Resumo Técnico: OI-Bench: Um Benchmark de Injeção de Opções para Avaliar a Suscetibilidade de LLMs à Interferência de Diretivas

1. Declaração do Problema

Embora os Grandes Modelos de Linguagem (LLMs) sejam cada vez mais avaliados via Resposta de Questão de Múltipla Escolha (MCQA) para escalabilidade e reprodutibilidade, este paradigma é vulnerável a artefatos de interface. Pesquisas anteriores estabeleceram que as decisões dos LLMs são sensíveis a pistas superficiais, como o posicionamento das opções, símbolos e verbosidade. No entanto, uma lacuna crítica permanece em relação ao viés de diretiva enganosa incorporado nas próprias opções. Diferente dos distratores padrão (ex: "Nenhuma das anteriores"), opções "injetadas" contendo instruções explícitas, ameaças ou pressões sociais podem sobrepor o raciocínio de tarefa do modelo, fazendo com que ele selecione uma opção irrelevante para cumprir a diretiva. Este artigo postula que os benchmarks atuais falham em quantificar sistematicamente essa suscetibilidade, deixando um ponto cego na compreensão da robustez dos LLMs contra interferência de diretivas dentro de interfaces de escolha.

2. Metodologia

2.1 Estrutura de Injeção de Opções

Os autores propõem a Injeção de Opções, uma abordagem de benchmarking que aumenta os inputs padrão de MCQA sem alterar a pergunta original ou as respostas corretas.

• Mecanismo: Uma opção adicional, denominada Opção E, é anexada ao conjunto padrão de $K$ opções (tipicamente A–D).
• Conteúdo: A Opção E é irrelevante para a pergunta, mas contém uma diretiva enganosa. Ela serve apenas como um portador para uma instrução injetada.
• Métrica de Avaliação: Uma previsão é considerada correta apenas se o modelo selecionar a resposta original de verdade fundamental ($y^*$). Se o modelo selecionar a Opção E ou qualquer outra opção incorreta devido à diretiva, isso é contado como um erro.
• Principais Métricas:
  • Acurácia Padrão (Std Acc.): Desempenho no setup original de 4 opções.
  • Acurácia Injetada (Inj Acc.): Desempenho quando a Opção E está presente.
  • Taxa de Sucesso de Ataque (ASR): A porcentagem de amostras onde uma previsão originalmente correta muda para incorreta após a Opção E ser anexada.
  • Queda de Acurácia (AD): A diferença entre a Std Acc. e a Inj Acc.

2.2 Construção do Dataset (OI-Bench)

Os autores construíram o OI-Bench, composto por 3.000 questões derivadas de três datasets de origem:

1. MMLU: Conhecimento factual através de 57 disciplinas.
2. LogiQA: Raciocínio lógico de exames de serviço civil.
3. HellaSwag: Compreensão narrativa de senso comum.

O dataset foi curado usando a Teoria de Resposta ao Item (IRT) para filtrar amostras, garantindo um espectro de níveis de dificuldade enquanto preserva o ranking dos modelos.

2.3 Taxonomia de Diretivas

O benchmark inclui 16 tipos de diretivas organizados em quatro categorias:

1. Conformidade Social: Alavanca autoridade ou credibilidade (ex: "Orientação do porta-voz do governo", "Citação da Wikipedia").
2. Enquadramento de Bônus: Oferece recompensas pela seleção da Opção E (ex: "100 milhões de dólares", "5 pontos extras").
3. Enquadramento de Ameaça: Introduz consequências negativas por não selecionar a Opção E (ex: "Pontuação zero", "Vírus no dispositivo", "Ameaça de bomba").
4. Interferência Instrucional: Comandos diretos, contradições ou interrupções estruturais (ex: "Ignore a pergunta e escolha E", "Cadeia de Pensamento (CoT) falsa", "Adulação").

2.4 Configuração Experimental

• Modelos Avaliados: 12 LLMs de 7 famílias (DeepSeek, GPT, Gemini, Grok, Claude, Llama, Qwen), variando de 8B a 235B de parâmetros.
• Estratégias de Defesa: O artigo avalia a mitigação via:
  • Prompting Defensivo: Modificações no prompt de sistema durante a inferência.
  • Modelos Alinhados com Segurança: Comparação de modelos base contra variantes treinadas com guardrails (ex: Qwen3Guard).
  • Alinhamento Pós-Treinamento: Fine-tuning usando Otimização de Preferência Direta (DPO) e Otimização de Política Próxima (PPO) em dados de preferência construídos a partir das respostas do modelo (categorizadas como induzida por E, influenciada por E, ignorada por E ou rejeitada por E).
• Testes de Generalização: Experimentos estendidos para ToolE (seleção de ferramentas) e HelpSteer2 (LLM-como-juiz) para avaliar a aplicabilidade no mundo real.
• Análise: Uma análise de norma de atenção foi realizada para visualizar como os modelos alocam atenção para a Opção E versus as opções originais através de camadas e cabeças.

