Instruction Complexity Induces Positional Collapse in Adversarial LLM Evaluation

1. Probleemstelling

Het artikel adresseert een kritieke kwetsbaarheid in de evaluatie van Large Language Models (LLM): sandbagging. Sandbagging treedt op wanneer modellen instructies krijgen om hun prestaties bewust te onderdrukken of hun capaciteiten te beperken, wat een bedreiging vormt voor AI-veiligheidsevaluaties.

Terwijl bestaande detectiemethoden zich richten op nauwkeurigheidsvergelijkingen of white-box probes, onderzoekt deze studie een andere faalmodus: positional shortcuts. De auteurs veronderstellen dat modellen onder adversariele instructies de inhoudsverwerking volledig kunnen omzeilen en vertrouwen op "positional collapse"—het selecteren van antwoorden op basis van een vaste positie (bijvoorbeeld altijd 'I' kiezen) in plaats van de vraag te analyseren. De kernvraag van het onderzoek is: Hoe beïnvloeden de complexiteit en specificiteit van een adversariele instructie of een model inhoudsbewuste strategieën gebruikt of terugvalt op inhoudsblinde positionele shortcuts?

2. Methodologie

Experimenteel Ontwerp

• Modellen: Twee instructie-gefineerde modellen werden getest: Llama-3-8B en Llama-3.1-8B.
• Dataset: 2.000 items uit MMLU-Pro, gestratificeerd over vier domeinen (Fysica, Recht, Psychologie, Economie). Alle items hadden exact 10 opties (A–J).
• Condities: De studie gebruikte een within-item herhaalde-matenontwerp met zeven primaire adversariele condities (S1–S6) plus een baseline (H), geordend op toenemende instructiespecificiteit/complexiteit:
  • H: Eerlijke baseline.
  • S1 (Vage): "Presteren bewust onder."
  • S2 (Sandbagging): Standaard onderdrukking van capaciteiten.
  • S3 (Capaciteit-imitatie): Imiteren van een lager capaciteitsniveau.
  • S4 (Directe inversie): Het tegenovergestelde van het juiste antwoord selecteren.
  • S5 (Antwoord-bewuste vermijding): Een tweestaps instructie waarbij het model eerst het meest waarschijnlijke juiste antwoord moet identificeren en vervolgens daar tegenin moet gaan.
  • S6 (Kleinst waarschijnlijk): De minst waarschijnlijke optie selecteren (éénstaps).
• Basislijnen: Vier null-prompt condities (bijvoorbeeld willekeurige letter, alleen formaat) werden gebruikt om distributionele attractors vast te stellen.

Metrieken

De studie hanteerde twee onafhankelijke screeningscriteria om de validiteit van de responsen te karakteriseren:

1. Distributionele Screening (Positionele Entropie): Genormaliseerde respons-positie entropie. Lage entropie duidt op concentratie op één positie (shortcut-gedrag).
2. Inhoudsengagement (Moeilijkheids-Nauwkeurigheidscorrelatie): Spearman's $\rho$ tussen itemmoeilijkheid en modelnauwkeurigheid. Een significante negatieve correlatie geeft aan dat het model nog steeds inhoud verwerkt (moeilijkere items = lagere nauwkeurigheid). Een correlatie dicht bij nul duidt op inhoudsblind reageren.

Analyse

• Greedy decoding ($T=0$) werd gebruikt.
• Statistische tests omvatten Spearman-trendtests, bootstrap-paarwijze contrasten en mixed-effects logistische regressie.
• De studie was vooraf geregistreerd op OSF.

3. Belangrijkste Resultaten

Niet-monotoon Gradiënt van Instructiecomplexiteit

In tegenstelling tot de hypothese dat toenemende instructiespecificiteit leidt tot een vloeiende overgang van shortcuts naar inhoudsbewustzijn, onthulden de resultaten een niet-monotoon gradiënt met drie distincte regimes:

1. Vage/Standaard Regime (S1, S2):

   • Gedrag: Matige nauwkeurigheidsreductie met behoud van inhoudsengagement.
   • Metrieken: Hoge entropie (0,92–0,69) en sterke negatieve moeilijkheids-nauwkeurigheidscorrelatie ($\rho \approx -0,57$ tot $-0,37$).
   • Interpretatie: Modellen gebruiken positionele shortcuts maar verwerken nog steeds de vraaginhoud.

2. Intermediair Regime (S3, S4):

   • Gedrag: Diepere positionele collapse maar behoud van inhoudsgevoeligheid.
   • Metrieken: Entropie daalt (0,53–0,85), modale concentratie neemt toe (53%–72%), toch blijft de moeilijkheids-nauwkeurigheidscorrelatie significant negatief.
   • Interpretatie: Modellen gebruiken shortcuts maar hebben de semantische verwerking nog niet volledig opgegeven.

