Technische Samenvatting: RACC: Representatiebewuste Dekkingscriteria voor LLM-veiligheidstesten

1. Probleemstelling

Grote Taalmodellen (LLM's) lopen aanzienlijke veiligheidsrisico's door jailbreak-aanvallen, die modelkwetsbaarheden misbruiken om schadelijke inhoud te genereren. Huidige veiligheidstesten vertrouwen sterk op statische, open-source datasets (bijv. SafetyBench, SorryBench) en missen systematische criteria om de kwaliteit en toereikendheid van testsets te evalueren. Hoewel dekkingscriteria bewezen effectief zijn voor kleinere Deep Neural Networks (DNN's) door neuronactivaties te monitoren, zijn ze ongeschikt voor LLM's om twee hoofdredenen:

1. Schaalbaarheid: De rekenkundige overhead van het profileren van miljarden neuronen over alle lagen is onbetaalbaar voor LLM's.
2. Doelwitmisalignering: Traditionele criteria op neuron-niveau behandelen alle activaties gelijk. Bij LLM's is het overgrote deel van de neuronactivaties redundant of irrelevant voor veiligheid. Bijgevolg slagen neuron-niveau-metrics er vaak niet in om onderscheid te maken tussen zinvolle, veiligheidsgerelateerde prompts en semantisch redundante of onschadelijke invoer, waardoor ruis wordt geïntroduceerd in de dekkingsbeoordelingen.

Er is een kritieke behoefte aan dekkingscriteria die schaalbaar zijn voor LLM's en specifiek zijn gebaseerd op veiligheidsgerelateerde signalen in plaats van ruwe activatiestatistieken.

2. Methodologie: RACC-raamwerk

De auteurs stellen RACC (Representation-Aware Coverage Criteria) voor, een raamwerk dat de dekkingsmeting verschuift van individuele neuronactivaties naar veiligheidsrepresentaties – laagdimensionale richtingen in de verborgen statruimte van het model die specifieke veiligheidsconcepten coderen.

2.1 Kernontwerpprincipes

RACC is gebaseerd op drie ontwerpprincipes die zijn toegespitst op LLM-veiligheidstesten:

• Synoniem-ongevoelig: Semantisch vergelijkbare prompts (bijv. parafraseerde jailbreaks) mogen de dekkingsmetrics niet kunstmatig opblazen.
• Ongeldig-ongevoelig: Onschadelijke of niet-adversariële invoer mag niet bijdragen aan de dekking, aangezien het doel is om het vermogen van het model om schadelijke inhoud te verwerpen te testen.
• Jailbreak-gevoelig: Metrics moeten prioriteit geven aan prompts die succesvol schadelijk gedrag triggeren of veiligheidskritieke concepten activeren.

2.2 Technische Werkwijze

Het RACC-raamwerk werkt in drie fasen:

1. Veiligheidsrepresentatie-extractie:

   • Een kleine kalibratieset van schadelijke prompts wordt samengesteld om specifieke veiligheidscategorieën te vertegenwoordigen.
   • Verborgen statactivaties van deze prompts worden verzameld uit de middelste lagen van het model.
   • Hoofdcomponentenanalyse (PCA) wordt toegepast op deze activaties om de top-$n$ hoofdcomponenten te identificeren. Deze componenten vormen de veiligheidsrepresentaties en vertegenwoordigen de primaire richtingen van veiligheidsconcepten in de verborgen ruimte.

2. Conceptactivatieberekening:

   • Voor elke invoerprompt wordt de verborgen staat van het model geprojecteerd op de geïdentificeerde veiligheidsrepresentaties.
   • De grootte van deze projectie dient als conceptactivatiescore, die de intensiteit van de specifieke veiligheidsconcepten kwantificeert die door de invoer worden getriggerd.

3. Dekkingsberekening:
   RACC definieert zes subcriteria die zijn onderverdeeld in twee dimensies:

   • Dimensie I: Individuele Conceptdekking
     • Veiligheidskenmerkdekking (SFC): Meet het aandeel veiligheidskenmerken dat boven een drempelwaarde wordt geactiveerd door ten minste één prompt.
     • Top-K-kenmerkdekking (TKFC): Meet het aandeel veiligheidskenmerken dat voorkomt in de top-$k$ meest actieve kenmerken voor ten minste één prompt.
     • Kenmerkintensiteitsdekking (FIC): Discretiseert activatiegroottes in bakken om de diversiteit van activatie-intensiteiten over kenmerken te meten.
   • Dimensie II: Compositional Conceptdekking
     • Semantische Clusterdekking (SCC): Gebruikt K-Means-clustering op de geprojecteerde veiligheidsvectoren om de diversiteit van de semantische modi te meten die door de testset worden bezocht.
     • Paarsgewijze Conceptdekking (PCC): Meet het gelijktijdig voorkomen van paren veiligheidskenmerken, waardoor interacties tussen concepten worden vastgelegd.
     • Clustergrensdekking (CBC): Identificeert prompts die zich bevinden in gebieden met lage dichtheid tussen semantische clusters, gericht op ambiguïteiten in veiligheidsgrenzen waar modellen het meest kwetsbaar zijn.