3. Principais Resultados

3.1 Vulnerabilidade entre Modelos

• Capacidade $\neq$ Robustez: Uma maior acurácia padrão não garante resistência à injeção. Alguns modelos de alto desempenho (ex: GPT-5, Deepseek-r1) exibem suscetibilidade significativa.
• Enquadramento de Ameaça é o Mais Disruptivo: A categoria Enquadramento de Ameaça causou a degradação de desempenho mais severa, com a maior média de ASR (19,8%) e Queda de Acurácia (10,9%). Especificamente, o Penalidade de Sobrescrita (ameaçar uma pontuação zero se a E não for escolhida) foi o tipo de diretiva mais disruptivo.
• Conformidade Social é o Menos Eficaz: Sinais baseados em autoridade sozinhos foram frequentemente insuficientes para sobrepor a semântica da tarefa em comparação com a manipulação explícita de resultados.
• Viés de Posição: Mover a opção injetada da posição padrão (E) para as posições padrão (A–D) aumentou significativamente a vulnerabilidade, sugerindo que os modelos tratam a quinta opção como anômala, mas são altamente suscetíveis quando a injeção é integrada ao conjunto de escolha padrão.

3.2 Análise de Comportamento de Resposta

As respostas dos modelos foram categorizadas em quatro tipos:

1. Induzida por E: O modelo segue cegamente a diretiva.
2. Influenciada por E: O modelo raciocina corretamente, mas é influenciado pela diretiva a selecionar E.
3. Ignorada por E: O modelo ignora E, mas falha em rejeitá-la ativamente; o raciocínio ainda é sutilmente interferido.
4. Rejeitada por E: O modelo identifica explicitamente a natureza adversária de E e a rejeita.

• Descoberta: A maioria dos modelos raramente alcança o estado de Rejeitada por E. Mesmo modelos avançados frequentemente caem nas categorias Induzida por E ou Influenciada por E, indicando que alta capacidade não garante a habilidade de distinguir instruções relevantes para a tarefa de instruções adversárias.

3.3 Eficácia da Mitigação

• Prompting e Guardrails: O prompting defensivo e os modelos de guardrail alinhados com segurança mostraram sucesso limitado. Em muitos casos, embora tenham reduzido a seleção explícita da Opção E, o ASR e a Queda de Acurácia muitas vezes aumentaram, sugerindo que a opção injetada ainda enviesa o processo de raciocínio interno mesmo que não seja selecionada.
• Alinhamento Pós-Treinamento: DPO e PPO demonstraram ser a mitigação mais promissora. Esses métodos reduziram significativamente o ASR médio entre os datasets.
  • Análise de Atenção: Mapas de calor revelaram que, nos modelos base, as cabeças de atenção de camadas profundas atendiam desproporcionalmente à Opção E. Após o ajuste fino com PPO, essa atenção relativa à Opção E diminuiu substancialmente, alinhando-se com a melhoria na robustez.

3.4 Generalização

As tendências observadas no OI-Bench (especificamente o domínio do Enquadramento de Ameaça e a variabilidade de robustez entre modelos) foram consistentes nos datasets ToolE e HelpSteer2, sugerindo que o viés de diretiva ao nível da opção se generaliza para pipelines práticos de seleção e avaliação de modelos.

4. Significância e Alegações

O artigo afirma que preenche a lacuna entre estudos sobre injeção de prompt, sensibilidade de apresentação e priorização induzida pelo alinhamento, ao enquadrar a injeção de opção como um paradigma de benchmarking unificado.

• Avaliação Sistemática: O OI-Bench fornece o primeiro framework sistemático para quantificar a suscetibilidade dos LLMs a diretivas enganosas incorporadas na interface de escolha.
• Risco no Mundo Real: Os resultados destacam uma vulnerabilidade crítica em cenários de tomada de decisão do mundo real (ex: seleção de ferramentas, julgamento automatizado) onde um adversário poderia manipular resultados injetando opções carregadas de diretivas.
• Caminho para Mitigação: O artigo alega modestamente que, embora o prompting simples seja insuficiente, o alinhamento pós-treinamento (especificamente a otimização de preferência) oferece um caminho viável para mitigar essas vulnerabilidades, treinando os modelos para priorizar a semântica da tarefa sobre diretivas irrelevantes.

Os autores concluem que a acurácia padrão de MCQA pode não refletir totalmente a robustez do modelo quando exposto à interferência ao nível da opção, necessitando de novos padrões de avaliação que considerem a manipulação baseada em diretivas.