Skin-Deep: A Geometric Diagnostic for Alignment Fragility in Large Language Model Representations

Technische Samenvatting: SKIN-DEEP: Een Geometrische Diagnostiek voor Alignment Fragiliteit

Probleemstelling
Alignment-tuning in Large Language Models (LLM's) is ontworpen om een robuuste weigering van schadelijke verzoeken te garanderen. Deze veiligheidsgedrag is echter vaak fragiel: een model dat bij release weigeringstests doorstaat, kan zijn vermogen tot weigering verliezen na het ondergaan van goedkope downstream-interventies, zoals fine-tuning op ogenschijnlijk onschuldige voorbeelden of het trainen van low-rank adapters (LoRA). Hoewel eerder werk heeft aangetoond dat dergelijke interventies de veiligheid kunnen omzeilen, detecteren bestaande studies deze fragiliteit over het algemeen pas nadat een aanval of fine-tuning-interventie is uitgevoerd. Er is momenteel geen methode om deze fragiliteit direct uit de interne representaties van het gealigneerde model te detecteren voordat dergelijke interventies plaatsvinden.

Methodologie: SKIN-DEEP
De auteurs introduceren SKIN-DEEP, een geometrisch diagnostisch framework dat alignment-fragiliteit meet met behulp van de verborgen-toestand activaties van een gealigneerd model vóór enige interventie. De methode werkt via de volgende stappen:

1. Subspace Search (Subruimte Zoektocht): Het framework vergelijkt de residual-stream activaties van een gealigneerd model ($M$) met die van zijn basis-tegenhanger ($M_0$) op gematchte sets van schadelijke verzoek-prompts en onschuldige instructies. Met behulp van contrastive PCA (cPCA) identificeert het kandidaat-richtingen ($v_\ell$) op elke laag $\ell$ die schadelijke verzoeken het beste scheiden van onschuldige instructies.
2. Validatie: Om te waarborgen dat deze richtingen echte veiligheidsgeometrie vertegenwoordigen en geen artefacten (bijv. activatiemagnitude of prompt-templates), gebruiken de auteurs:
   • Cohen's $d$: Om de scheidingsmagnitude langs de kandidaat-richting te meten.
   • Full-space tests: Gebruikmakend van PERMANOVA en RBF-kernel MMD om te verifiëren dat de splitsing bestaat in de volledige activatieruimte, niet alleen in de 1D-projectie.
   • Norm-controles: Verifiëren dat de resultaten standhouden op eenheids-genormaliseerde activaties.
   • Arditi Direction Comparison: Het meten van de cosinus-gelijkenis met de bekende "Arditi-richting" (het verschil tussen de gemiddelde schadelijke en onschuldige activaties) om te verzekeren dat de teruggevonden geometrie onderscheidend is van of gerelateerd is aan bekende weigeringsassen.
3. Causale Verificatie (Direction Ablation): Het framework test de gedragsrelevantie van deze richtingen door de kandidaat-richting te verwijderen (ableren) tijdens generatie. Als de weigeringsratio van het model significant daalt vergeleken met willekeurige of referentie-richting controles, is de geometrie causaal verbonden met het weigeringsgedrag.
4. Geometric Fragility Score (GFS): De laag-specifieke metingen worden gecomprimeerd tot één enkele scalaire metriek, de Geometric Fragility Score (GFS). De formule aggregeert gewogen scheidingssterkte ($|d_\ell|$), waarbij de nadruk ligt op latere lagen ($w_\ell \propto \ell/L$), en weegt richtingen die te nauw aansluiten bij de bekende Arditi-weigeringsas naar beneden:
   $$GFS(M) = \sum_{\ell=1}^{L} w_\ell \cdot |d_\ell| \cdot (1 - |\cos(v_\ell, v^{Arditi}_\ell)|)$$
   Een hoge GFS duidt op een sterke, laat verschijnende veiligheidsgeometrie die niet uitsluitend geconcentreerd is op de canonieke weigeringsas.

