Technische Samenvatting: Risico onder Druk: Compute-bewuste Evaluatie van Adversariële Robuustheid in Taalmodellen

Probleemstelling

Huidige evaluaties van de adversariële robuustheid van Large Language Models (LLMs) vertrouwen voornamelijk op de Attack Success Rate (ASR), gemeten onder vaste query-budgetten. Deze aanpak behandelt alle aanvalsstappen impliciet als gelijkwaardig qua kosten, waarbij voorbij wordt gegaan aan het feit dat verschillende aanvalsstrategieën (bijv. gradiënt-gebaseerde optimalisatie versus template-gebaseerde prompting) computationele kosten meten die met grootheden kunnen variëren. Als gevolg hiervan wordt een model dat 100 queries van een goedkope template-aanval nodig heeft om te falen, identiek gescoord als een model dat onmiddellijk faalt, wat de werkelijke "work factor" of de adversariële inspanning die nodig is om een systeem te doorbreken, vertroebelt. Deze beperking belemmert de mogelijkheid om te bepalen of de computationele kosten van een aanval de opbrengst voor een aanvaller rechtvaardigen en maakt het moeilijk om modellen te vergelijken onder een gelijkwaardig budget aan de aanvaller.

Methodologie

De auteurs stellen een compute-bewust evaluatiekader voor dat query-aantallen vervangt door computationele druk, gemeten in cumulatieve floating-point operaties (FLOPs), als een proxy voor de adversariële inspanning.

Kernkader

1. Budgetted Iteratieve Verfijning: Aanvallen worden gemodelleerd als iteratieve processen waarbij een aanvalsbeleid $\pi$ prompts voorstelt, een doelmodel $M$ responsen genereert, en een veiligheidsbeoordelaar $E$ de uitkomsten evalueert. Deze lus gaat door totdat een succes wordt gevonden of een query-budget $\lambda$ is uitgeput.
2. FLOPs Rekenkundige Verantwoording: Het kader berekent de cumulatieve FLOPs voor elke stap, inclusclusief:
   • Forward passes door het doelmodel (generatie en evaluatie).
   • Backward passes voor gradiënt-gebaseerde aanvallen (white-box).
   • Forward passes door hulp-aanvallersmodellen (black-box verfijning).
   • Forward passes door de veiligheidsbeoordelaar.
   • Kosten worden afgeleid met standaard transformer FLOP-benaderingen ($C_{fwd} \approx 2NL$), wat zorgt voor hardware-agnostische vergelijkbaarheid.
3. Risico-Compute Curves: In plaats van een enkel ASR-punt, genereert het kader curves die cumulatieve FLOPs (x-as) mappen aan empirisch risico (y-as).
4. Samenvattende Metrieken:
   • C@$\tau$ (Compute tot $\tau$-risico): De gemiddelde cumulatieve FLOPs die een aanval vereist om voor het eerst een specifieke risicodrempel te bereiken (bijv. 50%). Hogere waarden duiden op grotere robuustheid.
   • Gemiddelde Efficiëntie (AE): Het genormaliseerde verwachte risico per FLOP ($CAURC / \bar{C}_{max}$). Lagere waarden geven aan dat een model moeilijker te exploiteren is per eenheid aan compute.

Experimentele Opzet

Het kader werd toegepast op:

• Modellen: Tien modellen verspreid over drie families (Tulu3, Qwen2.5, Qwen3) en diverse trainingsstadia (Base, SFT, DPO, RLVR, SafeRL).
• Aanvallen: Drie verschillende strategieën:
  • JailBroken: Template-gebaseerd (willekeurige obfuscatie).
  • PAIR: Black-box iteratieve verfijning met een aanvallers-LLM.
  • GCG: White-box gradiënt-gebaseerde coördinaat-gradiënt optimalisatie.
• Benchmarks: HarmBench (200 gedragingen) en JailbreakBench (100 gedragingen).

