TraceRouter: Robust Safety for Large Foundation Models via Path-Level Intervention

Resumo Técnico: TraceRouter

Definição do Problema
Modelos de Fundação de Grande Escala (LFMs), incluindo Modelos de Difusão (DMs), Grandes Modelos de Linguagem (LLMs) e Modelos de Linguagem de Grande Escala Multimodais (MLLMs), permanecem vulneráveis à manipulação adversária, apesar de suas capacidades avançadas. As intervenções de segurança atuais baseiam-se predominantemente na "hipótese da localidade", que assume que semânticas prejudiciais estão codificadas em neurônios isolados ou características específicas. Consequentemente, as defesas existentes tentam suprimir esses componentes locais. No entanto, os autores argumentam que as semânticas prejudiciais nos LFMs são inerentemente distribuídas e se propagam através de circuitos complexos entre camadas. Intervenções localizadas são, portanto, frágeis; elas frequentemente falham em prevenir o "vazamento semântico" sob indução adversária e inadvertidamente degradam a utilidade geral do modelo ao interromper neurônios polissêmicos que servem funções benignas.

Metodologia: TraceRouter
Para abordar essas limitações, os autores propõem o TraceRouter, um framework universal de "Descobrir-Rastrear-Desconectar" (Discover-Trace-Disconnect) que opera no nível do caminho (path), em vez do nível do neurônio. O framework consiste em três estágios distintos:

1. Identificação de Fonte Sensível (Descobrir):

   • Detecção da Camada de Onset: O sistema analisa a divergência de atenção para localizar a "camada de onset sensível" ($l^*$), definida como a primeira camada onde um prompt sensível induz uma atenção significativa de modificadores sensíveis para entidades alvo, distinta de perturbações contextuais de fundo.
   • Desentranhamento de Características: Um Autoencoder Esparso Top-K (SAE) é empregado para decompor ativações neurais densas na camada de onset em características interpretáveis.
   • Seleção de Neurônios: Ao calcular uma pontuação de ativação diferencial ($\Delta WFS$) entre amostras sensíveis e não sensíveis, o método isola neurônios sensíveis específicos desencadeados unicamente por conceitos ilícitos.

2. Rastreamento de Caminho Semântico Causal (Rastrear):

   • Retroprojeção: As características esparsas identificadas são projetadas de volta para o espaço latente denso da camada de onset para identificar os neurônios de origem.
   • Intervenção de Zero-Out: O sistema realiza uma intervenção de "zero-out" nesses neurônios de origem no modelo principal para observar os efeitos a jusante (downstream).
   • Pontuação de Influência de Característica (FIS): Uma métrica causal, a FIS, é computada para neurônios a jusante. Esta pontuação combina frequência de ativação, magnitude da média condicional e a diferença absoluta na ativação causada pela intervenção de zero-out. Valores altos de FIS indicam neurônios que são causalmente críticos para a propagação de semânticas prejudiciais.

3. Supressão Seletiva ao Nível do Caminho (Desconectar):

   • Decomposição de Caminho: Para qualquer camada a jusante, o vetor de ativação é decomposto em dois componentes: o caminho sensível ($Z_P$) e rotas computacionais ortogonais ($Z_{\neg P}$) associadas à utilidade geral.
   • Seccionamento Causal: Um fator de supressão ($\lambda$) é aplicado seletivamente ao componente do caminho sensível ($Z_P$), enquanto as rotas ortogonais ($Z_{\neg P}$) permanecem intactas. Isso corta fisicamente o fluxo causal de informações prejudiciais sem interromper o raciocínio fundamental ou as capacidades generativas do modelo.

Principais Contribuições

• Proposta de Framework: Introdução do TraceRouter, um framework de intervenção ao nível do caminho que automatiza a identificação e o bloqueio causal de loops de informação prejudiciais através de diversas arquiteturas de modelos (DMs, LLMs, MLLMs).
• Integração Mecanística: A integração de Autoencoders Esparsos (SAEs) com Pontuações de Influência de Característica (FIS) para alcançar desentranhamento fino e mapeamento causal de fluxos de lógica interna ao nível de roteamento.
• Validação Empírica: Demonstração através de múltiplos benchmarks de que o método aumenta significativamente a robustez adversária enquanto preserva precisamente a utilidade geral, desafiando a eficácia da hipótese da localidade.

Resultados Experimentais

• Modelos de Difusão (DMs): No Stable Diffusion 1.4, o TraceRouter alcançou uma Taxa de Sucesso de Defesa (DSR) de 99,2% contra nudez I2P e 93,6% contra violência. Demonstrou robustez superior contra ataques adversários (P4D e Ring-A-Bell), superando baselines de estado da arte como ESD, UCE e SNCE. Crucialmente, manteve alta fidelidade de geração, alcançando o melhor CLIP Score (31,27) e FID (16,24) entre todos os métodos testados.
• Grandes Modelos de Linguagem (LLMs): No LLaMA3-8B e Mistral-7B, o TraceRouter alcançou DSRs médios de 99,6% e 98,8%, respectivamente, contra vários ataques de jailbreak (incluindo GCG, AutoDAN e ataques baseados em padrões). Notavelmente, elevou a segurança do vulnerável Mistral-7B de uma linha de base de 6,6% para 98,8%.
• Modelos de Linguagem de Grande Escala Multimodais (MLLMs): O método superou consistentemente as defesas SOTA no LLaVA-1.5 e MiniGPT-4, alcançando taxas de segurança quase perfeitas (ex: 99,60% no LLaVA-1.5) enquanto neutralizava efetivamente riscos cross-modais.
• Ablação e Análise:
  • Caminho vs. Neurônio: Experimentos confirmaram que a intervenção ao nível do caminho supera significativamente a supressão ao nível do neurônio, validando que as semânticas prejudiciais dependem de circuitos distribuídos em vez de nós isolados.
  • Validação Causal: Experimentos de "amplificação de caminho" mostraram que o aumento artificial dos caminhos identificados aumentou a geração prejudicial, enquanto a supressão a reduziu drasticamente, confirmando a natureza causal dos circuitos identificados.
  • Preservação de Utilidade: Avaliações de utilidade no Global-MMLU-Lite e MM-Bench mostraram quedas negligenciáveis de desempenho (ex: -0,8% para LLaMA3-8B), confirmando que a intervenção é altamente seletiva e não induz esquecimento catastrófico.

Significância e Alegações
O artigo afirma que o TraceRouter oferece uma mudança fundamental na intervenção de segurança ao mover-se da supressão localizada para a regulação precisa ao nível do caminho, independente de arquitetura. Os autores afirmam que esta abordagem corta fisicamente a propagação causal de semânticas prejudiciais enquanto deixa as rotas de computação ortogonais intactas. Isso resolve a tensão entre segurança e desempenho, fornecendo uma solução técnica robusta, interpretável e eficiente para construir modelos de fundação de nível industrial mais seguros sem comprometer seu raciocínio geral ou capacidades generativas. O trabalho ressalta que a segurança eficaz exige visar a estrutura topológica do fluxo semântico em vez de ativações isoladas.