Belangrijkste Bijdragen en Resultaten
Het paper evalueert SKIN-DEEP op een verzameling van 21 instructie-getunede modellen (3B–32B parameters) over zes alignment-recepten (SFT, RLHF+SFT, DPO, ORP0, RLAIF, C-RLFT). De resultaten ondersteunen vier hoofdclaims:

• Bestaan van een Low-Rank Safety Subspace: Schadelijke verzoeken en onschuldige instructies scheiden langs een kleine set verborgen-toestand richtingen. Deze scheiding blijft bestaan in de volledige activatieruimte en is robuust tegen prompt-formattering (chat-templates) en variaties in activatie-normen.
• Causale Link naar Weigering: Het verwijderen van specifieke richtingen geïdentificeerd door de cPCA-zoektocht verzwakt de weigering van schadelijke verzoeken in modellen waar een afname meetbaar is. Dit bevestigt dat de teruggevonden geometrie ten grondslag ligt aan het weigeringsgedrag, en niet slechts aan prompt-classificatie. De specifieke "weigerings-veranderende" richting varieert per model, wat suggereert dat er een gedeelde low-rank subspace is die model-specifieke vectoren bevat in plaats van een enkele universele weigeringsvector.
• Recurrentie over Families: Verschillende modelfamilies (bijv. Llama, Qwen, Mistral, Gemma) behouden vergelijkbare prompt-naar-prompt activatie-relaties binnen deze veiligheidssubspace, ook al varieert de laag waar de scheiding het sterkst is per model.
• Diagnostische Nut (GFS): De GFS voorspelt succesvol welke aanvankelijk veilige modellen de meeste weigering zullen behouden na kleine schaal LoRA fine-tuning. In experimenten ontving Gemma-2-9B de laagste GFS en was dit het enige model dat substantiële weigering behield na agressieve onschuldige LoRA-updates, terwijl andere modellen (Lseren, Qwen, Mistral) snel hun weigeringsvermogen verloren. De auteurs schrijven de veerkracht van Gemma toe aan het feit dat haar veiligheidsrichtingen dichter bij de canonieke Arditi-weigeringsas blijven, wat de GFS-formule naar beneden weegt, waardoor het correct als minder "fragiel" wordt aangemerkt in de context van low-rank perturbaties.

Betekenis en Claims
Het paper vestigt GFS als een praktische pre-deployment diagnostiek. De primaire betekenis ligt in de mogelijkheid om alignment-fragiliteit te signaleren zonder een aanval of fine-tuning-interventie uit te voeren. Door de geometrische signatuur van weigering in de residual stream te inspecteren, kunnen ontwikkelaars modellen identificeren die vertrouwen op breekbare veiligheidsmechanismen voordat ze worden uitgebracht.

De auteurs positioneren dit werk als een instrument voor defensief nut:

• Het helpt bij het signaleren van onder-gealigneerde checkpoints.
• Het helpt bij het prioriteren van veiligheids-fine-tuning of interpretabiliteits-probes.
• Het helpt bij het triageren van red-teaming budgetten.

Het paper vermeldt expliciet beperkingen, waaronder de reikwijdte van modelgroottes (tot 32B), het gebruik van enkel Engelstalige prompts, en het feit dat de GFS-ranking voor alignment-recepten (bijv. DPO-modellen die meer robuust lijken) een hypothese is die verdere validatie vereist op grotere populaties. De auteurs benadrukken ook een dual-use risico: hoewel de diagnostische pipeline wordt vrijgegeven, worden specifieke aanval-gereed artefacten (zoals laag-specifieke ablation hooks en adapter-gewichten) achtergehouden om directe exploitatie te voorkomen, hoewel zij erkennen dat vastberaden tegenstanders vergelijkbare pipelines kunnen reconstrueren met publieke data.