Minimal, Local, Causal Explanations for Jailbreak Success in Large Language Models

1. Declaração do Problema

Os Modelos de Linguagem Grandes (LLMs) são alinhados para segurança para recusar solicitações prejudiciais, mas permanecem vulneráveis a ataques de "jailbreak" que contornam essas recusas. Embora pesquisas anteriores de interpretabilidade mecânica tenham identificado direções globais no espaço de representação que codificam conceitos como "prejudicialidade" e "recusa", essas explicações globais têm limitações significativas:

• Falta de Especificidade: Elas assumem que todos os jailbreaks têm sucesso através do mesmo mecanismo (por exemplo, suprimir a prejudicialidade), enquanto diferentes estratégias podem manipular diferentes conceitos intermediários.
• Não Locais: Elas não explicam por que uma instância específica de jailbreak teve sucesso.
• Não Causais: Elas frequentemente correlacionam-se com a recusa em vez de provar que intervir em representações específicas faz com que o modelo recuse.
• Não Mínimas: Métodos existentes frequentemente exigem intervenções massivas e não direcionadas (por exemplo, orientar todos os tokens) para induzir a recusa, tornando-os ineficientes e difíceis de interpretar.

Os autores propõem a necessidade de explicações Locais, Causais e Mínimas: identificar o menor conjunto de mudanças específicas e interpretáveis nas representações intermediárias de um jailbreak bem-sucedido que causam causalmente o modelo a recusar.

2. Metodologia: LOCA

Os autores introduzem o LOCA (Explicações Locais e Causais), um método projetado para encontrar intervenções mínimas que revertam uma resposta de jailbreak bem-sucedida para uma recusa.

Componentes Principais

1. Correspondência de Tokens:

   • Como os prompts de jailbreak ($x_j$) e os prompts originais ($x_o$) frequentemente diferem em comprimento e estrutura, o LOCA emprega um esquema de correspondência específico.
   • Ignora tokens do sistema ($T_{sys}$).
   • Resampleia (aumenta ou diminui a amostragem) tokens de instrução ($T_{inst}$) para corresponder aos comprimentos, permitindo um mapeamento um para um.
   • Corresponde diretamente tokens pós-instrução ($T_{post-inst}$).
   • Isso permite Correção de Ativação entre prompts estruturalmente diferentes.

2. Correção de Ativação em vez de Orientação:

   • Diferentemente de trabalhos anteriores que usam orientação de ativação (adicionar vetores a todos os tokens), o LOCA usa correção de ativação. Ele substitui ativações intermediárias específicas no prompt de jailbreak pelas ativações correspondentes do prompt original recusado. Isso garante que as mudanças permaneçam "no manifold" (dentro da distribuição de estados válidos do modelo).

3. Direções Interpretáveis (SAEs):

   • O LOCA não corrige direções arbitrárias. Ele corrige ao longo de vetores de conceito derivados de Autoencoders Esparsos (SAEs) treinados no fluxo residual do modelo. Esses vetores representam conceitos interpretáveis por humanos (por exemplo, "violência", "geração de código").

4. Aproximação de Primeira Ordem Iterativa e Específica por Token:

   • Objetivo: Minimizar a Divergência KL entre a distribuição de probabilidade do primeiro token de saída do jailbreak ($p_j$) e o primeiro token de saída do original recusado ($p_o$).
   • Aproximação: Em vez de gerar respostas completas para cada correção possível (computacionalmente intratável), o LOCA usa uma aproximação de primeira ordem para estimar o efeito de corrigir o token $i$ ao longo da direção $v$:
     $$d(i, v) = [\nabla_{h_{j,i}} KL(p_o || p_j) v] \cdot (h_{o, M(i)} - h_{j,i}) v$$
     Onde $h$ representa embeddings, $M(i)$ é o token de referência correspondente e o termo entre colchetes é a derivada direcional.
   • Algoritmo Iterativo:
     1. Inicialize com os embeddings originais do jailbreak.
     2. Encontre o token $i$ e o vetor de conceito $v$ que minimizam a métrica de aproximação.
     3. Aplique a correção (substitua $h_{j,i}$ por $h_{o, M(i)}$ ao longo da direção $v$).
     4. Recalcule a aproximação de primeira ordem com base no novo estado (contabilizando efeitos de interação).
     5. Repita até que a condição de recusa seja atendida ou um critério de parada seja alcançado.

