TraceRouter: Robust Safety for Large Foundation Models via Path-Level Intervention

Technische Samenvatting: TraceRouter

Probleemstelling
Grote fundamentele modellen (LFMs), waaronder diffusiemodellen (DMs), grote taalmodellen (LLMs) en multimodale LLMs (MLLMs), blijven kwetsbaar voor adversariële manipulatie ondanks hun geavanceerde capaciteiten. Huidige veiligheidsinterventies vertrouwen voornamelijk op de "lokaliteitshypothese", die ervan uitgaat dat schadelijke semantiek is gecodeerd in geïsoleerde neuronen of specifieke kenmerken. Bijgevolg proberen bestaande verdedigingen deze lokale componenten te onderdrukken. De auteurs stellen echter dat schadelijke semantiek in LFMs inherent gedistribueerd is en zich voortplant via complexe, cross-layer circuits. Gelokaliseerde interventies zijn daarom broos; ze falen vaak in het voorkomen van "semantische lekkage" onder adversariële inductie en verslechteren onbedoeld de algemene bruikbaarheid van het model door polysemantische neuronen te verstoren die een benigne functie dienen.

Methodologie: TraceRouter
Om deze beperkingen aan te pakken, stellen de auteurs TraceRouter voor, een universeel "Discover-Trace-Disconnect"-framework dat opereert op padniveau in plaats van op neuronniveau. Het framework bestaat uit drie afzonderlijke stadia:

1. Identificatie van de Gevoelige Bron (Discover):

   • Detectie van de Onset-laag: Het systeem analyseert aandacht-divergentie om de "gevoelige onset-laag" ($l^*$) te lokaliseren, gedefinieerd als de eerste laag waar een gevoelige prompt een significante aandacht induceert van gevoelige modifiers naar doelentiteiten, onderscheidend van achtergrondcontextuele verstoringen.
   • Feature Disentanglement: Een Top-K Sparse Autoencoder (SAE) wordt ingezet om de dichte neurale activaties op de onset-laag te deconstrueren in interpreteerbare kenmerken.
   • Neuron Selectie: Door een differentiële activatiescore ($\Delta WFS$) te berekenen tussen gevoelige en niet-gevoelige monsters, isoleert de methode specifieke "gevoelige neuronen" die uniek worden getriggerd door ongeoorloofde concepten.

2. Causale Semantische Pad-tracing (Trace):

   • Back-Projection: De geïdentificeerde ijle (sparse) kenmerken worden teruggeprojecteerd in de dichte latente ruimte van de onset-laag om de bronneuronen te identificeren.
   • Zero-Out Interventie: Het systeem voert een "zero-out" interventie uit op deze bronneuronen in het backbone-model om de downstream-effecten te observeren.
   • Feature Influence Score (FIS): Een causale metriek, de FIS, wordt berekend voor downstream-neuronen. Deze score combineert activatiefrequentie, conditionele gemiddelde magnitude en het absolute verschil in activatie veroorzaakt door de zero-out interventie. Hoge FIS-waarden duiden op neuronen die causaal cruciaal zijn voor de voortplanting van schadelijke semantiek.

3. Selectieve Pad-niveau Onderdrukking (Disconnect):

   • Pad Decompositie: Voor elke downstream-laag wordt de activatievector gedecomposeerd in twee componenten: het gevoelige pad ($Z_P$) en orthogonale computationele routes ($Z_{\neg P}$) geassocieerd met algemene bruikbaarheid.
   • Causale Doorsnijding: Een onderdrukkingsfactor ($\lambda$) wordt selectief toegepast op de gevoelige padcomponent ($Z_P$), terwijl de orthogonale routes ($Z_{\neg P}$) intact blijven. Dit snijdt de causale stroom van schadelijke informatie fysiek door zonder de fundamentele redenering of generatieve capaciteiten van het model te verstoren.

