versione più sicura. Questo processo avviene interamente al momento dell'uso, senza dover toccare le impostazioni interne del modello o riaddestrarlo su nuovi dati. Il sistema è progettato per intercettare i pericoli nascosti che potrebbero sfuggire alle difese standard, garantendo al contempo che il modello risponda efficacemente anche alle domande legittime.

Il nucleo del problema identificato dai ricercatori è che questi modelli spesso danno priorità all'essere utili rispetto all'essere sicuri. Quando un utente pone una domanda, la spinta primaria del modello è quella di completare il compito, il che può talvolta causarlo di trascurare rischi sottili nascosti in un'immagine o in una struttura testuale complicata. Inoltre, una volta che un modello inizia a seguire un filo di ragionamento, può incastrarsi su un percorso dannoso, continuando a generare contenuti non sicuri anche se si rende conto del pericolo in un secondo momento. Per risolvere questo problema, i ricercatori hanno costruito un sistema a due fasi che utilizza una versione più piccola e locale di un modello di IA per agire come un guardiano. Questo guardiano non risponde direttamente alla domanda dell'utente. Invece, esamina la richiesta e crea due riassunti specifici, o "schede", che descrivono la situazione.

La prima scheda, la scheda del rischio, cerca eventuali pericoli nascosti. Chiede: C'è un intento dannoso celato nell'immagine o nel testo? Se la risposta è sì, identifica esattamente quale sia il pericolo e pianifica come riscrivere la richiesta per rimuovere la minaccia. La seconda scheda, la scheda dell'utilità, si concentra su ciò che deve essere salvato. Chiede: Quali parti della richiesta sono innocue e utili? Ciò assicura che, quando le parti pericolose vengono rimosse, il modello non scarti l'intera domanda o rifiuti di aiutare su un argomento che è in realtà sicuro. Separando il rischio dall'utilità, il sistema può prendere una decisione precisa su come procedere.

Una volta create queste due schede, entra in gioco una seconda fase. Questa parte del sistema combina le informazioni di entrambe le schede per riscrivere la richiesta originale. Se la richiesta era sicura fin dall'inizio, la fa passare con solo piccoli aggiustamenti. Se la richiesta conteneva una trappola nascosta, il sistema riscrive il prompt per guidare il modello verso una risposta sicura e utile. Ad esempio, se un utente chiede istruzioni su come commettere un crimine ma le inquadra come uno scenario di gioco, il sistema riconosce l'involucro del gioco come un travestimento. Rimuove le istruzioni del gioco e riscrive il prompt per chiedere informazioni su alternative sicure o legali. Fondamentalmente, il sistema decide anche se inviare l'immagine originale insieme al testo riscritto. A volte l'immagine stessa contiene l'indizio pericoloso, quindi il sistema la blocca. Altre volte, l'immagine è innocua e necessaria per la risposta, quindi viene autorizzata a passare.

I ricercatori hanno testato questo metodo su diversi modelli differenti, inclusi alcuni dei sistemi commerciali più avanzati disponibili oggi. Hanno utilizzato una vasta gamma di test progettati per trarre in inganno i modelli portandoli a violare le loro regole di sicurezza, così come test per vedere se i modelli potevano ancora rispondere a domande normali su matematica, scienza e oggetti quotidiani. I risultati hanno mostrato che il nuovo metodo è stato altamente efficace nel bloccare richieste dannose che altre difese avevano mancato. Ha bloccato con successo attacchi in cui il pericolo era nascosto nel modo in cui un'immagine veniva specchiata o dove il testo era stato rimescolato per nascondere un intento malvagio. Allo stesso tempo, non ha reso i modelli eccessivamente cauti. Nei casi in cui gli utenti ponevano domande sicure su temi sensibili come la medicina o la chimica, il sistema ha permesso ai modelli di fornire risposte utili invece di rifiutarsi di parlarne.

Lo studio ha anche esaminato quanto tempo in più richiedesse questo processo. Poiché il sistema utilizza un modello locale più piccolo per effettuare la riscrittura prima che il modello principale risponda, aggiunge un piccolo ritardo, ma i ricercatori hanno scoperto che questo costo è gestibile. Il metodo si è dimostrato flessibile, funzionando bene con diversi tipi di modelli e diverse dimensioni del guardiano locale. Ciò suggerisce che l'approccio non è legato a una tecnologia specifica, ma può essere applicato ampiamente. I risultati indicano che analizzando attentamente l'intento dietro una coppia immagine-testo e riscrivendo la richiesta prima che raggiunga il modello principale, è possibile migliorare significativamente la sicurezza senza sacrificare la capacità del modello di essere utile. Ciò offre una via pratica per mantenere sicuri i potenti sistemi di IA, anche quando il loro funzionamento interno non può essere modificato.