3. Contribuições Principais

1. Novidade Algorítmica: O LOCA é o primeiro método a combinar especificidade por token, recálculo iterativo e interpretabilidade baseada em SAE para explicar jailbreaks.
2. Eficiência: O LOCA induz a recusa com significativamente menos intervenções (média de 6 para Llama, 12-16 para Gemma) em comparação com métodos anteriores, que frequentemente falham mesmo após 20 intervenções.
3. Insights de Localização: O método revela que os mecanismos de recusa variam conforme a profundidade da camada:
   • Camadas Iniciais: A recusa é impulsionada por mudanças em tokens de instrução ($T_{inst}$), sem forte viés em relação ao tipo de token (palavras vs. pontuação).
   • Camadas Intermediárias/Finais: A recusa é impulsionada quase exclusivamente por tokens pós-instrução ($T_{post-inst}$) e tokens de pontuação.
4. Validação por Ablação: Experimentos confirmam que tanto o cálculo de gradiente específico por token quanto a natureza iterativa do algoritmo são críticos para o desempenho; variantes não iterativas ou de gradiente médio desempenham mal.

4. Resultados Experimentais

• Conjuntos de Dados e Modelos: Avaliado no conjunto de dados WhatFeatures (10.800 jailbreaks) em Gemma-2-2B-IT e Llama-3.1-8B-Instruct.
• Baselines: Comparado contra métodos de Lee et al. (2025) e Yeo et al. (2025).
• Métricas:
  • Correções Mínimas (MP): O LOCA alcança recusa em ~6 correções (Llama) vs. >20 para as baselines.
  • Taxa de Recusa (RR): O LOCA atinge 100% de RR em camadas específicas (Camada 7 para Llama, Camada 17 para Gemma), enquanto as baselines lutam para melhorar a RR à medida que as camadas aumentam.
  • KL-AUC / LD-AUC: O LOCA mostra erro significativamente menor (melhor alinhamento com a saída recusada) por correção.
• Estudo de Caso (AutoDAN): Aplicado a um jailbreak AutoDAN sobre armas de fogo ilegais. O LOCA identificou que o jailbreak teve sucesso ao:
  1. Suprimir um conceito de "solicitação prejudicial" (Conceito #31126).
  2. Reforçar um conceito de "geração de código inofensivo" (Conceito #125009) para enquadrar a solicitação como benigna.
  3. Induzir a recusa exigiu corrigir tokens de pontuação para reverter essas mudanças conceituais específicas.

5. Significado e Conclusão

Este artigo representa uma mudança da interpretabilidade mecânica global para local na segurança de LLMs.

• Compreensão Mecanística: Demonstra que o sucesso do jailbreak não é um fenômeno monolítico, mas uma coleção de intervenções causais específicas e mínimas em conceitos intermediários.
• Eficiência: Ao identificar que apenas um punhado de interações específicas token-conceito precisam ser alteradas para restaurar a segurança, o LOCA fornece uma explicação mais parcimoniosa e compreensível por humanos.
• Direções Futuras: O trabalho destaca que diferentes camadas e tipos de tokens desempenham papéis distintos no mecanismo de recusa, sugerindo que estratégias de alinhamento de segurança podem precisar ser conscientes da camada. Embora existam limitações (por exemplo, dificuldade em interpretar camadas iniciais do Llama e otimalidade do SAE), o LOCA fornece um framework robusto para diagnosticar e potencialmente mitigar vulnerabilidades específicas de jailbreak.