Resumo Técnico: NeuroStrike – Ataques em Nível de Neurônio em LLMs Alinhados

1. Problema e Motivação

A segurança e o alinhamento ético são fundamentais para a implantação responsável de Grandes Modelos de Linguagem (LLMs). Técnicas atuais, como Fine-Tuning Supervisionado (SFT) e Aprendizado por Reforço com Feedback Humano (RLHF), visam evitar a geração de conteúdo prejudicial. No entanto, essas defesas são frágeis:

• Vulnerabilidade a Jailbreaks: Modelos alinhados podem ser contornados por prompts adversariais cuidadosamente construídos.
• Falta de Generalização: Os métodos de ataque existentes dependem de tentativa e erro, não se generalizam bem entre diferentes arquiteturas e são limitados em escalabilidade.
• Mecanismos de Defesa Opacos: Estudos anteriores tentaram interpretar a segurança em nível de camada ou recurso, mas falharam em identificar componentes críticos específicos, muitas vezes implicando até 10% dos parâmetros do modelo como relacionados à segurança, o que torna a defesa ineficiente.

O artigo propõe que o alinhamento de segurança cria um "gatilho" fundamental, mas frágil, baseado em um conjunto esparso e especializado de neurônios (denominados neurônios de segurança) responsáveis por detectar e suprimir entradas maliciosas.

2. Metodologia: NeuroStrike

O NeuroStrike é um framework de ataque leve e generalizável que explora a dependência de modelos alinhados em relação a esses neurônios de segurança específicos. O framework opera em dois cenários principais:

A. Cenário White-Box (Modelos de Pesos Abertos)

1. Identificação de Neurônios: O ataque analisa as ativações dos neurônios nas camadas de feedforward (MLP) do modelo. Utiliza-se um classificador linear (regressão logística) treinado para distinguir entre ativações geradas por prompts benignos e maliciosos.
2. Seleção Esparsa: Neurônios com pesos significativamente altos na classificação de "malicioso" são identificados como neurônios de segurança. A análise revela que apenas uma fração minúscula (< 0,6%) dos neurônios em uma camada é crítica para a segurança.
3. Poda (Pruning): Durante a inferência, as ativações desses neurônios identificados são zeradas (poda). Isso desativa o mecanismo de segurança interno, permitindo que o modelo processe e responda a solicitações maliciosas sem recusar, mantendo sua capacidade de linguagem geral.

B. Cenário Black-Box (Modelos Proprietários/Com API)

Como o atacante não tem acesso aos pesos internos, o NeuroStrike utiliza uma abordagem de Perfilagem de LLM:

1. Uso de Modelo Surrogato: O atacante seleciona um modelo de pesos aberto (surrogato) que compartilhe arquitetura ou origem com o modelo alvo (ex: usar Gemma para atacar Gemini).
2. Transferência de Neurônios: Assume-se que os neurônios de segurança são transferíveis entre modelos da mesma família. Os neurônios críticos são identificados no modelo surrogato.
3. Gerador de Prompts Adversariais: Um gerador de prompts é treinado no modelo surrogato usando GRPO (Group Relative Policy Optimization).
   • Função de Recompensa: O GRPO otimiza duas metas simultaneamente: (1) maximizar o sucesso do jailbreak no surrogato e (2) minimizar a ativação dos neurônios de segurança identificados.
4. Ataque: Os prompts gerados e otimizados são transferidos para o modelo alvo black-box, explorando a similaridade estrutural dos mecanismos de segurança para contornar as defesas sem interação direta com os pesos internos.

3. Contribuições Principais

• Nova Perspectiva Teórica: Identifica que o alinhamento de segurança é implementado via neurônios esparsos e especializados, criando um "ponto único de falha" no espaço latente do modelo.
• Framework de Ataque Unificado: Apresenta o NeuroStrike, capaz de atacar tanto modelos abertos (via poda direta) quanto modelos fechados (via perfilagem e transferência).
• Primeiro Ataque de Perfilagem de LLM: Propõe um método para atacar modelos black-box explorando a transferência de neurônios de segurança entre modelos surrogatos e alvos proprietários.
• Alta Eficiência e Generalização: Demonstra que remover menos de 0,6% dos neurônios é suficiente para comprometer drasticamente a segurança, com resultados consistentes em modelos de texto e multimodais.

4. Resultados Experimentais

Os autores avaliaram o NeuroStrike em mais de 20 modelos de pesos abertos (Meta, Google, Alibaba, DeepSeek, Microsoft) e 5 modelos black-box (incluindo a família Gemini).

• Ataques White-Box:

  • Ao podar apenas 0,4% a 0,6% dos neurônios, a Taxa de Sucesso do Ataque (ASR) aumentou de 12,1% (sem poda) para 76,9% em média.
  • Modelos Multimodais: O método alcançou 100% de ASR em entradas de imagem maliciosas em modelos como Gemma-3 e Qwen2.5-VL, demonstrando que os neurônios de segurança identificados via texto também controlam a segurança visual.
  • Transferência: Neurônios identificados em um modelo base foram transferidos com sucesso para 11 modelos fine-tuned (ASR subiu de 25,1% para 78,5%) e 5 modelos distilled (ASR subiu de 41,5% para 77,7%).

• Ataques Black-Box:

  • O ataque de perfilagem alcançou uma ASR média de 63,7% em modelos proprietários (incluindo Gemini-2.0-Flash e Gemini-1.5-Pro), superando significativamente prompts vanilla (3,5%) e jailbreaks manuais (13,5%).
  • O método superou técnicas state-of-the-art como PAIR e TAP, e foi competitivo com Puzzler, mas com a vantagem de ser executado offline (menor risco de detecção).

• Impacto na Utilidade (Utility):

  • A poda dos neurônios de segurança não degradou significativamente as capacidades gerais do modelo em benchmarks de raciocínio e compreensão de linguagem (ex: ARC Challenge, HellaSwag), indicando que a segurança é isolada em sub-redes específicas.

• Resiliência a Defesas:

  • O NeuroStrike conseguiu contornar defesas como Perplexity Filtering, SmoothLLM e Layer-Specific Editing (LSE), mantendo taxas de sucesso elevadas.

5. Significado e Implicações

O artigo revela uma vulnerabilidade fundamental na arquitetura atual de alinhamento de LLMs: a segurança não é distribuída de forma robusta por toda a rede, mas sim concentrada em um pequeno conjunto de neurônios.

• Fragilidade do Alinhamento: A dependência de "bilhetes vencedores" (sub-redes esparsas) para segurança torna os modelos suscetíveis a ataques direcionados.
• Necessidade de Novas Defesas: O trabalho sugere que futuras estratégias de alinhamento devem evitar a concentração de responsabilidades de segurança em poucos neurônios, possivelmente adotando estratégias multi-objetivo ou arquiteturas que dispersem essas funções (como Mixture-of-Experts).
• Risco de Segurança: A capacidade de desativar a segurança com poucas modificações ou prompts otimizados representa um risco crítico para a implantação de LLMs em ambientes de produção, especialmente contra modelos proprietários onde o acesso aos pesos é limitado.

O artigo conclui que é urgente desenvolver métodos de alinhamento que previnam a localização da segurança em componentes facilmente exploráveis, garantindo uma robustez mais distribuída e resiliente.