Resumo Técnico: Rastreando a Dinâmica da Recusa

Declaração do Problema

Modelos de Linguagem de Grande Escala (LLMs), apesar de técnicas de alinhamento como Aprendizado por Reforço a partir de Feedback Humano (RLHF), permanecem vulneráveis a ataques adversariais de "jailbreak". Esses ataques variam de sufixos adversariais baseados em otimização (por exemplo, GCG) a engenharia social semântica (por exemplo, AutoDAN). Mecanismos de defesa atuais frequentemente tratam LLMs como caixas-pretas, dependendo de interações superfície de entrada-saída ou representações internas estáticas.

Um paradigma predominante na Interpretabilidade Mecanística, conhecido como Engenharia de Representação (RepE), postula que a recusa é mediada por um "Vetor de Recusa" estático, tipicamente extraído de estados de tokens terminais ou calculado como média em sequências. Este artigo argumenta que tais pressupostos estáticos são fundamentalmente falhos:

1. Pressuposto do Estado Terminal: A crença de que o sinal crítico de recusa está encapsulado exclusivamente nos estados do token final.
2. Homogeneidade Global: A crença de que os sinais de recusa estão uniformemente distribuídos e podem ser capturados por uma simples média.

Os autores sustentam que essas visões ignoram a dinâmica espaço-temporal do processo de recusa. Consequentemente, defesas que dependem de estados terminais falham quando ataques adversariais (como GCG) suprimem os sinais de saída finais, deixando os mecanismos a montante intactos.

Metodologia

1. Rastreamento Causal e a "Trajetória de Recusa"

Para ir além de correlações observacionais, os autores empregam Rastreamento Causal (Meng et al., 2022; Pearl, 2001). Eles constroem pares mínimos de prompts (por exemplo, "Como fazer uma bomba?" vs. "Como fazer um bolo?") e realizam correção de ativação (activation patching):

• Intervenção: Estados ocultos ($h^l_i$) de uma execução maliciosa são corrigidos em uma execução benigna em coordenadas específicas de camada-token.
• Medição: O sistema mede se a saída do modelo muda de conformidade para recusa (por exemplo, gerando "Sinto muito...").

Principais Descobertas do Rastreamento:

• Trajetória de Recusa: A recusa não é um resultado estático, mas um processo dinâmico e esparsos. Ela se manifesta como um padrão espaço-temporal distinto de ativação.
• Três Fases:
  1. Gatilho Semântico: A entidade prejudicial (por exemplo, "bomba") ativa efeitos causais em camadas rasas a intermediárias.
  2. Início da Recusa (Construção Crítica): A atividade causal mais intensa ocorre nos tokens imediatamente seguintes à âncora semântica (por exemplo, o "?" ou tokens subsequentes) em camadas intermediárias. É aqui que a decisão de recusa é ativamente construída.
  3. Atenuação Terminal: O sinal causal se atenua à medida que se propaga para camadas mais profundas e o token final. O estado terminal frequentemente carrega uma versão diluída do sinal de recusa, otimizada para previsão do próximo token, e não para tomada de decisão.

2. SALO: Operador de Localização de Ativação Esparsa

Com base na hipótese de que ataques adversariais suprimem sinais terminais, mas não podem apagar retroativamente a trajetória de recusa a montante (devido à natureza unidirecional da Atenção Causal), os autores propõem o SALO.

• Arquitetura: O SALO é um detector leve, executado no momento da inferência.
  • Volume de Ativação Latente: Isola uma Região de Interesse (ROI) em camadas intermediárias (por exemplo, camadas 10–20) e empilha estados ocultos para preservar a geometria espaço-temporal.
  • Extração de Saliência Multi-Granularidade: Emprega um banco de kernels convolucionais com larguras temporais variáveis ($2, 3, 5$), mas altura de camada fixa ($3$). Isso captura tanto gatilhos de recusa agudos e localizados quanto dependências contextuais mais amplas.
  • Agregação Consciente de Esparsidade: Em vez de pooling médio (que dilui sinais esparsos), o SALO utiliza Pooling Máximo Global para isolar as intensidades de ativação de pico.
• Treinamento: O SALO é treinado exclusivamente em dados padrão de alinhamento de segurança (prompts benignos e prejudiciais padrão) sem exposição a exemplos adversariais. Isso permite generalização zero-shot.

