Resumo Técnico: Defesa Aumentada por Recuperação (RAD)

Declaração do Problema

Os Grandes Modelos de Linguagem (LLMs) permanecem vulneráveis a ataques de jailbreak, nos quais atores maliciosos modificam entradas para induzir respostas prejudiciais ou antiéticas. Os mecanismos de defesa existentes enfrentam dois desafios primários:

1. Adaptabilidade: A emergência rápida de estratégias de ataque diversas e em evolução torna difícil a atualização dos sistemas de defesa sem retreinamentos custosos do modelo.
2. Compromisso entre Segurança e Utilidade (Safety-Utility Trade-off): Estratégias de defesa agressivas frequentemente levam a altas taxas de recusa falsa (bloqueio de consultas benignas), enquanto estratégias lenientes falham em bloquear conteúdo prejudicial. Há uma necessidade de um mecanismo para controlar esse compromisso com base em requisitos específicos de implantação e tolerâncias de risco.

Metodologia: Defesa Aumentada por Recuperação (RAD)

Os autores propõem a Defesa Aumentada por Recuperação (RAD), um framework livre de treinamento que detecta tentativas de jailbreak usando Geração Aumentada por Recuperação (RAG) e classificação de ensemble. Diferente das defesas baseadas em RAG anteriores que interferem na geração da resposta, o RAD opera como um sistema de detecção autônomo.

Componentes Principais

O pipeline do RAD consiste em uma fase de construção de banco de dados offline e cinco etapas de processamento online:

1. Construção do Banco de Dados:

   • Um banco de dados é construído contendo pares de consultas originais do usuário ($q_i$) e seus respectivos prompts de jailbreak ($x_i$).
   • Usando um LLM, o sistema infere a estratégia de jailbreak subjacente ($\tilde{S}_i$) e a orientação de extração ($\tilde{G}_i$) para cada entrada.
   • O prompt de jailbreak $x_i$ serve como a chave para a recuperação de incorporação de texto denso (dense text embedding retrieval).

2. Pipeline de Detecção Online:

   • Recuperar (Retrieve): Dada uma nova entrada de prompt $x$, o sistema recupera os $K$ exemplos de jailbreak mais similares do banco de dados usando similaridade de cosseno.
   • Reclassificar (Rerank): O conjunto recuperado é reclassificado para garantir a relevância das estratégias inferidas. Dois métodos de pontuação são propostos:
     • Pontuação PMI: Usa Informação Mútua de Ponto (Pointwise Mutual Information) para medir a associação entre a estratégia e a entrada.
     • Pontuação de Verossimilhança da Estratégia: Usa a probabilidade da estratégia dado o input.
     • Um elemento de "sem estratégia" é incluído para lidar com consultas benignas.
   • Extrair (Extract): Para cada par estratégia-orientação de topo, um LLM extrai uma consulta original do usuário candidata ($\bar{q}_j$) do prompt de entrada, tentando efetivamente inverter a transformação do ataque.
   • Classificar (Classify): O sistema calcula a probabilidade de nocividade para cada consulta extraída ($P_j$) condicionada à consulta, à estratégia e ao input original.
   • Votar (Vote): As probabilidades individuais são agregadas via Votação Majoritária (média) ou Votação Ponderada (ponderada pela probabilidade conjunta posterior) para produzir uma probabilidade final de nocividade $P(\text{harmful}|x)$.

3. Decisão e Controle:

   • A probabilidade final é comparada contra um limiar ajustável $\tau$. Se $P(\text{harmful}|x) \ge \tau$, o sistema emite uma recusa rígida (hard refusal); caso contrário, o prompt é passado para o LLM alvo.
   • O ajuste de $\tau$ permite que os profissionais controlem explicitamente o equilíbrio entre segurança (bloqueio de prompts prejudiciais) e utilidade (preservação de respostas benignas).

Contribuições Principais

1. Adaptabilidade Livre de Treinamento: O RAD permite atualizações contínuas simplesmente adicionando novos exemplos de ataque ao banco de dados. Isso permite que o sistema neutralize estratégias de jailbreak emergentes (ex: novas variantes de PAIR ou PAP) sem retreinar os modelos subjacentes.
2. Desempenho de Defesa Robusto: O RAD reduz substancialmente a eficácia de ataques de jailbreak fortes (incluindo ataques PAP, PAIR e de Template) em múltiplos modelos alvo (Qwen, GPT-4o, Llama), mantendo baixas taxas de recusa falsa em consultas benignas.
3. Compromisso Controlável entre Segurança e Utilidade: Os autores introduzem um esquema de avaliação baseado em Curvas de Operação (Pontuação de Defesa vs. Orçamento de Taxa de Recusa Falsa). O RAD demonstra uma fronteira de Pareto robusta, permitindo que os usuários selecionem pontos de operação que se alinhem com suas tolerâncias de risco de aplicação específicas.
4. Preservação de Utilidade: Como um sistema apenas de detecção, o RAD evita as modificações de prompt exigidas por outras defesas (como Análise de Intenção ou Recuperação de Contexto de Segurança), preservando assim o desempenho do modelo alvo em tarefas gerais de QA (AlpacaEval 2.0, MMLU).

Resultados Experimentais

Experimentos foram conduzidos no benchmark StrongREJECT e em conjuntos de dados de QA geral:

• Mitigação de Ataque: O RAD reduziu significativamente as pontuações de ataque no StrongREJECT. Por exemplo, contra o ataque PAP no Qwen-2.5-14B-Instruct, o RAD-Base-14B reduziu a pontuação de ataque de 81.51 (sem defesa) para 30.91. Contra ataques de Template e DAN, o RAD alcançou pontuações de ataque próximas de zero.
• Adaptabilidade: Quando novos exemplos de ataque (ex: ReNeLLM, SATA) foram adicionados ao banco de dados, o desempenho do RAD contra esses ataques específicos melhorou significativamente sem degradar o desempenho em ataques vistos anteriormente (demonstrando ausência de esquecimento catastrófico).
• Utilidade: O RAD manteve as taxas de vitória no AlpacaEval 2.0 e a precisão no MMLU quase idênticas à linha de base sem defesa, enquanto outros métodos (como Análise de Intenção) causaram degradação substancial na utilidade do modelo.
• Escalabilidade: O sistema permaneceu estável e eficaz mesmo quando o banco de dados foi escalado para mais de 500.000 exemplos.

Significância e Alegações

O artigo afirma que o RAD oferece uma solução prática e escalável para a segurança de LLMs que aborda as limitações dos mecanismos de defesa atuais. Sua principal significância reside em:

• Desacoplamento da Defesa do Treinamento: Ao utilizar uma abordagem de recuperação, ele elimina a necessidade de ciclos de retreinamento caros para se adaptar a novas ameaças.
• Controle Explícito: Fornece um mecanismo para que operadores ajustem o compromisso entre segurança e utilidade, reconhecendo que diferentes cenários de implantação exigem diferentes níveis de rigor.
• Generalização: Demonstra forte generalização dentro de famílias de ataques (ex: defendendo contra PAIR-5 usando apenas exemplos de PAIR-1) e através de diversos modelos alvo.

Os autores observam limitações, incluindo o foco atual em entradas apenas de texto (ainda não estendido para configurações multimodais) e a dependência das definições específicas de nocividade encontradas no benchmark StrongREJECT. Eles enfatizam que o sistema foi projetado exclusivamente para detecção e que o banco de dados de exemplos de ataque é restrito a pesquisadores autorizados para evitar o uso indevido.