ArithmAttack: Evaluating Robustness of LLMs to Noisy Context in Math Problem Solving

1. Problema e Motivação

Embora os Grandes Modelos de Linguagem (LLMs) tenham demonstrado capacidades impressionantes na resolução de problemas matemáticos, sua robustez contra entradas ruidosas (adversariais) ainda é pouco estudada. Trabalhos anteriores focaram em alterações semânticas (substituição de palavras por sinônimos) ou erros tipográficos, que podem alterar o significado ou a estrutura lógica do texto.

O artigo identifica uma lacuna: como os LLMs reagem a ruído de contexto na forma de pontuação aleatória inserida, sem alterar as palavras ou o significado semântico da frase? O objetivo é investigar se a simples presença de pontuação extra e irregular pode quebrar a capacidade de raciocínio dos modelos, mesmo quando a semântica permanece intacta.

2. Metodologia: ArithmAttack

Os autores propõem o ArithmAttack, uma técnica de avaliação de robustez inspirada no método AEDA (An Easier Data Augmentation).

• Mecanismo de Ataque: O método insere aleatoriamente marcas de pontuação (., ,, !, ?, ;, :) no texto dos problemas matemáticos.
• Preservação Semântica: Diferente de outras abordagens, o ArithmAttack não adiciona nem remove palavras. Apenas pontuação é inserida em posições aleatórias. Isso garante que a similaridade semântica entre o prompt original e o perturbado permaneça em 100% (medido via Universal Sentence Encoder).
• Níveis de Ruído: O ruído é aplicado em três níveis de intensidade, correspondendo a 10%, 30% e 50% do comprimento total da frase (baseado no número de palavras).
• Prompting: Os modelos são avaliados usando a técnica Zero-Shot Chain of Thought (CoT), onde se pede para o modelo pensar passo a passo e fornecer a resposta final.

3. Configuração Experimental

• Conjuntos de Dados:
  • GSM8K: 8.5K problemas de matemática do ensino fundamental (1.32k pontos de teste), focado em raciocínio lógico e aritmético.
  • MultiArith: 180 pontos de teste cobrindo múltiplos tipos de problemas aritméticos.
• Modelos Avaliados: Oito LLMs variados, incluindo:
  • Llama (Llama-3-8B e Llama-3.1-8B)
  • Mistral (Mistral-7B e Mathstral-7b)
  • Gemma2 (2B)
  • Zephyr (7B)
  • Qwen2.5 (1.5B)
  • DeepSeek (8B)
• Métricas de Avaliação:
  • Acurácia (Acc %): Porcentagem de respostas corretas.
  • Taxa de Sucesso do Ataque (ASR): A proporção de respostas que estavam corretas no prompt limpo, mas se tornaram incorretas após o ataque de ruído.
  • Taxa de Falha na Extração (Miss Rate): Frequência com que o modelo gera a resposta correta, mas o script de extração falha em capturá-la (devido a formatação caótica).

4. Resultados Principais

Os experimentos revelaram vulnerabilidades significativas em todos os modelos estudados:

• Degradação de Desempenho: Para todos os modelos, o aumento do ruído (de 10% para 50%) resultou em uma queda consistente na acurácia.
  • No GSM8K, a queda foi mais acentuada. Por exemplo, o Zephyr caiu de 23.27% (limpo) para 10.08% (50% de ruído), enquanto o Llama3.1 manteve o melhor desempenho relativo, caindo de 82.25% para 77.02%.
  • No MultiArith, a queda também foi observada, mas o Llama3 mostrou-se o mais robusto (queda mínima).
• Taxa de Sucesso do Ataque (ASR):
  • Modelos como Zephyr apresentaram ASR extremamente altos (até 77.10% no MultiArith), indicando que o ruído inverteu a maioria das respostas corretas.
  • Os modelos da família Llama (especialmente Llama3 e Llama3.1) e o DeepSeek apresentaram os menores valores de ASR, demonstrando maior resiliência.
• Comparação entre Modelos:
  • O Mathstral (especializado em matemática) superou o Mistral base, sugerindo que o conhecimento matemático prévio ajuda na robustez contra ruído.
  • O Zephyr foi o pior desempenho geral, com baixa acurácia limpa e alta sensibilidade ao ruído.
• Dificuldade do Dataset: A queda de desempenho foi mais pronunciada no GSM8K (mais difícil) do que no MultiArith, sugerindo que modelos lutam mais com ruído em problemas de maior complexidade.

5. Contribuições Chave

1. Proposta do ArithmAttack: Introdução de um método simples, mas eficaz, para avaliar a robustez de LLMs em tarefas de raciocínio matemático usando apenas ruído de pontuação, mantendo a semântica intacta.
2. Avaliação Abrangente: Teste sistemático de oito LLMs modernos em dois conjuntos de dados padrão, estabelecendo uma linha de base para a vulnerabilidade de modelos a perturbações não semânticas.
3. Descoberta de Vulnerabilidade: Evidência empírica de que mesmo ruídos que não alteram o significado das palavras podem quebrar o fluxo de raciocínio (Chain of Thought) dos LLMs.

6. Significado e Conclusões

O estudo demonstra que a robustez dos LLMs atuais em tarefas matemáticas é frágil frente a perturbações superficiais de formatação. O fato de que a inserção de pontuação aleatória degrade o desempenho sugere que os modelos dependem fortemente de padrões estruturais e de tokenização específicos, e não apenas da compreensão semântica profunda.

• Implicações: Modelos que parecem robustos em condições ideais podem falhar catastróficamente em cenários do mundo real onde o texto pode conter erros de digitação ou formatação inconsistente.
• Trabalho Futuro: Os autores sugerem expandir a pesquisa para outros tipos de ruído (erros gramaticais, abreviações erradas), outros conjuntos de dados e tarefas de raciocínio lógico/causal, além de investigar por que esse ruído específico quebra o raciocínio dos modelos.

Em resumo, o ArithmAttack expõe uma vulnerabilidade crítica: a capacidade de raciocínio matemático dos LLMs é sensível a "ruído visual" no texto, mesmo quando o conteúdo lógico permanece inalterado.