An Empirical Audit of k-NAF Budget Accounting for Anchored Decoding

Dit artikel voert een empirische audit uit van het k-NAF begrotingsrekeningmechanisme in Anchored Decoding voor zowel vaste als adaptieve werklasten, waarbij wordt geconstateerd dat de cumulatieve KL-uitgave consistent ver onder de sequentieniveaubegrotingen blijft en dat gevallen van schijnbare begrotingsuitputting toe te schrijven zijn aan proxy-artefacten in plaats van aan daadwerkelijke mechanismefouten.

De kern

Stel je een zeer strenge bibliothecaris (het "Veilige Model") en een creatieve, lichtjes ondeugende verhalenverteller (het "Risicovolle Model") voor. De verhalenverteller wil een verhaal vertellen, maar er is een regel: ze mag niet te veel kopiëren uit het boek van de bibliothecaris. Als ze te dicht bij de exacte woorden van de bibliothecaris komt, "besteden" ze uit hun budget.

Het door jou aangeleverde document is een audit (een gedetailleerde controle) van een specifiek regelboek genaamd "Anchored Decoding" (specifiek het k-NAF-systeem), ontworpen om de verhalenverteller in toom te houden. Het doel was om te zien of dit regelboek daadwerkelijk werkt zoals beloofd wanneer de verhalenverteller tot haar uiterste wordt gedreven.

Hier is de uiteenzetting van wat de onderzoekers hebben gevonden, met gebruikmaking van eenvoudige analogieën:

1. De Opzet: De "Bestedings"-regel

Beschouw het budget van de verhalenverteller als een brandstoftank.

• De Limiet: Het regelboek zegt: "Je mag in totaal slechts K eenheden brandstof besteden aan je hele verhaal."
• De Meter: Het systeem probeert bij elk enkel woord (token) dat de verhalenverteller schrijft bij te houden hoeveel brandstof er wordt verbruikt.
• Het Doel: Zorgen dat de verhalenverteller nooit brandstof tekort komt voordat het verhaal klaar is, en belangrijker nog, nooit per ongeluk te veel "steelt" (kopiëert) uit het boek van de bibliothecaris.

2. De Eerste Test: De "Vaste Werklast" (Het Dagelijkse Ritme)

De onderzoekers vroegen de verhalenverteller eerst om ongeveer 8.500 verschillende verhalen te schrijven over zes verschillende genres (zoals "neutrale feiten", "creatieve fictie" of "aanvalsprompten"). Ze probeerden het systeem niet te bedriegen; ze wilden gewoon zien hoe het zich normaal gedroeg.

• Het Resultaat: De verhalenverteller was ongelooflijk conservatief. Ze gebruikte slechts ongeveer 15% tot 30% van haar totale brandstoftank.
• De Analogie: Het is alsof je met een auto rijdt met een tank van 100 gallon, maar je rijdt nooit meer dan 20 mijl voordat je stopt. Je hebt een enorme hoeveelheid "speling" (extra ruimte).
• De Controle: Ze keken ook of de verhalen leken op het boek van de bibliothecaris. De overlap was minimaal (zoals het vinden van twee identieke zandkorrels op een strand).
• Conclusie: Bij normaal, dagelijks gebruik werkt het systeem perfect en is het zeer veilig.

3. De Tweede Test: De "Adversariële Zoektocht" (De Stress-test)

Vervolgens probeerden de onderzoekers het systeem te "breken". Ze gebruikten een slim computerprogramma (een optimizer) om duizenden lastige prompten te genereren, op zoek naar het ene verhaal dat de verhalenverteller zou dwingen de volledige brandstoftank te gebruiken. Ze wilden zien of ze het systeem konden bedriegen om te "overspenderen".

• Het Resultaat: Ze kwamen heel dicht in de buurt! Ze vonden prompten waarbij de "bestedingsratio" leek te raken op 98,8% van de limiet.
• De "Overtreding": In een paar specifieke gevallen gaf de wiskunde aan dat de verhalenverteller meer dan 100% van haar brandstof had besteed (een ratio groter dan 1). Dit leek op een falen.

4. De Twist: De "Kleine Steekproef"-illusie

Hier is het belangrijkste deel van het document. De onderzoekers realiseerden zich dat de "overtreding" niet kwam doordat de verhalenverteller de regels daadwerkelijk had overtreden. Het was een wiskundige illusie veroorzaakt door te weinig data te bekijken.

• De Analogie: Stel je voor dat je probeert de gemiddelde lengte van een basketbalteam te raden.
  • Scenario A: Je meet 4 spelers. Eén is iets langer dan gemiddeld. Omdat je steekproef zo klein is, is je "veiligheidsmarge" (een statistische buffer) enorm. Je berekening zou kunnen zeggen: "Het gemiddelde is 2,13 meter!" zelfs als het echte gemiddelde 1,96 meter is.
  • Scenario B: Je meet 20 spelers. Het gemiddelde stabiliseert zich naar het echte getal, 1,96 meter.
• Wat er in het document gebeurde:
  • Het systeem stopte met het evalueren van de lastige prompten na slechts 4 verhalen (een kleine steekproefgrootte).
  • Omdat de steekproef zo klein was, werd de "veiligheidsmarge" in de wiskundige formule enorm, waardoor de besteding leek de limiet te overschrijden (een "overtreding").
  • Toen de onderzoekers het systeem dwongen om die zelfde prompten te evalueren met 20 verhalen (een grotere steekproef), verdween de "overtreding". De bestedingsratio daalde terug naar een veilige 26%–40%.

