TraceRouter: Robust Safety for Large Foundation Models via Path-Level Intervention

技術要約: TraceRouter

問題提起
拡散モデル（DM）、大規模言語モデル（LLM）、マルチモーダルLLM（MLLM）を含む大規模基盤モデル（LFM）は、その高度な能力にもかかわらず、敵対的な操作に対して依然として脆弱である。現在の安全対策は主に「局所性仮説（locality hypothesis）」に依存しており、これは有害な意味論が孤立したニューロンや特定の機能にエンコードされているという仮定に基づいている。その結果、既存の防御策はこれらの局所的なコンポーネントを抑制しようと試みる。しかし、著者らは、LFMにおける有害な意味論は本質的に分散しており、層を跨ぐ複雑な回路を通じて伝播すると主張している。したがって、局所的な介入は脆弱であり、「意味論的漏洩（semantic leakage）」を防ぐことに失敗することも多く、また、無害な機能に従事する多義的なニューロンを破壊することで、モデルの一般的な有用性を不当に低下させてしまう。

手法: TraceRouter
これらの限界に対処するため、著者らは、ニューロンレベルではなくパスレベルで動作する、ユニバーサルな「発見・追跡・切断（Discover-Trace-Disconnect）」フレームワークであるTraceRouterを提案する。このフレームワークは、以下の3つの明確な段階で構成される：

1. 敏感なソースの特定 (Discover):

   • 発症層の検出 (Onset Layer Detection): システムはアテンションの分岐を分析し、「敏感な発症層（$l^*$）」を特定する。これは、敏感なプロンプトが背景となる文脈の乱れとは区別される、ターゲットとなるエンティティへの敏感な修飾子からの有意なアテンションを誘発する最初の層と定義される。
   • 特徴量の解体 (Feature Disentanglement): Top-K 疎な自己符号化器（SAE）を用いて、発症層における高密度なニューラル活性化を、解釈可能な特徴量へと分解する。
   • ニューロンの選択 (Neuron Selection): 敏感なサンプルと非敏感なサンプルの間の微分活性化スコア（$\Delta WFS$）を計算することで、不適切な概念によって特異的にトリガーされる特定の「敏感なニューロン」を分離する。

2. 因果的意味経路の追跡 (Trace):

   • バックプロジェクション (Back-Projection): 特定された疎な特徴量を発症層の密な潜在空間に投影し、ソースニューロンを特定する。
   • ゼロアウト介入 (Zero-Out Intervention): バックボーンモデルにおけるこれらのソースニューロンに対して「ゼロアウト」介入を行い、ダウンストリームへの影響を観察する。
   • 特徴量影響スコア (Feature Influence Score, FIS): 因果的指標であるFISを、ダウンストリームのニューロンに対して算出する。このスコアは、活性化頻度、条件付き平均マグニチュード、およびゼロアウト介入によって引き起こされた活性化の絶対差を組み合わせたものである。高いFIS値は、有害な意味論の伝播において因果的に重要なニューロンであることを示す。

3. 選択的なパスレベルの抑制 (Disconnect):

   • パス分解 (Path Decomposition): いかなるダウンストリーム層においても、活性化ベクトルを、敏感な経路（$Z_P$）と、一般的な有用性に関連する直交する計算ルート（$Z_{\neg P}$）の2つのコンポーネントに分解する。
   • 因果的切断 (Causal Severing): 抑制係数（$\lambda$）を敏感な経路コンポーネント（$Z_P$）に選択的に適用し、直交するルート（$Z_{\neg P}$）をそのまま維持する。これにより、モデルの基礎的な推論能力や生成能力を損なうことなく、有害な情報の因果的フローを物理的に切断する。

主な貢献

• フレームワークの提案: 多様なモデルアーキテクチャ（DM、LLM、MLLM）にわたって、有害な情報のループを自動的に特定し、因果的に遮断するパスレベルの介入フレームワークであるTraceRouterを導入した。
• メカニズムの統合: 特徴量の微細な解体と、ルーティングレベルでの内部ロジックフローの因果的マッピングを実現するために、疎な自己符号化器（SAE）と特徴量影響スコア（FIS）を統合した。
• 実証的検証: 複数のベンチマークにおいて、本手法が有害な意味論が孤立したノードではなく分散した回路に依存していることを示しつつ、一般的な有用性を精密に維持しながら、敵対的な堅牢性を大幅に向上させることを実証した。

実験結果

• 拡散モデル (DMs): Stable Diffusion 1.4において、TraceRouterはI2Pヌードに対して99.2%、暴力に対して93.6%の防御成功率（DSR）を達成した。P4DやRing-A-Bellといった敵対的攻撃に対して優れた堅牢性を示し、ESD、UCE、SNCEなどの最新のベースラインを上回った。極めて重要なことに、高い生成忠実度を維持し、テストされた全手法の中で最高のCLIPスコア（31.27）およびFID（16.24）を達成した。
• 大規模言語モデル (LLMs): LLaMA3-8BおよびMistral-7Bにおいて、TraceRouterは様々なジェイルブレイク攻撃（GCG、AutoDAN、パターンベースの攻撃を含む）に対し、それぞれ平均して99.6%および98.8%のDSRを達成した。特に、脆弱なMistral-7Bの安全性をベースラインの6.6%から98.8%へと引き上げた。
• マルチモーダルLLM (MLLMs): 本手法はLLaVA-1.5およびMiniGPT-4において一貫してSOTAの防御策を上回り、クロスモーダルなリスクを効果的に中和しながら、ほぼ完璧に近い安全性（例：LLaVA-1.5で99.60%）を達成した。
• アブレーションおよび分析:
  • パス vs ニューロン: 実験により、パスレベルの介入がニューロンレベルの抑制よりも大幅に優れていることが確認され、有害な意味論が孤立したノードではなく、分散した回路に依存していることが検証された。
  • 因果的検証: 「パス増幅」実験では、特定されたパスを人工的にブーストすると有害な生成が増加し、抑制すると劇的に減少することが示され、特定された回路の因果的性質が確認された。
  • 有用性の維持: Global-MMLU-LiteおよびMM-Benchにおける有用性評価では、性能低下は無視できる程度（例：LLaMA3-8Bで-0.8%）であり、介入が非常に選択的であり、破滅的な忘却を引き起こさないことが確認された。

意義と主張
論文は、TraceRouterが局所的な抑制から精密な、アーキテクチャに依存しないパスレベルの制御へと、安全介入の根本的な転換をもたらすと主張している。著者らは、このアプローチが有害な意味論の因果的伝播を物理的に切断する一方で、直交する計算ルートを維持すると断言している。これにより、安全性とパフォーマンスの間の緊張関係を解消し、一般的な推論能力や生成能力を損なうことなく、より安全な産業グレードの基盤モデルを構築するための、堅牢で解釈可能かつ効率的な技術的解決策を提供する。本研究は、効果的な安全性には、孤立した活性化ではなく、意味の流れのトポロジー構造を標的にする必要があることを強調している。