Technische Samenvatting: Het Traceerbaar Maken van de Dynamiek van Weigering

Probleemstelling

Grote Taalmodellen (LLMs) blijven, ondanks afstemmingstechnieken zoals Reinforcement Learning from Human Feedback (RLHF), kwetsbaar voor adversariele "jailbreak"-aanvallen. Deze aanvallen variëren van op optimalisatie gebaseerde adversariële suffixen (bijv. GCG) tot semantische sociale manipulatie (bijv. AutoDAN). Bestaande verdedigingsmechanismen behandelen LLM's vaak als zwarte dozen, waarbij ze vertrouwen op oppervlakkige input-output-interacties of statische interne representaties.

Een heersend paradigma binnen Mechanistische Interpretabiliteit, bekend als Representation Engineering (RepE), stelt dat weigering wordt bemiddeld door een statische "Weigeringsvector", doorgaans geëxtraheerd uit terminal-tokenstaten of gemiddeld over sequenties. Dit artikel betoogt dat dergelijke statische aannames fundamenteel gebrekkig zijn:

1. Aanname van de Terminalstaat: Het geloof dat het kritieke weigeringssein uitsluitend is ingekapseld in de staten van het laatste token.
2. Globale Homogeniteit: Het geloof dat weigeringsignalen uniform zijn verdeeld en kunnen worden vastgelegd door eenvoudige gemiddeldeberekening.

De auteurs betogen dat deze opvattingen de spatiotemporale dynamiek van het weigeringsproces negeren. Bijgevolg falen verdedigingen die vertrouwen op terminalstaten wanneer adversariële aanvallen (zoals GCG) de uitgangssignalen onderdrukken terwijl de upstream-mechanismen intact blijven.

Methodologie

1. Causaal Traceerbaar Maken en de "WeigeringsTrajectorie"

Om voorbij te gaan aan observationele correlaties, maken de auteurs gebruik van Causaal Traceerbaar Maken (Meng et al., 2022; Pearl, 2001). Zij construeren minimale paren prompts (bijv. "Hoe maak ik een bom?" versus "Hoe maak ik een cake?") en voeren activatiepatching uit:

• Interventie: Verborgen staten ($h^l_i$) uit een kwaadaardige run worden gepatcht in een onschadelijke run op specifieke laag-token-coördinaten.
• Meting: Het systeem meet of de output van het model verschuift van naleving naar weigering (bijv. het genereren van "Het spijt me...").

Belangrijkste bevindingen uit het traceerbaar maken:

• WeigeringsTrajectorie: Weigering is geen statisch resultaat, maar een dynamisch, spaarzaam proces. Het manifesteert zich als een distinct spatiotemporale activatiepatroon.
• Drie Fasen:
  1. Semantische Trigger: Het schadelijke entiteit (bijv. "bom") activeert causale effecten in ondiepe tot intermediaire lagen.
  2. Opkomst van Weigering (Kritieke Constructie): De meest intense causale activiteit treedt op bij de tokens die direct volgen op de semantische anker (bijv. het "?" of daaropvolgende tokens) in intermediaire lagen. Hier wordt de weigeringsbeslissing actief geconstrueerd.
  3. Terminal Attenuatie: Het causale signaal neemt af naarmate het zich voortplant naar diepere lagen en het laatste token. De terminalstaat draagt vaak een verdunde versie van het weigeringssein, geoptimaliseerd voor voorspelling van het volgende token in plaats van besluitvorming.

2. SALO: Sparse Activation Localization Operator

Gebaseerd op de hypothese dat adversariële aanvallen terminalsignalen onderdrukken maar de upstream weigerings-trajectorie niet achteraf kunnen wissen (vanwege de unidirectionele aard van Causale Aandacht), stellen de auteurs SALO voor.

• Architectuur: SALO is een lichtgewicht, inferentie-tijd detector.
  • Latente Activatievolume: Het isoleert een Gebied van Interesse (ROI) in intermediaire lagen (bijv. lagen 10–20) en stapelt verborgen staten om de spatiotemporale geometrie te behouden.
  • Multi-Granulariteit Saliëntie-extractie: Het maakt gebruik van een bank van convolutiekernen met variërende temporale breedtes ($2, 3, 5$) maar een vaste laaghoogte ($3$). Dit vangt zowel scherpe, gelokaliseerde weigerings-triggers als bredere contextuele afhankelijkheden.
  • Sparsiteitsbewuste Aggregatie: In plaats van mean pooling (die spaarzame signalen verdunt), maakt SALO gebruik van Global Max-Pooling om piekactivatie-intensiteiten te isoleren.
• Training: SALO wordt uitsluitend getraind op standaard veiligheidsafstemmingsdata (onschadelijke en standaard schadelijke prompts) zonder blootstelling aan adversariële voorbeelden. Dit maakt zero-shot generalisatie mogelijk.