5. Het Eindoordeel

Het document concludeert met twee belangrijkste lessen:

1. Het Systeem Werkt: Het regelboek "Anchored Decoding" doet zijn werk. De verhalenverteller verbrandt de brandstoftank daadwerkelijk niet en kopieert het boek van de bibliothecaris niet. Sterker nog, ze is zeer voorzichtig.
2. De Wiskunde Moet Worden Bijgesteld: Het hulpmiddel dat wordt gebruikt om de besteding te meten (de "proxy") raakt in de war wanneer het niet genoeg data heeft. Het slaat te hard alarm wanneer het slechts een paar voorbeelden ziet.

De Aanbeveling:
De auteurs suggereren dat als je dit systeem test, je niet moet stoppen na slechts 4 verhalen. Je moet wachten tot je ten minste 20 verhalen hebt om een duidelijk beeld te krijgen. Als je dat doet, verdwijnen de "valse alarmen" en kun je zien dat het systeem eigenlijk zeer veilig is.

Kortom: De "bewakingshond" (het systeem) doet een uitstekend werk. Het "alarmsysteem" (het wiskundige hulpmiddel) moet gewoon wachten op meer bewijs voordat het begint te blaffen.

Technische samenvatting

Technische Samenvatting: Een Empirische Audit van k-NAF Begrotingsadministratie voor Verankerde Decoding

Probleemstelling
Dit artikel behandelt de empirische geldigheid van Verankerde Decoding, een mechanisme dat is ontworpen om "near access-freeness" (k-NAF) af te dwingen in generatieve modellen. De kern doelstelling van Verankerde Decoding is het beperken van de divergentie tussen een gecontroleerde decoder (getraind op mogelijk auteursrechtelijk beschermd materiaal) en een aangewezen veilig referentiemodel (getraind zonder dergelijke data). Dit wordt geoperationaliseerd door een sequentieniveau Kullback-Leibler (KL) begroting af te dwingen, $K = kT_{max}$, via een samenstelling van lokale, per-token beperkingen.

De centrale vraag die wordt onderzocht, is of een concrete implementatie van dit mechanisme het beoogde administratieve gedrag realiseert onder realistische werklasten en onder adversariële stress. Specifiek vragen de auteurs zich af of de decoder kan worden gedwongen om zijn begroting te verbruiken, of dat het administratiemechanisme (specifiek de empirische Bernstein-achtige proxy die wordt gebruikt om de besteding te schatten) betrouwbaar gedraagt onder omstandigheden met kleine steekproeven.

Methodologie
De audit hanteert een tweestapsontwerp dat de scheiding tussen tester en finder uit differential privacy-audits nabootst:

1. Stap 1: Diagnostische Evaluatie met Vaste Werklast

   • Scope: Ongeveer 8.500 gerandomiseerde uitvoeringen over zes promptklassen (neutraal, validatie, test, trainingsaanval, feitelijk, creatief) met twee waarden voor de per-token begrotingsparameter $k \in \{3, 5\}$ (met $T_{max}=200$).
   • Maten: De studie logt de KL-besteding per stap en aggregeert deze om een cumulatieve bestedingsproxy te berekenen, UEBB (Upper Empirical Bernstein Bound). Deze proxy combineert het steekproefgemiddelde, een variantieterm en een deterministische term die afhankelijk is van het effectieve bereik ($R_{eff}$) en de steekproefgrootte ($M$).
   • Controles: Uitvoeringen maken gebruik van batching met gemeenschappelijke willekeurige getallen om protocolafhankelijke diagnostiek te waarborgen. Overlapdiagnostiek (ROUGE-L en 5-gram Jaccard) wordt berekend tegen beschikbare referenties om oppervlaktevorm-kopiëren te meten.

2. Stap 2: Adaptieve Adversariële Zoektocht

   • Doel: Het maximaliseren van de proxy-bestedingsratio $\rho = \text{UEBB} / B_{eff}$, waarbij $B_{eff}$ de effectieve resterende begroting is.
   • Proces: Een optimalisatiemodel stelt kandidaat-prompts voor, die worden gerangschikt door een aangeleerde surrogate (MLP over Sentence-T5-embeddings + TF-IDF). De zoektocht maakt gebruik van multi-fidelity evaluatie: prompts beginnen met een minimale toewijzing van $N=4$ trajecten. Een "survivor test" bepaalt of prompts worden "opgevuld" tot grotere toewijzingen (tot $N=20$ of $30$) op basis van of hun huidige UEBB onder een drempelwaarde van de begroting blijft.
   • Stresstesten: De zoektocht loopt vier generaties om prompts te identificeren die de proxy-ratio dicht bij of boven 1 duwen.