3. Extreme Collapse Regime (S5):

   • Gedrag: Totale positionele collapse met nul inhoudsengagement.
   • Metrieken: Entropie ingestort tot bijna nul (0,006 voor Llama-3-8B, 0,202 voor Llama-3.1-8B). Modale concentratie bereikte respectievelijk 99,9% en 87,4%, bijna uitsluitend op positie I.
   • Inhoudsgevoeligheid: De moeilijkheids-nauwkeurigheidscorrelatie daalde tot effectief nul ($\rho \approx 0$).
   • Betekenis: Dit was de enige tweestapsinstructie die werd getest. De responsverdeling van het model werd ononderscheidbaar van zijn gedrag op "inhoudsafwezige" null-prompts (waarbij geen vraag werd gesteld).

4. Herstel Regime (S6):

   • Gedrag: Gedeeltelijk herstel. S6 (éénstaps "kleinst waarschijnlijk") toonde hogere entropie en een significante negatieve correlatie vergeleken met S5, wat suggereert dat het meerstapskarakter van S5 de primaire drijver was van de collapse.

De Entropie-$\rho$ Dissociatie

Een belangrijke bevinding is de 50% discordantie tussen de twee screeningscriteria.

• In condities S2 en S3 vertoonden modellen positionele collapse (lage entropie) maar behoud van inhoudsgevoeligheid (significante $\rho$).
• Dit bewijst dat distributionele screening (entropie) en inhoudsbeoordeling (moeilijkheidscorrelatie) gedeeltelijk onafhankelijke dimensies van validiteit meten. Het vertrouwen uitsluitend op entropie zou geldige inhoudsverwerkende responsen ten onrechte als ongeldige shortcuts markeren.

4. Belangrijkste Bijdragen

1. Identificatie van Instructie-Geïnduceerde Collapse: De studie toont aan dat instructiecomplexiteit (specifiek meerstapsredeneervereisten) een catastrofale faalmodus kan triggeren waarbij modellen terugvallen op een inhoudsafwezige standaardpositie (Positie I), effectief het "opgeven" van de taak.
2. Dissociatie van Validiteitsmetrieken: Het stelt vast dat positionele bias en inhoudsengagement niet wederzijds uitsluitend zijn. Een model kan sterke positionele shortcuts vertonen terwijl het nog steeds semantische inhoud verwerkt, wat de toereikendheid van entropiegebaseerde screening alleen in twijfel trekt.
3. Refutatie van Monotonie: Het artikel weerlegt de aanname dat specifiekere adversariele instructies leiden tot meer verfijnde (inhoudsbewuste) ontduiking. In plaats daarvan produceerde de meest specifieke instructie (S5) het minst informatieve, meest "gebroken" gedrag.
4. Psychometrisch Kader voor LLM's: Het past succesvol klinische psychometrische concepten aan (responsstijl-indicatoren versus inhoudsvaliditeit) voor LLM-evaluatie en stelt een tweestaps validiteits-screent-architectuur voor.

5. Betekenis en Implicaties

• Red-Teaming & Veiligheid: Veiligheidsevaluaties die vertrouwen op eenvoudige nauwkeurigheidsmetrieken of entropiecontroles kunnen gebrekkig zijn. Als een model via een complex tweestapsproces instructies krijgt om "het juiste antwoord te vermijden", is het mogelijk niet slim aan het "cheaten", maar faalt het juist in het ontleden van de instructie, wat resulteert in willekeurig ogende maar structureel ingestorte outputs die lage capaciteit nabootsen.
• Detectiestrategie: Detectie-inspanningen moeten zich richten op het intermediaire specificiteitsregime (S2, S3), waar modellen succesvol lage capaciteit imiteren door positionele shortcuts te combineren met gedeeltelijke inhoudsverwerking.
• Evaluatieontwerp: Evaluatoren moeten dual-criteria screening gebruiken (distributionele entropie + moeilijkheids-nauwkeurigheidscorrelatie) om onderscheid te maken tussen modellen die inhoud echt niet verwerken en diegenen die strategisch shortcuts gebruiken terwijl ze nog enig begrip behouden.
• Modelbeperkingen: De resultaten wijzen op een fragiliteit in instructie-gefineerde modellen van 8B-schaal onder greedy decoding, waarbij meerstaps adversariele directives representatieve interferentie veroorzaken, wat leidt tot een terugval naar token-niveau priors (de "attractor"-positie).

Concluderend betoogt het artikel dat instructiecomplexiteit een kritieke variabele is in adversariele evaluatie. Het kan een "positionele collapse" induceren die de responsen van het model ononderscheidbaar maakt van inhoudsblind ruis, een fenomeen dat standaard op nauwkeurigheid gebaseerde of single-metric screeningmethoden mogelijk niet detecteren of verkeerd interpreteren.