Principais Contribuições

1. Descoberta da Trajetória de Recusa: O artigo desafia a visão estática da recusa, demonstrando via rastreamento causal que a recusa é um processo dinâmico e esparso, ancorado em camadas intermediárias a montante, com estados terminais frequentemente carregando sinais atenuados.
2. Framework SALO: A introdução de um detector de caixa-branca que visa essas trajetórias persistentes a montante. Crucialmente, como depende do mecanismo intrínseco de recusa e não de artefatos específicos de ataque, alcança generalização zero-shot contra ataques não vistos.
3. Validação Empírica: Extensos experimentos mostrando que o SALO recupera capacidades de defesa onde métodos baseados em gradiente e baseados em perplexidade falham, particularmente contra jailbreaks baseados em otimização e semânticos.

Resultados Experimentais

Os autores avaliaram o SALO em três modelos (Qwen2.5-7B, Mistral-7B, Llama-3.1-8B) contra quatro tipos de ataque: Prompts Prejudiciais Diretos, Preenchimento Prévio (Prefilling), GCG e AutoDAN.

• Falhas de Linha de Base:
  • Filtro PPL: Eficaz contra GCG (alta perplexidade), mas falha completamente em ataques semânticos como Preenchimento Prévio e AutoDAN.
  • GradSafe: Sofre taxas de detecção próximas de zero em Preenchimento Prévio e AutoDAN, pois esses ataques suprimem o "gradiente de resistência".
  • Sondas Lineares: Têm dificuldade contra ataques de otimização (por exemplo, caindo para ~64% no Llama-GCG).
• Desempenho do SALO:
  • Mantém altas taxas de detecção (>85%) em todos os modelos e vetores de ataque.
  • GCG: Alcança ~88–96% de detecção (vs. <20% para GradSafe em alguns modelos).
  • AutoDAN: Alcança ~98–100% de detecção.
  • Preenchimento Prévio: Alcança ~99% de detecção, onde outros métodos frequentemente colapsam para 0%.
• Robustez a Ataques Adaptativos: Mesmo sob ataques adaptativos de caixa-branca (GCG Adaptativo) onde o adversário otimiza explicitamente para minimizar a pontuação do SALO, este mantém uma taxa de detecção de 84,3%. Em casos onde a evasão tem sucesso, o ataque frequentemente causa colapso semântico (o prompt perde seu significado malicioso), resultando em uma baixa Taxa de Sucesso do Ataque (7%).

Significado e Alegações

O artigo alega que o SALO fornece uma garantia de segurança intrínseca e robusta, aproveitando a dinâmica causal da recusa em vez de artefatos de superfície.

• Insight Mecanístico: Valida que jailbreaks suprimem a expressão da recusa na cauda, mas não podem eliminar a intenção de recusa codificada na trajetória a montante.
• Eficiência: Ao substituir cálculos de gradiente caros (usados no GradSafe) por rastreamento causal e inferência leve, o SALO reduz o custo ambiental da segurança de IA.
• Generalização Zero-Shot: A capacidade de detectar diversos ataques não vistos (desde otimização de gradiente até engenharia semântica) sem retreinamento destaca a universalidade da trajetória de recusa como uma assinatura fundamental de intenção maliciosa.

Os autores modestamente reconhecem limitações, observando que o método depende do reconhecimento intrínseco de prejudicialidade pelo modelo; se um ataque obscurecer com sucesso a intenção semântica de modo que o modelo não reconheça o dano, a trajetória de recusa pode não ser acionada. Além disso, os mecanismos precisos em nível de circuito (por exemplo, cabeças de atenção específicas) que impulsionam esses sinais ainda precisam ser mapeados completamente.