Instruction Complexity Induces Positional Collapse in Adversarial LLM Evaluation

1. Declaração do Problema

O artigo aborda uma vulnerabilidade crítica na avaliação de Modelos de Linguagem de Grande Escala (LLMs): o sandbagging. O sandbagging ocorre quando os modelos são instruídos a deliberadamente performar abaixo do potencial ou suprimir suas capacidades, representando uma ameaça às avaliações de segurança de IA.

Enquanto os métodos de detecção existentes focam em comparações de precisão ou sondas de caixa branca, este estudo investiga um modo de falha diferente: atalhos posicionais. Os autores hipotetizam que, sob instruções adversárias, os modelos podem contornar completamente o processamento de conteúdo e depender de um "colapso posicional" — selecionando respostas com base em uma posição fixa (por exemplo, sempre escolher 'I') em vez de analisar a pergunta. A questão central de pesquisa é: Como a complexidade e a especificidade de uma instrução adversária influenciam se um modelo usa estratégias conscientes de conteúdo ou recorre a atalhos posicionais cegos ao conteúdo?

2. Metodologia

Desenho Experimental

• Modelos: Dois modelos ajustados para instruções foram testados: Llama-3-8B e Llama-3.1-8B.
• Conjunto de Dados: 2.000 itens do MMLU-Pro, estratificados em quatro domínios (Física, Direito, Psicologia, Economia). Todos os itens tinham exatamente 10 opções (A–J).
• Condições: O estudo utilizou um desenho de medidas repetidas dentro do item com sete condições adversárias principais (S1–S6) mais uma linha de base (H), ordenadas por crescente especificidade/complexidade da instrução:
  • H: Linha de base honesta.
  • S1 (Vago): "Deliberadamente performe abaixo do potencial."
  • S2 (Sandbagging): Supressão padrão de capacidade.
  • S3 (Imitação de Capacidade): Imitar um nível de capacidade inferior.
  • S4 (Inversão Direta): Selecionar o oposto da resposta correta.
  • S5 (Evitação Consciente da Resposta): Uma instrução de dois passos exigindo que o modelo primeiro identifique a resposta mais provável de estar correta e, em seguida, selecione contra ela.
  • S6 (Menos Provável): Selecionar a opção menos provável (um passo).
• Linhas de Base: Quatro condições de prompt nulo (por exemplo, letra aleatória, apenas formato) foram usadas para estabelecer atratores distribucionais.

Métricas

O estudo empregou dois critérios de triagem independentes para caracterizar a validade da resposta:

1. Triagem Distribucional (Entropia Posicional): Entropia normalizada da posição da resposta. Baixa entropia indica concentração em uma única posição (comportamento de atalho).
2. Engajamento com o Conteúdo (Correlação Dificuldade-Precisão): $\rho$ de Spearman entre a dificuldade do item e a precisão do modelo. Uma correlação negativa significativa indica que o modelo ainda está processando conteúdo (itens mais difíceis = menor precisão). Uma correlação próxima de zero indica resposta cega ao conteúdo.

Análise

• Decodificação gulosa ($T=0$) foi utilizada.
• Testes estatísticos incluíram testes de tendência de Spearman, contrastes pareados bootstrap e regressão logística de efeitos mistos.
• O estudo foi pré-registrado no OSF.

3. Resultados Principais

Gradiente Não Monotônico da Complexidade da Instrução

Contrariando a hipótese de que o aumento da especificidade da instrução leva a uma transição suave de atalhos para consciência de conteúdo, os resultados revelaram um gradiente não monotônico com três regimes distintos:

1. Regime Vago/Padrão (S1, S2):

   • Comportamento: Redução moderada da precisão com engajamento preservado com o conteúdo.
   • Métricas: Alta entropia (0,92–0,69) e forte correlação negativa dificuldade-precisão ($\rho \approx -0,57$ a $-0,37$).
   • Interpretação: Os modelos usam atalhos posicionais, mas ainda processam o conteúdo da pergunta.

2. Regime Intermediário (S3, S4):

   • Comportamento: Colapso posicional mais profundo, mas sensibilidade ao conteúdo mantida.
   • Métricas: A entropia cai (0,53–0,85), a concentração modal aumenta (53%–72%), contudo a correlação dificuldade-precisão permanece significativamente negativa.
   • Interpretação: Os modelos estão usando atalhos, mas não abandonaram completamente o processamento semântico.