Belangrijkste Bijdragen

• Framework Voorstel: Introductie van TraceRouter, een framework voor interventie op padniveau dat de identificatie en causale blokkade van schadelijke informatielussen over diverse modelarchitecturen (DMs, LLMs, MLLMs) automatiseert.
• Mechanistische Integratie: De integratie van Sparse Autoencoders (SAEs) met Feature Influence Scores (FIS) om fijne disentanglement en causale mapping van interne logische stromen op routeniveau te bereiken.
• Empirische Validatie: Demonstratie over meerdere benchmarks dat de methode de adversariële robuustheid aanzienlijk verhoogt terwijl de algemene bruikbaarheid nauwkeurig behouden blijft, wat de effectiviteit van de lokaliteitshypothese uitdaagt.

Experimentele Resultaten

• Diffusiemodellen (DMs): Op Stable Diffusion 1.4 behaalde TraceRouter een Defense Success Rate (DSR) van 99,2% tegen I2P naaktheid en 93,6% tegen geweld. Het demonstreerde superieure robuustheid tegen adversariële aanvallen (P4D en Ring-A-Bell), waarbij het state-of-the-art baselines zoals ESD, UCE en SNCE overtrof. Cruciaal was dat het een hoge generatieve getrouwheid behield, waarbij het de beste CLIP Score (31,27) en FID (16,24) behaalde van alle geteste methoden.
• Grote Taalmodellen (LLMs): Op LLaMA3-8B en Mistral-7B behaalde TraceRouter gemiddelde DSR's van respectievelijk 99,6% en 98,8% tegen diverse jailbreak-aanvallen (inclusief GCG, AutoDAN en patroongebaseerde aanvallen). Opvallend genoeg verhoogde het de veiligheid van het kwetsbare Mistral-7B van een baseline van 6,6% naar 98,8%.
• Multimodale LLMs (MLLMs): De methode presteerde consistent beter dan SOTA-verdedigingen op LLaVA-1.5 en MiniGPT-4, waarbij bijna perfecte veiligheidspercentages werden behaald (bijv. 99,60% op LLaVA-1.5) terwijl cross-modale risico's effectief werden geneutraliseerd.
• Ablatie en Analyse:
  • Pad vs. Neuron: Experimenten bevestigden dat interventie op padniveau significant beter presteert dan onderdrukking op neuronniveau, wat valideert dat schadelijke semantiek steunt op gedistribueerde circuits in plaats van geïsoleerde knooppunten.
  • Causale Validatie: "Pad-amplificatie" experimenten toonden aan dat het kunstmatig versterken van de geïdentificeerde paden de schadelijke generatie verhoogde, terwijl onderdrukking deze drastisch verminderde, wat de causale aard van de geïdentificeerde circuits bevestigt.
  • Behoud van Bruikbaarheid: Evaluaties van de bruikbaarheid op Global-MMLU-Lite en MM-Bench toonden verwaarloosbare prestatieverliezen (bijv. -0,8% voor LLaMA3-8B), wat bevestigt dat de interventie zeer selectief is en geen catastrofaal vergeten induceert.

Betekenis en Claims
Het artikel claimt dat TraceRouter een fundamentele verschuiving biedt in veiligheidsinterventie door over te gaan van gelokaliseerde onderdrukking naar precieze, architectuur-agnostische regulering op padniveau. De auteurs stellen dat deze aanpak de causale voortplanting van schadelijke semantiek fysiek doorsnijdt, terwijl orthogonale computationele routes intact blijven. Dit lost de spanning tussen veiligheid en prestaties op, en biedt een robuuste, interpreteerbare en efficiënte technische oplossing voor het construeren van veiligere industriële fundamentele modellen zonder hun algemene redeneer- of generatieve capaciteiten in gevaar te brengen. Het werk benadrukt dat effectieve veiligheid vereist dat men zich richt op de topologische structuur van de semantische stroom in plaats van op geïsoleerde activaties.