IndicJR: A Judge-Free Benchmark of Jailbreak Robustness in South Asian Languages

Título: IndicJR: Um Benchmark Livre de Juízes para Robustez contra Jailbreak em Línguas do Sul da Ásia

1. O Problema

A avaliação de segurança e alinhamento de Grandes Modelos de Linguagem (LLMs) é predominantemente focada no idioma inglês e em cenários restritos por contratos (onde o modelo deve seguir um formato de saída específico, como JSON). Isso deixa as vulnerabilidades multilíngues, especialmente nas línguas do Sul da Ásia (Indic), subestudadas.

• Limitações atuais: Benchmarks existentes dependem de "juízes" (outros LLMs ou anotação humana), são centrados no inglês ou não consideram variações ortográficas comuns na região, como a mistura de scripts (code-switching) e a romanização (uso do alfabeto latino para escrever línguas locais).
• Risco Real: Usuários no Sul da Ásia frequentemente alternam entre scripts nativos e romanizados. O papel argumenta que avaliações baseadas apenas em contratos ou em inglês podem criar uma falsa sensação de segurança, ignorando vetores de ataque reais onde modelos falham em recusar conteúdos nocivos.

2. Metodologia: Indic Jailbreak Robustness (IJR)

Os autores introduzem o IndicJR, o primeiro benchmark de jailbreak (burlar as restrições de segurança) livre de juízes para 12 línguas do Sul da Ásia (Bengali, Gujarati, Hindi, Kannada, Malayalam, Marathi, Nepali, Odia, Punjabi, Tamil, Telugu e Urdu), cobrindo cerca de 2,1 bilhões de falantes.

Estrutura do Dataset:

• Escala: 45.216 prompts em total.
• Duas Faixas de Avaliação (Tracks):
  1. JSON (Contrato): O modelo é obrigado a responder em um formato JSON estruturado com campos de decisão (REFUSE, COMPLY, ABSTAIN). Isso testa a adesão a contratos de segurança.
  2. FREE (Naturalista): O modelo responde em linguagem natural sem restrições de formato. Isso testa o comportamento real e não supervisionado.
• Subconjuntos de Dados:
  • Attacked-benign (AB): Tarefas benignas envoltas em instruções adversariais (ex: "ignore regras anteriores", "role-play").
  • Clean-benign (CB): Tarefas benignas sem ataques (para medir falsos positivos/over-refusal).
  • Clean-harmful (CH): Pedidos nocivos sem ataques (para medir vazamento de conteúdo perigoso).
• Variações Ortográficas: Os prompts são gerados em três formatos:
  1. Script nativo.
  2. Romanizado (transliteração para latim).
  3. Misto (combinação de nativo e romanizado).
• Avaliação Livre de Juízes (Judge-Free): Em vez de usar um LLM para classificar a resposta, o sistema utiliza heurísticas determinísticas baseadas em regras, análise de léxico específico por idioma e verificação de conformidade com o esquema JSON. Isso garante reprodutibilidade e elimina o viés de juízes de LLM.

Modelos Avaliados:
O estudo testou 12 modelos, incluindo:

• Hospedados via API (GPT-4o, Grok-3/4, Cohere Command-R/A).
• Pesos abertos (LLaMA 3.1/3.3/4, Minstral, Qwen, Gemma).
• Especializados em Indic (Sarvam 1 Base).

3. Principais Contribuições

1. Primeiro Benchmark Regional: O maior conjunto de dados de jailbreak para o Sul da Ásia, cobrindo 12 línguas e 45k prompts.
2. Protocolo de Avaliação Inovador: Uma metodologia reutilizável que compara diretamente cenários restritos por contrato (JSON) e não restritos (FREE) sem necessidade de tradução ou juízes humanos.
3. Testes de Estresse Ortográfico e Transferência: Avaliação sistemática de como a troca de scripts (nativo vs. romanizado) e a transferência cruzada de idiomas (ataques em inglês aplicados a prompts em línguas indic) afetam a segurança.
4. Validação Empírica: Auditoria humana independente confirmou a confiabilidade dos detectores automáticos (acordo substancial, $\kappa \approx 0.68-0.74$) e um estudo de reprodutibilidade (Lite vs. Full) mostrou alta correlação ($r \approx 0.80$).

4. Resultados e Descobertas Chave

A. A "Lacuna de Contrato" (Contract Gap):

• JSON vs. FREE: Os modelos parecem muito mais seguros na faixa JSON do que na FREE.
  • Na faixa JSON, modelos como LLaMA e Sarvam apresentaram taxas de sucesso de jailbreak (JSR) acima de 0,92, e todos os modelos atingiram JSR $\approx 1,0$ na faixa FREE.
  • Conclusão: Os contratos de JSON inflam artificialmente as taxas de recusa, mas não impedem o jailbreak. Quando as restrições de formato são removidas (FREE), as recusas colapsam.

B. Transferência Cruzada de Idiomas:

• Ataques feitos em inglês transferem-se fortemente para as línguas indic.
• Formato > Instrução: Em 11 dos 12 modelos, ataques que usam manipulação de formato (ex: "saída em YAML") foram mais eficazes do que ataques puramente instrucionais.
• Nenhum modelo resistiu consistentemente; modelos especializados (Sarvam) e de pesos abertos (LLaMA) foram altamente vulneráveis.

C. Impacto da Ortografia (Romanização):

• Paradoxo da Romanização: Contrariando a intuição de que romanização facilita ataques, o estudo descobriu que, na faixa JSON, entradas romanizadas ou mistas reduziram a taxa de sucesso do jailbreak (JSR caiu de ~0,75 para ~0,42 em média).
• Causa: Isso é atribuído à fragmentação de tokens e à densidade de bytes/caracteres. Modelos com tokenização sensível a scripts nativos falham em processar corretamente a romanização dentro de contratos rígidos.
• Correlação: Há uma correlação positiva ($\rho \approx 0,28-0,32$) entre a proporção de romanização e a redução da segurança em contratos, indicando efeitos sistemáticos de tokenização.

D. Desempenho dos Modelos:

• Sarvam 1 Base: Apesar de ser um modelo especializado em línguas indic, não demonstrou maior segurança (JSR 0,96 na faixa JSON, com baixa validade de esquema e vazamento significativo).
• APIs vs. Pesos Abertos: Modelos hospedados via API (GPT-4o) tendem a ser ligeiramente mais seguros, mas ainda vulneráveis. Modelos de pesos abertos (LLaMA) mostraram vulnerabilidade quase saturada.

5. Significado e Implicações

• Risco Oculto: As avaliações atuais baseadas em inglês e contratos superestimam drasticamente a segurança dos LLMs para usuários do Sul da Ásia.
• Comportamento do Usuário: Como os usuários frequentemente fazem code-switching e usam romanização, os modelos precisam ser robustos contra essas variações, não apenas contra scripts nativos ou inglês.
• Diretrizes Futuras:
  • A segurança não deve depender apenas de contratos de saída (JSON), pois eles mascaram falhas reais.
  • É necessário avaliar modelos em cenários "FREE" e com variações ortográficas mistas.
  • A especialização em línguas regionais (como o Sarvam) não garante robustez contra jailbreaks adversariais.

O IndicJR oferece um framework reprodutível e de duas pistas para medir a robustez real de modelos, revelando riscos que seriam invisíveis em avaliações tradicionais focadas apenas no inglês. O dataset e os scripts estão disponíveis publicamente para promover pesquisas futuras e melhorias na segurança de IA para o Sul da Ásia.