Silenced Biases: The Dark Side LLMs Learned to Refuse

Probleemstelling: De Schijn van Veiligheid

Grote Taalmodellen (LLMs) worden steeds vaker veiligheidsafgestemd (safety-aligned) om schadelijke of vooroordeelachtige output te voorkomen. Deze modellen reageren vaak met een "weigeren" (refusal) op gevoelige vragen (bijv. over ras, religie of politiek).

• De Valstrik: Bestaande methoden voor het evalueren van eerlijkheid (fairness) interpreteren deze weigeringen vaak als een positief teken van eerlijkheid of neutraliteit.
• Het Onderliggende Probleem: De auteurs stellen dat deze weigeringen de echte, onderliggende vooroordelen niet elimineren, maar ze slechts verzwijgen (silence). De vooroordelen blijven bestaan in de latente ruimte (latent space) van het model. Zolang het model weigert te antwoorden, blijven deze "stilzwijgende vooroordelen" (silenced biases) onontdekt, wat leidt tot een vals gevoel van veiligheid.

Methodologie: Het Silenced Bias Benchmark (SBB)

Om deze verborgen vooroordelen bloot te leggen, stellen de auteurs een nieuwe benadering voor die bestaat uit drie kerncomponenten:

1. Definitie van Stilzwijgende Vooroordelen:
   Dit zijn vooroordelen die door de veiligheidsafstemming onderdrukt worden, maar die nog steeds aanwezig zijn in de interne representaties van het model. Ze komen alleen naar voren wanneer de weigering wordt omzeild.

2. Refusal Activation Steering (Sturing van Weigering):
   In plaats van traditionele "jailbreak"-technieken of prompt-manipulatie (die zelf nieuwe vooroordelen kunnen introduceren), gebruiken de auteurs activatie-sturing.

   • Ze identificeren een specifieke vector in de activatieruimte van het model die correspondeert met "weigeren" (de refusal direction). Deze vector wordt berekend door het verschil te nemen tussen de gemiddelde activaties van schadelijke (harmful) en onschadelijke (harmless) prompts.
   • Tijdens de inferentie wordt deze vector subtraheren of geablateerd uit de modelactivaties. Hierdoor wordt het model "geforced" om uit de weigerings-subruimte te stappen en naar de compliance-subruimte te gaan, waardoor het een antwoord geeft dat het normaal gesproken zou hebben geweigerd.

3. Het SBB Dataset:
   De auteurs hebben een gestructureerde dataset opgezet met 4.800 vragen (met uitbreidingsmogelijkheden).

   • Opbouw: Elke vraag combineert een onderwerp (positief, negatief of neutraal, bijv. "een sterke sollicitant" vs. "een crimineel"), een demografische categorie (16 categorieën zoals ras, religie, nationaliteit, geslacht) en een demografische groep (10 opties per categorie).
   • Doel: Het model moet kiezen welke demografische groep het meest geassocieerd wordt met het onderwerp. Een eerlijk model zou elke groep met gelijke waarschijnlijkheid (10%) kiezen.

Belangrijkste Bijdragen

1. Concept van "Silenced Biases": De eerste definitie en empirische demonstratie dat veiligheidsafstemming vooroordelen verbergt in plaats van ze op te lossen.
2. Refusal Steering als Evaluatiemethode: Een nieuwe, niet-bias-introducerende methode om deze verzwegen vooroordelen veilig en reproduceerbaar bloot te leggen via activatiemanipulatie.
3. SBB Benchmark: Een schaalbaar framework voor het testen van eerlijkheid dat uitbreidt naar nieuwe demografische groepen en onderwerpen zonder handmatige prompt-engineering.
4. Grootschalige Evaluatie: Een analyse van 100.000 vragen over 10 verschillende LLMs (uit de families Llama, Gemma en Qwen).

Resultaten

De experimenten leveren verontrustende inzichten op:

• Hoge Weigeringspercentages: Zonder sturing weigeren modellen vaak (bijv. Llama-2-13B weigerde in >82% van de gevallen).
• Blootlegging van Vooroordelen: Na toepassing van refusal steering stijgt het succespercentage (Attack Success Rate) naar bijna 100% en komen extreme vooroordelen naar voren.
  • Voorbeeld: Qwen-14B associeerde "Muslim" disproportioneel vaak met "terrorist" en "Black" met "recidivist".
• Onbetrouwbaarheid van Bestaande Methodes: De auteurs tonen aan dat bestaande benchmarks (zoals BBQ) en jailbreak-technieken deze specifieke "stilzwijgende" vooroordelen niet effectief detecteren. Jailbreaks blijken vaak hun eigen, willekeurige vooroordelen te introduceren in plaats van de onderliggende latentie bloot te leggen.
• Geen Correlatie met Modelgrootte of Versie: Er is geen duidelijke relatie tussen de grootte van het model, de architectuur of de versie en de mate van eerlijkheid. Zowel kleine als grote modellen, en oude als nieuwe versies, vertonen systematische afwijkingen.
• Statistische Significantie: Alle geteste modelfamilies vertonen statistisch significante afwijkingen van een uniforme verdeling (p < 0,05), wat aantoont dat de vooroordelen systematisch en niet willekeurig zijn.

Betekenis en Conclusie

Dit onderzoek heeft grote implicaties voor de ontwikkeling en evaluatie van AI:

• Veiligheid is Illusoir: Het feit dat een model "weigert" te antwoorden op een vooroordeelachtige vraag, betekent niet dat het model eerlijk is. De vooroordelen blijven in het model aanwezig en kunnen in andere contexten of via andere methoden (zoals activatiesturing) weer naar boven komen.
• Nieuwe Evaluatiestandaard: Bestaande benchmarks zijn ontoereikend. Er is een nieuwe generatie evaluatietools nodig die specifiek gericht is op het detecteren van deze verzwegen vooroordelen.
• Toekomstige Richting: De auteurs pleiten voor debiasingstrategieën die verder gaan dan de oppervlakte-uitvoer en zich richten op de onderliggende latente representaties. Het is cruciaal om te begrijpen dat alignment-training (RLHF) modellen soms een "masker" van eerlijkheid geeft, terwijl de interne vooroordelen intact blijven.

Kortom, de paper waarschuwt dat we niet mogen vertrouwen op de stilte van een LLM als bewijs van eerlijkheid; we moeten de stilte doorbreken om de ware aard van de vooroordelen te begrijpen.