GUARD-SLM: Token Activation-Based Defense Against Jailbreak Attacks for Small Language Models

Probleemstelling

Kleine Taalmodellen (SLMs, Small Language Models) worden steeds populairder als efficiënt en kosteneffectief alternatief voor grote Taalmodellen (LLMs), vooral voor implementatie op randapparaten (edge devices) met beperkte rekenkracht. Hoewel ze concurrerende prestaties leveren, vertonen ze een aanzienlijke kwetsbaarheid voor jailbreak-aanvallen.

Bestaande verdedigingsmechanismen hebben beperkte robuustheid tegen heterogene aanvallen. Dit komt voornamelijk door een onvolledig begrip van de interne representaties binnen de verschillende lagen van taalmodellen die jailbreak-gedrag faciliteren.

• Training-time methoden vereisen dure hertraining en kunnen de algemene prestaties beïnvloeden.
• Inference-time methoden (zoals input- of output-filtering) zijn vaak vatbaar voor prompt-obfuscatie of introduceren extra latentie.
• Interne representaties: Er is onvoldoende inzicht in welke specifieke lagen van een model het meest informatief zijn voor het detecteren van kwaadaardige prompts, en of deze patronen consistent zijn over verschillende modelarchitecturen.

Het paper stelt dat SLMs gevoeliger zijn voor geoptimaliseerde jailbreak-prompts dan LLMs en dat er een noodzaak is voor een lichtgewicht, inference-time verdediging die geen extra tokens of hertraining vereist.

Methodologie: GUARD-SLM

De auteurs introduceren GUARD-SLM, een verdedigingsframework dat werkt op het niveau van token-activaties binnen de interne representatieruimte van het model, voordat de decoding begint.

Kernprincipes:

1. Analyse van Laag-voor-Lag Activaties: De auteurs voeren een uitgebreide empirische studie uit op 9 jailbreak-aanvalstypen over 7 SLMs en 3 LLMs. Ze analyseren de laatste-token-activaties ($h_{last}$) in elke transformer-laag.
2. Observatie van Scheidbaarheid: De studie toont aan dat kwaadaardige prompts (zowel directe als geoptimaliseerde jailbreaks) onderscheidbare patronen vormen in de interne representatieruimte ten opzichte van goedaardige prompts. Deze patronen zijn zichtbaar in alle lagen (vroege, middelste en late), maar de scheidbaarheid neemt vaak toe in de diepere lagen.
3. Lichtgewicht Classificatie:
   • Training: Een binair classificatiemodel (Support Vector Machine met RBF-kernel) wordt getraind op de laatste-token-activaties van een geselecteerde laag (of lagen) om te onderscheiden tussen goedaardige (label 0) en kwaadaardige (label 1) prompts.
   • Inference: Tijdens het gebruik voert het model één enkele forward pass uit. De activatie van het laatste token in de geselecteerde laag wordt geëxtraheerd, genormaliseerd en door het getrainde SVM-model gestuurd.
   • Besluitvorming: Als het model een kwaadaardige prompt voorspelt, wordt de generatie onmiddellijk gestopt (refusal). Anders wordt de standaard generatie voortgezet.

Voordeel: Omdat de verdediging gebruikmaakt van de interne staten die al nodig zijn voor de inferentie, introduceert GUARD-SLM geen extra tokens en geen extra inference-overhead (behalve de zeer lichte classificatiestap).

Belangrijkste Bijdragen

1. Uitgebreide Empirische Evaluatie: Een systematische analyse van de kwetsbaarheid van zowel SLMs als LLMs voor diverse jailbreak-strategieën (o.a. AutoDAN, TAP, PAIR, GCG). De resultaten tonen aan dat SLMs significant kwetsbaarder zijn dan LLMs.
2. Representatieruimte Analyse: Een diepgaand inzicht in hoe verschillende prompttypen zich gedragen in de interne lagen van neurale netwerken. De auteurs bewijzen dat jailbreak-kenmerken zichtbaar zijn in elke laag, wat de basis vormt voor een model-onafhankelijke detectie.
3. GUARD-SLM Framework: Een nieuwe, lichtgewicht verdedigingsmethode die werkt tijdens de inferentie zonder modelparameters te wijzigen of hertraining te vereisen.
4. Prestaties en Efficiëntie: Uitgebreide evaluatie die aantoont dat de methode de aanvalssuccesratio (ASR) drastisch verlaagt met minimale rekentijd.

Resultaten

De experimenten zijn uitgevoerd op modellen zoals LLaMA-2-7B, Vicuna-7B en Mistral-7B, met datasets zoals AdvBench en HarmBench.

• Kwetsbaarheid: Zonder verdediging bereiken geoptimaliseerde aanvallen zoals AutoDAN een succesratio (ASR) van bijna 100% op veel SLMs.
• Detectieprestaties:
  • GUARD-SLM bereikt een aanvalsdetectieratio van bijna 100% voor geoptimaliseerde jailbreak-aanvallen (zoals AutoDAN, TAP, PAIR) over alle geteste lagen en modellen.
  • Voor directe kwaadaardige prompts is de detectie ook zeer hoog, hoewel er in de vroege lagen enige overlap kan zijn met goedaardige prompts.
  • In vergelijking met bestaande methoden (zoals SelfEval, SmoothLLM, Aligner) die vaak ASR-waarden van 10-30% behouden, bereikt GUARD-SLM een ASR van 0% tot 0,74% over alle aanvalstypen.
• Efficiëntie:
  • Geen extra tokens: In tegenstelling tot methoden die "self-reminder" of extra instructies toevoegen.
  • Minimale latentie: De gemiddelde inferentietijd is 0,43 seconden, wat aanzienlijk sneller is dan concurrenten die vaak meerdere forward passes vereisen (bijv. SmoothLLM: 38,07s).
  • De methode introduceert geen extra rekenkosten voor de generatie zelf, omdat de classificatie parallel loopt met de standaard forward pass.

Betekenis en Conclusie

GUARD-SLM biedt een praktische en schaalbare oplossing voor het beveiligen van Small Language Models in real-world scenario's, zoals op edge-apparaten. De belangrijkste inzichten zijn:

• Robuustheid van SLMs: SLMs zijn fundamenteel kwetsbaarder voor jailbreaks dan LLMs, wat aantoont dat schaal niet automatisch veiligheid garandeert.
• Interne Signalen: Veiligheidsgerelateerde signalen zijn niet beperkt tot de laatste decoderingslaag; ze zijn aanwezig in de interne activaties van het hele netwerk. Dit maakt het mogelijk om aanvallen te detecteren voordat er schadelijke output wordt gegenereerd.
• Toekomstperspectief: De methode opent de deur voor real-time, resource-efficient beveiliging in Agentic AI-systemen zonder de prestaties van het model te compromitteren.

De auteurs benadrukken dat hoewel de huidige focus ligt op SLMs, de principes van representatieruimte-analyse ook waardevol kunnen zijn voor het begrijpen van de veiligheid van grotere modellen, hoewel de computationele kosten daarvoor momenteel hoger zijn.