Over-Refusal and Representation Subspaces: A Mechanistic Analysis of Task-Conditioned Refusal in Aligned LLMs

Título: Over-Refusal e Subespaços de Representação: Uma Análise Mecanística da Recusa Condicionada a Tarefas em LLMs Alinhados

1. Problema Investigado

Os Grandes Modelos de Linguagem (LLMs) alinhados para segurança exibem dois tipos distintos de comportamento de recusa:

1. Recusa Nociva (Harmful-Refusal): O comportamento desejado, onde o modelo recusa corretamente instruções perigosas ou que violam políticas.
2. Super-Recusa (Over-Refusal): Um erro onde o modelo recusa erroneamente instruções seguras (benignas) que contêm palavras ou frases sensíveis (ex.: análise de sentimento de texto inflamado ou tradução de termos técnicos perigosos).

O problema central é que as técnicas atuais de mitigação, como o alinhamento de direção global (steering vectors), que tentam abater a direção de recusa no espaço de representações, funcionam bem para a recusa nociva, mas falham ao corrigir a super-recusa. Ao tentar corrigir a super-recusa com uma direção global, o modelo acaba suprimindo também a recusa legítima, comprometendo a segurança. O artigo questiona: Por que uma única direção vetorial global não consegue resolver a super-recusa?

2. Metodologia

Os autores realizaram uma análise mecanicista e geométrica utilizando o modelo LLaMA-3.1-8B-Instruct.

• Dataset: Um conjunto de avaliação com 270 amostras cobrindo cinco tarefas de NLP (Análise de Sentimento, Tradução, QA estilo RAG, Reformulação e Criptanálise). As amostras foram categorizadas em: texto benigno, conteúdo sensível (mas seguro) e instruções diretamente nocivas.
• Análise Geométrica:
  • Cálculo de direções de diferença de médias (DIM) no residual stream para separar amostras recusadas das respondidas.
  • Comparação entre a direção global de recusa nociva e as direções de super-recusa específicas por tarefa.
  • Uso de PCA (Análise de Componentes Principais) e escores de silhueta para visualizar a separação de clusters de tarefas e tipos de recusa.
  • Cálculo do número de componentes principais necessários para explicar 80% da variância (medida de dimensionalidade do subespaço).
• Análise Mecanística:
  • Sondagem Linear (Linear Probing): Treino de classificadores lineares em cada camada para verificar se é possível distinguir mecanicamente entre tipos de recusa e identidades de tarefas.
  • Patching Causal: Substituição das ativações de cabeças de atenção específicas para testar se alguma cabeça individual é um "gargalo" causal para a decisão de recusa.
  • Experimentos de Ablação/Steering: Aplicação de vetores de direção global versus vetores condicionados à tarefa para medir as taxas de supressão de recusa.

3. Principais Contribuições e Descobertas

A. Geometria Distinta das Recusas

• Recusa Nociva é "Agnóstica à Tarefa": A direção de recusa para instruções perigosas converge para um único vetor global nas camadas intermediárias do modelo, independentemente da tarefa (tradução, QA, etc.). Isso confirma que uma única direção vetorial é suficiente para controlar a segurança.
• Super-Recusa é "Dependente da Tarefa": Ao contrário da recusa nociva, as direções de super-recusa não convergem para um vetor único. Elas residem dentro dos clusters de identidade da tarefa (ex.: o vetor de super-recusa em "Tradução" é diferente do vetor em "Análise de Sentimento").
• Dimensionalidade Superior: A super-recusa ocupa um subespaço de dimensão mais alta. Enquanto a recusa nociva é concentrada em poucos componentes principais, a super-recusa requer muitos mais componentes para ser representada, tornando-a impossível de ser capturada por um único vetor global.

B. Separabilidade Mecanística Precoce

• A análise de sondagem linear revela que o modelo distingue mecanicamente entre "recusa correta" e "super-recusa" (erro) desde as camadas iniciais do Transformer.
• Isso sugere que a distinção está presente nos embeddings de entrada e não é apenas um fenômeno que surge no final do processamento.

C. Falha da Ablação Global

• Experimentos mostram que a ablação da direção global de recusa suprime a recusa nociva (segurança) muito mais do que a super-recusa.
• A sobreposição geométrica parcial entre as duas direções causa uma supressão incidental da super-recusa, mas o custo é a degradação da capacidade de rejeitar ameaças reais.

D. Circuitos Distribuídos

• A análise de patching causal indica que não existe uma única cabeça de atenção ou neurônio que atue como um "botão" de recusa. A decisão de recusa é distribuída através de múltiplas camadas e cabeças específicas da tarefa.
• Remover cabeças individuais não altera significativamente o comportamento de recusa, reforçando a necessidade de intervenções no residual stream.

4. Resultados Quantitativos

• Taxas de Recusa (Ablação Global): A ablação global reduziu a taxa de recusa nociva de 68% para 20%, mas a taxa de super-recusa caiu apenas de 55% para 25%.
• Razão de Supressão: A razão entre a redução da super-recusa e a redução da recusa nociva foi inferior a 1 (0.67), indicando que a intervenção global é prejudicial à segurança.
• Steering Condicionado à Tarefa: Ao utilizar uma abordagem que ajusta o vetor de direção baseado na tarefa específica (usando o método Safe-Constellations), a super-recusa foi eliminada completamente (55% → 0%), enquanto a recusa nociva foi preservada em um nível muito maior (65% → 30%), resultando em uma razão de supressão de 1.57 (muito superior à ablação global).

5. Significado e Conclusão

O artigo estabelece que a super-recusa e a recusa nociva são fenômenos geometricamente distintos no espaço de representações do LLM.

• Implicação Teórica: A hipótese de que "uma única direção explica a recusa" é verdadeira apenas para a recusa nociva. A super-recusa é um fenômeno de alta dimensão e dependente do contexto da tarefa.
• Implicação Prática: Métodos de mitigação que usam um único vetor global são estruturalmente inadequados para corrigir super-recusa sem comprometer a segurança.
• Solução Proposta: Intervenções devem ser condicionadas à tarefa (task-conditioned). Como a distinção entre os tipos de recusa ocorre cedo no modelo, é viável desenvolver mecanismos leves de inferência que detectem a super-recusa nas camadas iniciais e apliquem correções geométricas específicas para a tarefa em curso, sem a necessidade de re-treinamento do modelo.

Em resumo, corrigir a super-recusa exige entender e navegar pela geometria dependente da tarefa, em vez de tentar forçar uma solução global única.