TwinGate: Stateful Defense against Decompositional Jailbreaks in Untraceable Traffic via Asymmetric Contrastive Learning

1. Definição do Problema

O artigo aborda a vulnerabilidade crítica dos Modelos de Linguagem de Grande Escala (LLMs) a jailbreaks decomposicionais. Diferentemente de ataques tradicionais que tentam contornar filtros de segurança dentro de um único prompt, ataques decomposicionais fragmentam um objetivo malicioso (por exemplo, "como construir uma bomba") em uma sequência de subconsultas individualmente benignas e semanticamente desconexas (por exemplo, "propriedades de explosivos", "reações químicas").

Desafios Principais:

• Limitações Stateless (Sem Estado): Defesas existentes (por exemplo, guardrails padrão) avaliam prompts isoladamente. Como os fragmentos individuais parecem seguros, essas defesas falham em detectar a intenção maliciosa cumulativa.
• Tráfego Inrastreável: Em implantações do mundo real, atacantes podem distribuir fragmentos através de múltiplas sessões anônimas, endereços IP ou contas de usuário. Defesas que dependem de metadados de usuário (IDs de sessão, IPs) para rastrear o histórico de conversas são facilmente contornadas.
• Lacuna Semântica: Fragmentos da mesma intenção maliciosa frequentemente compartilham similaridade semântica negligenciável (por exemplo, "fiação" vs. "adubo"), tornando-os difíceis de agrupar usando modelos de incorporação padrão.
• Sobrecarga Operacional: Soluções stateful existentes frequentemente dependem de modelos generativos pesados para análise de contexto em tempo real, introduzindo latência proibitiva e custos computacionais inadequados para ambientes de produção de alto rendimento.

2. Metodologia: TwinGate

O TwinGate é um framework de defesa stateful de codificador duplo projetado para operar sem metadados de usuário, confiando puramente na análise semântica de um fluxo contínuo e inrastreável de solicitações.

A. Arquitetura Central

O sistema emprega dois codificadores paralelos e um repositório global de vetores:

1. Codificador Ajustado por ACL (Vetor de Intenção): Utiliza Aprendizado Contrastivo Assimétrico (ACL) para mapear consultas em um espaço latente organizado por intenção maliciosa em vez de semântica superficial. Agrupa fragmentos semanticamente diversos do mesmo ataque em grupos compactos.
2. Codificador Congelado (Vetor Semântico): Um codificador pré-treinado e congelado que captura o significado literal superficial. Atua como uma âncora conservadora para prevenir falsos positivos em consultas benignas e repetitivas.
3. Repositório Global de Vetores: Armazena vetores de solicitações históricas (tanto semânticos quanto de intenção) para recuperação stateful.

B. Aprendizado Contrastivo Assimétrico (ACL)

O aprendizado contrastivo padrão agrupa itens semelhantes. O ACL introduz uma assimetria:

• Atração Positiva: Todos os fragmentos derivados de uma única intenção maliciosa (e a própria intenção original) são puxados juntos para formar um cluster denso.
• Repulsão Negativa: Consultas benignas atuam apenas como amostras negativas. Elas afastam clusters maliciosos, mas não são agrupadas entre si. Isso preserva a variedade natural do tráfego benigno enquanto isola a intenção maliciosa.
• Estratégia de Treinamento: O modelo é treinado em um conjunto de dados massivo onde a intenção maliciosa original serve como uma "âncora densa" para seus fragmentos decompostos, pontuando a lacuna semântica.

C. Lógica de Decisão em Duas Etapas

Para equilibrar sensibilidade e precisão, o TwinGate utiliza um processo de decisão em cascata:

1. Etapa 1: Herança de Equivalência Semântica (Controle de FPR):
   • O sistema verifica primeiro se a consulta recebida é semanticamente idêntica a uma solicitação previamente julgada usando o Codificador Congelado.
   • Se uma correspondência for encontrada (similaridade > $\tau_{sem}$), o sistema herda a decisão anterior (por exemplo, se a consulta benigna anterior foi permitida, esta também será). Isso contorna completamente a verificação ACL, garantindo que consultas benignas de alta frequência não disparem alarmes falsos.
2. Etapa 2: Detecção de Ataque Baseada em Intenção:
   • Se a consulta for nova, o Codificador ACL gera um vetor de intenção.
   • O sistema consulta o banco de dados vetorial para a similaridade máxima com clusters maliciosos históricos.
   • Se a similaridade exceder o limiar de intenção ($\tau_{int}$), a solicitação é bloqueada.

