Riepilogo Tecnico: NeuronFuzz

Problema

La valutazione della sicurezza è fondamentale per garantire che i Large Language Models (LLM) allineati rimangano robusti contro gli attacchi di jailbreak. Tuttavia, i metodi di test automatizzati esistenti si affidano pesantemente al feedback a livello di risposta. In questo paradigma, ogni prompt candidato deve essere inviato al modello target, deve essere generata una risposta tramite decodifica autoregressiva e l'output deve essere valutato da un classificatore o da un giudice. Questo approccio presenta due limitazioni fondamentali:

1. Feedback di Ricerca Sparso: Sui modelli fortemente allineati, la maggior parte dei prompt mutati viene rifiutata, risultando nello stesso esito di "fallimento". La valutazione a livello di risposta non può distinguere tra un candidato che lascia invariato il meccanismo di sicurezza e uno che lo indebolisce significativamente ma non riesce a produrre un jailbreak efficace. Questa mancanza di granularità lascia i fuzzer con una guida limitata su quali candidati mantenere.
2. Generazione di Risposte Costosa: Generare una risposta completa per ogni candidato è computazionalmente costoso rispetto all'elaborazione del solo prompt di input. Ciò crea un collo di bottiglia per la scalabilità dell'automazione del fuzzing, che richiede la valutazione di un gran numero di candidati.

Metodologia: NeuronFuzz

Il paper propone NeuronFuzz, un framework di fuzzing white-box che sostituisce la costosa e sparsa valutazione a livello di risposta con un feedback interno continuo derivato dalle attivazioni dei neuroni di sicurezza. Il framework opera in due fasi principali:

1. Costruzione della SafetyOracle

Il cuore di NeuronFuzz è una SafetyOracle leggera che mappa le attivazioni interne del modello in un "punteggio di allarme di sicurezza" continuo ($S_{alarm}$).

• Estrazione delle Attivazioni Invariante dal Template: Per garantire che il segnale catturi l'intento dannoso piuttosto che gli artefatti del template di jailbreak, gli autori costruiscono coppie di input che condividono lo stesso template di jailbreak ma contengono payload dannosi o benigni. Estraggono le attivazioni dalle proiezioni gate e up dei blocchi MLP del Transformer durante la fase di prefill (prima della generazione della risposta).
• Selezione dei Neuroni Sensibile alla Stabilità: Le attivazioni grezze sono ad alta dimensionalità e rumorose. Gli autori impiegano un processo di selezione della stabilità basato su bootstrap per identificare un set compatto di "neuroni di sicurezza". Questi sono neuroni che mostrano costantemente coefficienti positivi per input dannosi attraverso set di addestramento ricampionati, garantendo la robustezza rispetto alla variazione del campionamento.
• Testa di Punteggio (Scoring Head): Un modello di regressione logistica con regolarizzazione Elastic Net viene addestrato per mappare le attivazioni dei neuroni selezionati in un punteggio continuo $S_{alarm}(x) \in (0, 1)$. Un punteggio più alto indica un riconoscimento interno più forte dell'intento dannoso, mentre un punteggio più basso suggerisce che il meccanismo di sicurezza venga eluso.

2. Pipeline di Fuzzing Guidata dal Gradiente

NeuronFuzz integra la SafetyOracle in un ciclo di fuzzing che evita la generazione di risposte per i candidati intermedi:

• Scheduling dei Seed: Utilizza il Monte Carlo Tree Search (MCTS) per selezionare i template di jailbreak promettenti per la mutazione.
• Mutazione Guidata dal Gradiente: Poiché il punteggio della SafetyOracle è differenziabile rispetto agli embedding di input, il framework calcola i gradienti per identificare le posizioni dei token sensibili alla sicurezza all'interno del template.
• Mutazione Compatibile con il Contesto: Un modello di linguaggio mascherato (MLM) viene utilizzato per generare sostituzioni fluide per le posizioni sensibili selezionate. Fondamentalmente, le mutazioni sono limitate al solo template di jailbreak; il payload dannoso rimane congelato. Ciò preserva la struttura del linguaggio naturale e il nucleo dell'intento dannoso pur esplorando le variazioni nella formulazione del prompt.
• Ciclo di Feedback: I candidati vengono valutati tramite un passaggio di solo prefill per raccogliere le attivazioni dei neuroni di sicurezza. La SafetyOracle assegna un punteggio continuo, che funge da segnale di ricompensa per aggiornare lo scheduler dei seed. Il modello target genera una risposta solo per la verifica finale di un jailbreak riuscito.