Belangrijkste Resultaten

De compute-bewuste analyse onthulde patronen die onzichtbaar zijn voor standaard ASR-metrieken:

1. Niet-monotone Effecten van Alignment: Alignment-training verhoogt de robuustheid niet lineair. In de Tulu3-familie vertoonde de Supervised Fine-Tuning (SFT)-fase vaak de hoogste robuustheid (bijv. GCG en PAIR bereikten geen 50% risico binnen het budget). Vervolgende alignment via Direct Preference Optimization (DPO) en Reinforcement Learning with Verifiable Rewards (RLVR) verminderde vaak de robuustheid, met name tegen template-gebaseerde aanvallen, ondanks een hogere ASR in sommige gevallen.
2. Asymmetrische Schalingsvoordelen: Het vergroten van de modelgrootte (bijv. Qwen2.5 van 0.5B naar 7B) verhoogde de computationele kosten voor gradiënt-gebaseerde aanvallen aanzienlijk (20$\times$ toename in C@0.5), maar bood minimale bescherming tegen goedkope template-gebaseerde aanvallen (slechts 2.8$\times$ toename). Standaard ASR-metrieken maskeerden deze discrepantie door vergelijkbare succespercentages over verschillende schalen te tonen.
3. Surrogaat-aanval Transfer: Gradiënt-gebaseerde aanvallen (GCG) geoptimaliseerd op een klein, open-weight surrogaatmodel (Qwen2.5-0s.5B) transleerden succesvol naar een groter, closed-weight doelmodel (Qwen3-8B) tegen een fractie van de oorspronkelijke kosten. Hoewel de transfer niet altijd hoge risicoregimes bereikte, toonde het aan dat aanvallers kosten kunnen verlagen door op surrogaten te optimaliseren.
4. Heterogeniteit over Harm-categorieën: Binnen een enkel model varieerde de computationele kosten om veiligheid te doorbreken met wel $\approx 5\times$ over verschillende harm-categorieën (bijv. intimidatie versus cybercriminaliteit). Safety-aligned RL verhoogde de geaggregeerde kosten, maar liet bepaalde categorieën (bijv. cybercriminaliteit, illegale activiteiten) onevenredig toegankelijk of zelfs efficiënter exploiteerbaar (hogere AE) achter voor het base-model.
5. Safety-RL Trade-offs: Hoewel Safety-RL over het algemeen de geaggregeerde adversariële kosten verhoogde, introduceerde het specifieke kwetsbaarheden. Bijvoorbeeld, onder GCG was het SafeRL-model strikt minder robuust dan zijn base-tegenhanger, wat suggereert dat er een mismatch is tussen de distributie van de RL-training prompts en de door gradiënt-optimalisatie ontdekte token-sequenties.

Betekenis en Claims

Het paper betoogt dat robuustheid een functie is van computationele kosten, niet alleen van mogelijkheid. Door een veiligheidscentrisch "work factor"-perspectief te hanteren, claimen de auteurs:

• Operationele Relevantie: Een kwetsbaarheid is alleen operationeel relevant als deze exploiteerbaar is binnen een realistisch budget van de aanvaller. Het verhogen van de computationele kostenvloer kan even effectief zijn als het verlagen van de succespercentages.
• Beperkingen van Statische Metrieken: Standaard ASR-scores onder vaste query-budgetten overschatten de robuustheid systematisch door de variërende efficiëntie van verschillende aanvalsklassen en de niet-lineaire effecten van modelschaling en alignment te negeren.
• Verenigde Vergelijking: Het voorgestelde kader maakt eerlijke vergelijkingen mogelijk tussen diverse aanvalsstrategieën (white-box versus black-box) en modelconfiguraties door ze te normaliseren tegen een gedeelde compute-as.
• Genuanceerde Veiligheidsbeoordeling: Safety-tuning is geen monolithische verbetering; het creëert een ongelijkmatig beschermingslandschap waar bepaalde categorieën aanzienlijk moeilijker te doorbreken zijn, terwijl andere kwetsbaar blijven of zelfs efficiënter aan te vallen zijn (hogere AE).

De auteurs concluderen dat kostenbewuste adversariële beoordeling noodzakelijk is om de werkelijke risico's van LLM-implementatie accuraat in te schatten, aangezien modellen die robuust lijken onder query-aantal metrieken, fataal kunnen falen wanneer ze worden geëvalueerd onder compute-bewuste druk.