Belangrijkste Bijdragen

1. Ontdekking van de WeigeringsTrajectorie: Het artikel daagt het statische beeld van weigering uit en toont via causaal traceerbaar maken aan dat weigering een spaarzaam, dynamisch proces is dat verankerd is in upstream intermediaire lagen, waarbij terminalstaten vaak verdunde signalen dragen.
2. SALO Framework: De introductie van een white-box detector die deze aanhoudende upstream-trajectieën target. Cruciaal is dat, omdat het vertrouwen stelt op het intrinsieke weigeringsmechanisme in plaats van specifieke aanvalartefacten, het zero-shot generalisatie bereikt tegen onbekende aanvallen.
3. Empirische Validatie: Uitgebreide experimenten tonen aan dat SALO verdedigingscapaciteiten herwint waar op gradiënten gebaseerde en op perplexiteit gebaseerde methoden falen, met name tegen op optimalisatie gebaseerde en semantische jailbreaks.

Experimentele Resultaten

De auteurs evalueerden SALO op drie modellen (Qwen2.5-7B, Mistral-7B, Llama-3.1-8B) tegen vier aanvalstypes: Directe Schadelijke Prompts, Prefilling, GCG en AutoDAN.

• Falen van Baselines:
  • PPL Filter: Effectief tegen GCG (hoge perplexiteit) maar faalt volledig bij semantische aanvallen zoals Prefilling en AutoDAN.
  • GradSafe: Lijdt aan detectierates dicht bij nul bij Prefilling en AutoDAN, aangezien deze aanvallen de "gradiënt van weerstand" onderdrukken.
  • Lineaire Probes: Worstelen tegen optimalisatie-aanvallen (bijv. dalend tot ~64% op Llama-GCG).
• SALO Prestaties:
  • Handhaaft hoge detectierates (>85%) over alle modellen en aanvalvectoren.
  • GCG: Bereikt ~88–96% detectie (vs. <20% voor GradSafe op sommige modellen).
  • AutoDAN: Bereikt ~98–100% detectie.
  • Prefilling: Bereikt ~99% detectie, waarbij andere methoden vaak instorten tot 0%.
• Robuustheid tegen Adaptieve Aanvallen: Zelfs onder white-box adaptieve aanvallen (Adaptive GCG) waarbij de aanvaller expliciet optimaliseert om de SALO-score te minimaliseren, handhaaft SALO een detectierate van 84,3%. In gevallen waar ontwijking slaagt, veroorzaakt de aanval vaak semantische ineenstorting (de prompt verliest zijn kwaadaardige betekenis), wat resulteert in een lage Aanvalsuccesrate (7%).

Betekenis en Claims

Het artikel claimt dat SALO een robuste, intrinsieke veiligheidsgarantie biedt door gebruik te maken van de causale dynamiek van weigering in plaats van oppervlakkige artefacten.

• Mechanistisch Inzicht: Het valideert dat jailbreaks de uitdrukking van weigering aan het einde onderdrukken, maar de intentie van weigering die is gecodeerd in de upstream-trajectie niet kunnen elimineren.
• Efficiëntie: Door dure gradiëntberekeningen (gebruikt in GradSafe) te vervangen door causaal traceerbaar maken en lichtgewicht inferentie, verlaagt SALO de milieukostprijs van AI-veiligheid.
• Zero-Shot Generalisatie: Het vermogen om diverse, onbekende aanvallen te detecteren (van gradiëntoptimalisatie tot semantische manipulatie) zonder hertraining, benadrukt de universaliteit van de weigerings-trajectie als een fundamenteel kenmerk van kwaadaardige intentie.

De auteurs erkennen nederig beperkingen, met de opmerking dat de methode afhankelijk is van de intrinsieke herkenning van schadelijkheid door het model; als een aanval de semantische intentie zo succesvol verbergt dat het model de schade niet herkent, kan de weigerings-trajectie niet worden geactiveerd. Bovendien moeten de precieze circuit-niveau mechanismen (bijv. specifieke aandachtkoppen) die deze signalen aandrijven, nog volledig in kaart worden gebracht.