Contributi Chiave

1. Nuova Prospettiva di Fuzzing: Introduce l'uso delle attivazioni interne dei neuroni di sicurezza come feedback di esecuzione, sostituendo la costosa valutazione a livello di risposta con un segnale continuo disponibile durante il prefill.
2. Design della SafetyOracle: Sviluppa una oracle leggera basata sull'estrazione di attivazioni invarianti dal template e sulla selezione di neuroni sensibile alla stabilità. Il suo punteggio differenziabile guida sia la classificazione dei candidati che la localizzazione delle posizioni dei token del template sensibili alla sicurezza.
3. Framework NeuronFuzz: Combina il feedback di solo prefill con la mutazione di token mascherati guidata dal gradiente per esplorare efficientemente i template di jailbreak preservando il payload dannoso e la struttura del linguaggio naturale.
4. Valutazione Estensiva: Valida l'approccio su 21 modelli testuali e multimodali, dimostrando miglioramenti nel discovery di jailbreak, nell'efficienza e nella trasferibilità.

Risultati Sperimentali

Gli autori hanno valutato NeuronFuzz su cinque modelli sorgente white-box (DeepSeek-R1-14B, GPT-OSS-20B, Gemma-3-4B-it, Gemma-4-E4B-it, Llama-3.1-8B-Instruct) e ne hanno testato la trasferibilità su altri 16 modelli target (inclusi API proprietarie).

• Tasso di Scoperta del Jailbreak (JDR): NeuronFoll ha raggiunto un JDR del 76–100% sui cinque modelli sorgente, superando i baseline (GCG, AutoDAN, PAIR, LLM-Fuzzer) fino a 48 punti percentuali sui modelli fortemente allineati (ad esempio, 96% su GPT-OSS-20B rispetto al 48% di LLM-Fuzzer).
• Efficienza: Eliminando la generazione di risposte per i candidati intermedi, NeuronFuzz ha ottenuto un Response Generations per Discovery (RGD) di 1.0 (generando una risposta solo per la verifica finale). Ciò ha portato a un tempo end-to-end (ETD) per scoperta significativamente inferiore rispetto ai baseline, che spesso richiedevano centinaia di generazioni di risposte.
• Template Universali: Il framework ha ottimizzato con successo i template condivisi che si generalizzano attraverso diversi payload dannosi, raggiungendo un Ensemble Attack Success Rate (EASR) del 92.6% (top-5 template) sui target white-box.
• Trasferibilità: I template ottimizzati si sono trasferiti zero-shot su modelli target open-weight e proprietari. Sui modelli open-weight, l'approccio ha ottenuto un ASR medio del 69.6% e un EASR dei top-5 del 92.6%. Sulle API proprietarie, ha ottenuto un ASR medio del 44.1% e un EASR dei top-5 del 60.0%.
• Validità della Oracle: Il punteggio di allarme di sicurezza ha mostrato una forte correlazione negativa (coefficienti di Spearman $\approx -0.96$) con i tassi di successo del jailbreak, confermando che i punteggi di sicurezza interni bassi predicono in modo affidabile i jailbreak riusciti anche prima che venga generata una risposta.

Significato e Rivendicazioni

Il paper sostiene che NeuronFuzz affronti le inefficienze fondamentali degli attuali test di sicurezza automatizzati sfruttando lo stato interno degli LLM. La sua importanza risiede nel:

• Superamento della Sparsità: Fornire un segnale di feedback denso e continuo che permette ai fuzzer di distinguere tra candidati falliti "promettenti" e "non promettenti", una capacità assente nei metodi a livello di risposta.
• Scalabilità: Ridurre drasticamente il costo computazionale della valutazione della sicurezza eliminando la necessità di decodifica autoregressiva durante la fase di ricerca.
• Robustezza: Dimostrare che i segnali di sicurezza interni rimangono informativi anche sui modelli fortemente allineati dove il feedback a livello di risposta è spesso binario e non informativo.

Gli autori posizionano NeuronFuzz come uno strumento per valutatori autorizzati (sviluppatori, auditor) per identificare sistematicamente le debolezze della sicurezza prima del deployment, e come un metodo per gli avversari per ottimizzare i jailbreak trasferibili, evidenziando la natura dual-use dell'analisi interna del modello.