3. Belangrijkste Bijdragen

• RACC-raamwerk: Het voorstellen van een schaalbaar, representatiebewust dekkingcriterium dat specifiek is ontworpen voor LLM-veiligheid en de beperkingen van neuron-niveau-metrics aanpakt.
• Zes Subcriteria: Een nieuwe reeks metrics die zowel individuele conceptactivatie als compositionele interacties bestrijken, gebaseerd op veiligheidsrepresentaties in plaats van ruwe neuronen.
• Empirische Validatie: Uitgebreide experimenten die aantonen dat RACC voldoet aan de drie ontwerpprincipes (synoniem-ongevoeligheid, ongeldig-ongevoeligheid, jailbreak-gevoeligheid) en beter presteert dan bestaande neuron-niveau-baselines.
• Praktische Toepassingen: Demonstratie van het nut van RACC bij prioritering van testsets (filteren van redundante/ongeldige prompts) en sampling van aanvalsprompts (selecteren van diverse en succesvolle jailbreaks).
• Open Source: Uitgifte van de implementatie om verder onderzoek te faciliteren.

4. Experimentele Resultaten

De auteurs hebben RACC geëvalueerd op drie open-source LLM's (Vicuna-7B, Llama-2-7B, Qwen-2.5-7B) met behulp van benchmarks zoals SorryBench en ORBench-Toxic.

• Effectiviteit versus Neuron-niveau Criteria:
  • RACC-metrics toonden een hoge gevoeligheid voor jailbreak-aanvallen (bijv. $S_{JA}$), wat leidde tot aanzienlijke dekkingswinsten.
  • Cruciaal bleef RACC ongevoelig voor ongeldige invoer (onschadelijke prompts) en redundante semantiek (synoniemen). Daarentegen vertoonden neuron-niveau-baselines (bijv. NC, TKNC) grote, misleidende dekkingsstijgingen wanneer onschadelijke of synonieme prompts werden toegevoegd, en slaagden ze er niet in onderscheid te maken tussen effectieve veiligheidstests en ruis.
• Risicotype-diversiteit: RACC-metrics namen monotoon toe met de diversiteit van veiligheidsviolatiecategorieën in de testset, terwijl neuron-niveau-metrics stagneerden of willekeurig fluctueerden.
• Conceptuele Uitlijning: Wanneer testsets werden geconstrueerd met variërende semantische overlap met de kalibratieset, namen RACC-scores strikt af naarmate de overlap afnam, wat bevestigt dat de metrics specifieke veiligheidsconcepten meten in plaats van generieke anomalieën.
• Toepassingen:
  • Prioritering: RACC-geleide selectie prioriteerde geldige kandidaten aanzienlijk beter dan neuron-niveau-baselines (bijv. een AUC van 0,667 versus 0,340 op SorryBench).
  • Sampling: RACC versnelde de ontdekking van succesvolle jailbreaks en diverse aanvalscategorieën in vergelijking met baselines.
• Generalisatie: RACC bleek robuust over verschillende modelgroottes (schalend tot 13B), kalibratiesetgroottes (effectief zelfs met kleine sets), extractielagen en hyperparameterconfiguraties. Er werd ook een adaptieve parameterselectiestrategie (AdaRACC) voorgesteld om handmatige tuning te elimineren.

5. Betekenis en Claims

Het artikel beweert dat RACC een schaalbare en principiële basis biedt voor dekking-geleide LLM-veiligheidstesten. Door dekking te verankeren in veiligheidsconceptrichtingen in plaats van ruwe neuronactivaties, lost RACC de schaalbaarheidsknelpunt en de doelwitmisaligneringskloof op die inherent zijn aan traditionele DNN-dekkingscriteria.

De auteurs stellen dat RACC niet zomaar een generieke anomaliedetector is, maar een tool die specifiek de activatie van veiligheidsgerelateerde semantiek meet. Dit maakt een rigoureuze evaluatie, prioritering en optimalisatie van veiligheidstestsets mogelijk, waardoor het vakgebied verder gaat dan de afhankelijkheid van statische datasets naar dynamische, dekkingsbewuste veiligheidsengineering. Het werk vestigt dat het focussen op laag-rang veiligheidsrepresentaties een haalbare en superieure aanpak is voor het beoordelen van de toereikendheid van LLM-veiligheidstesten.