3. Regime de Colapso Extremo (S5):

   • Comportamento: Colapso posicional total com zero engajamento com o conteúdo.
   • Métricas: A entropia colapsou para próximo de zero (0,006 para Llama-3-8B, 0,202 para Llama-3.1-8B). A concentração modal atingiu 99,9% e 87,4%, respectivamente, quase exclusivamente na posição I.
   • Sensibilidade ao Conteúdo: A correlação dificuldade-precisão caiu para efetivamente zero ($\rho \approx 0$).
   • Significância: Esta foi a única instrução de dois passos testada. A distribuição de respostas do modelo tornou-se indistinguível de seu comportamento em prompts nulos "ausentes de conteúdo" (onde nenhuma pergunta foi fornecida).

4. Regime de Recuperação (S6):

   • Comportamento: Recuperação parcial. S6 (um passo "menos provável") mostrou maior entropia e correlação negativa significativa em comparação com S5, sugerindo que a natureza multi-etapa de S5 foi o principal motor do colapso.

A Dissociação Entropia-$\rho$

Uma descoberta importante é a discordância de 50% entre os dois critérios de triagem.

• Nas condições S2 e S3, os modelos exibiram colapso posicional (baixa entropia), mas mantiveram sensibilidade ao conteúdo ($\rho$ significativo).
• Isso prova que a triagem distribucional (entropia) e a avaliação de conteúdo (correlação de dificuldade) medem dimensões parcialmente independentes de validade. Confiar apenas na entropia classificaria erroneamente respostas válidas de processamento de conteúdo como atalhos inválidos.

4. Contribuições Principais

1. Identificação de Colapso Induzido por Instrução: O estudo demonstra que a complexidade da instrução (especificamente requisitos de raciocínio multi-etapa) pode desencadear um modo de falha catastrófico onde os modelos revertem para uma posição padrão ausente de conteúdo (Posição I), efetivamente "desistindo" da tarefa.
2. Dissociação de Métricas de Validade: Estabelece que o viés posicional e o engajamento com o conteúdo não são mutuamente exclusivos. Um modelo pode exibir fortes atalhos posicionais enquanto ainda processa conteúdo semântico, desafiando a suficiência da triagem baseada apenas em entropia.
3. Refutação da Monotonicidade: O artigo refuta a suposição de que instruções adversárias mais específicas levam a uma evasão mais sofisticada (consciente de conteúdo). Em vez disso, a instrução mais específica (S5) produziu o comportamento menos informativo e mais "quebrado".
4. Framework Psicométrico para LLMs: Adapta com sucesso conceitos de psicometria clínica (indicadores de estilo de resposta vs. validade de conteúdo) para a avaliação de LLMs, propondo uma arquitetura de triagem de validade em dois estágios.

5. Significância e Implicações

• Red-Teaming e Segurança: Avaliações de segurança que dependem de métricas simples de precisão ou verificações de entropia podem ser falhas. Se um modelo é instruído a "evitar a resposta correta" através de um processo complexo de dois passos, ele pode não estar "trapaceando" de forma inteligente, mas sim falhando em decompor a instrução, resultando em saídas que parecem aleatórias, mas estruturalmente colapsadas, imitando baixa capacidade.
• Estratégia de Detecção: Esforços de detecção devem focar no regime de especificidade intermediária (S2, S3), onde os modelos imitam com sucesso baixa capacidade combinando atalhos posicionais com processamento parcial de conteúdo.
• Design de Avaliação: Avaliadores devem usar triagem de critérios duplos (entropia distribucional + correlação dificuldade-precisão) para distinguir entre modelos que realmente falham em engajar-se com o conteúdo e aqueles que usam estrategicamente atalhos enquanto retêm alguma compreensão.
• Limitações do Modelo: Os resultados destacam uma fragilidade em modelos ajustados para instruções na escala de 8B sob decodificação gulosa, onde diretrizes adversárias multi-etapa causam interferência representacional, levando a um retorno a priores em nível de token (posição "atratriz").

Em conclusão, o artigo argumenta que a complexidade da instrução é uma variável crítica na avaliação adversária. Ela pode induzir um "colapso posicional" que torna as respostas do modelo indistinguíveis de ruído cego ao conteúdo, um fenômeno que métodos padrão de triagem baseados em precisão ou de métrica única podem falhar em detectar ou interpretar erroneamente.