D. Implementação do Sistema

• Pipeline Consciente de Hardware: Projetado para 4x GPUs NVIDIA A100. Utiliza NVLink para transferência de dados sem cópia entre codificadores e bancos de dados vetoriais em memória (HBM), evitando gargalos PCIe.
• Processamento Assíncrono: Desacopla E/S de computação neural, permitindo que a defesa execute em paralelo com a fase de preenchimento (prefill) do LLM alvo com latência negligenciável.

3. Contribuições Principais

1. Novo Modelo de Ameaça: Primeira definição formal e estudo da defesa contra jailbreaks decomposicionais em tráfego inrastreável (sem metadados), um desafio praticamente significativo mas anteriormente inexplorado.
2. Framework TwinGate: Um mecanismo stateful de codificador duplo que identifica intenção maliciosa cumulativa sem depender da identidade do usuário, utilizando ACL para pontuar a lacuna semântica entre ataques fragmentados.
3. Conjunto de Dados em Grande Escala: Construção de um benchmark abrangente contendo 3,62 milhões de instruções, incluindo:
   • 8.600 intenções maliciosas distintas.
   • 250 mil intenções benignas (com decomposições).
   • 603 mil consultas benignas independentes.
   • Dados gerados por múltiplos modelos "divisores" para garantir robustez contra diversas estratégias de decomposição.
4. Limites Teóricos: Fornecimento de provas geométricas e computacionais (Teoremas 1 e 2) demonstrando que ataques de evasão adaptativa são computacionalmente intratáveis devido aos limites de empacotamento esférico do espaço latente e ao custo exponencial de busca necessário para contornar restrições históricas.

4. Resultados Experimentais

Avaliado no conjunto de dados construído sob um protocolo estritamente causal (sem contexto futuro):

• Desempenho de Segurança:
  • Recall de Intenção Maliciosa: > 0,76 (detecta a cadeia de ataque).
  • Taxa de Falsos Positivos (FPR): < 0,2% ($2 \times 10^{-3}$), significativamente menor que as linhas de base.
  • Robustez Adaptativa: Contra ataques adaptativos de caixa branca (incluindo otimização GCG e reescrita semântica), a Taxa de Sucesso do Ataque (ASR) caiu de ~0,99 (sem defesa) para 0,18.
• Desempenho e Escalabilidade:
  • Vazão (Throughput): Sustenta >1.700 QPS (Consultas por Segundo), aproximadamente 10x maior que guardrails de base de 7B parâmetros.
  • Latência: Mantém uma latência $P_{99}$ de < 300ms, permitindo que execute transparentemente dentro da fase de preenchimento do LLM.
  • Escalabilidade do Banco de Dados: Uma única GPU de 40GB pode lidar robustamente com 6 milhões de solicitações históricas com crescimento de latência sublinear.
• Estudos de Ablação:
  • A remoção do Codificador Congelado fez o FPR disparar devido a consultas benignas repetidas sendo sinalizadas.
  • A remoção do ACL (usando aprendizado contrastivo simétrico ou codificadores brutos) resultou em um colapso do recall, provando a necessidade de agrupamento específico de intenção.
  • O sistema mostrou forte generalização zero-shot contra modelos decompositores não vistos.

5. Significado

O TwinGate representa uma mudança de paradigma na segurança de LLMs, migrando de filtragem estática de turno único para monitoramento semântico dinâmico e stateful que é viável para produção.

• Praticidade: Resolve o trade-off "stateless vs. stateful" ao alcançar detecção stateful sem a sobrecarga computacional de modelos generativos ou os riscos de privacidade do rastreamento de metadados.
• Escalabilidade: Seu design consciente de hardware e abordagem de recuperação vetorial tornam-no a primeira defesa capaz de lidar com fluxos de tráfego de alto rendimento e inrastreáveis em tempo real.
• Robustez: Neutraliza efetivamente ataques decomposicionais sofisticados que anteriormente evadiam todas as defesas conhecidas, estabelecendo um novo benchmark para robustez adversarial em LLMs.