Belangrijkste Bijdragen

1. Audit met Vaste Werklast: Toont aan dat onder een vaste, op klasse gestratificeerde werklast de gemiddelde cumulatieve KL-besteding aanzienlijk onder de geconfigureerde sequentieniveau-begrotingen blijft ($K \in \{600, 1000\}$), typisch slechts ongeveer 30% van de begroting in beslag nemend. De empirische Bernstein-proxy blijft voor alle klassen onder $K$, en oppervlakte-overlapmaten zijn laag.
2. Resultaten van de Adaptieve Zoektocht: De zoekprocedure slaagt erin de proxy-bestedingsratio te verhogen tot $\rho \approx 0,988$ bij $k=3$ en $\rho \approx 0,760$ bij $k=5$. De zoektocht produceert echter geen prompts die de begroting op een per-trajectbasis duidelijk volledig verbruiken.
3. Diagnose van Proxy-artefacten: Het artikel identificeert dat de schijnbare "overtredingen" (waarbij $\rho > 1$), waargenomen in een vastgehouden werklast in het auteursrecht-domein bij $k=3$, artefacten zijn van de empirische Bernstein-proxy bij kleine steekproefgroottes ($N=4$).
   • Bij $N=4$ domineert de deterministische term in de Bernstein-grens de berekening, waardoor de UEBB-schatting wordt opgeblazen, zelfs wanneer de gemiddelde besteding laag is.
   • Het opnieuw evalueren van dezezelfde prompts met grotere toewijzingen ($N=20$) of bij een hogere begroting ($k=5$) doet de ratio instorten tot $\rho \in [0,26, 0,40]$, wat bevestigt dat de decoder zijn begroting feitelijk niet heeft overschreden.

Resultaten

• Begrotingsruimte: Bij de vaste werklast is de gemiddelde besteding consistent $\lesssim 0,3K$. Zelfs met een conservatieve range-parameter blijft de UEBB onder $K$.
• Oppervlakte-overlap: ROUGE-L-scores zijn $\le 0,20$ en 5-gram Jaccard-scores zijn $\le 0,05$, wat wijst op beperkte letterlijke kopiëren in de vaste werklast.
• Het "Overtreding"-artefact: Drie prompts in de vastgehouden set toonden $\rho > 1$ bij $k=3$. Analyse onthulde:
  • De gemiddelde besteding was ongeveer 180-200 (ruim onder $K=600$).
  • De deterministische Bernstein-term alleen was verantwoordelijk voor 71–97% van de effectieve begroting bij $N=4$.
  • Het verhogen van $N$ naar 20 of het verdubbelen van $K$ naar 1000 ($k=5$) loste de "overtreding" op, wat resulteerde in $\rho < 0,5$.
• Beperkingen van de Zoektocht: De adversariële zoektocht verbeterde de initiële seed-prompts niet significant. Het archiefmaximum voor $k=3$ werd in de eerste generatie vastgesteld en bleef statisch, wat suggereert dat de surrogate verzadigd was en de zoektocht werd gedreven door de kwaliteit van de seeds in plaats van optimalisatie.

Betekenis en Claims
Het artikel concludeert dat de implementatie van Verankerde Decoding aanzienlijke ruimte vertoont ten opzichte van zijn geconfigureerde begrotingen en niet faalt onder de geteste omstandigheden. De primaire betekenis van het werk ligt in de diagnose van de auditmethodiek zelf:

• Proxy versus Mechanisme: De studie onderscheidt tussen het gedrag van het decoding-mechanisme en het gedrag van de statistische proxy die wordt gebruikt om dit te auditeren. De "overtredingen" waren geen bewijs van begrotingsuitputting door de decoder, maar eerder een falen van de proxy om strak te zijn onder toewijzingen met kleine steekproeven ($N=4$).
• Protocolaanbevelingen: De auteurs stellen specifieke protocolwijzigingen voor om dergelijke artefacten in toekomstige audits te voorkomen:
  1. Een minimum steekproefgrootte ondergrens afdwingen (bijv. $N \ge 20$) voor prompts met hoge voorlopige bestedingsratio's.
  2. De breedte van de Bernstein-grens rapporteren naast het punt-estimation om onzekerheid aan te geven.
  3. Gegevensafhankelijke range-parameters ($R_{eff}$) gebruiken in plaats van conservatieve worst-case grenzen.
  4. Zorgen voor capaciteitsmatching tussen de veilige anker en het risicovolle doel om het verwarren van capaciteitsgaten met divergentie in memorisatie te voorkomen.

De auteurs stellen expliciet dat dit een empirische audit is, geen formele verificatie, en dat de resultaten de noodzaak benadrukken van zorgvuldige proxy-calibratie bij het evalueren van veiligheidsmechanismen onder adaptieve steekproeven.