Resumo Técnico: O Tradeoff entre Recusa e Conformidade

Declaração do Problema

As avaliações de segurança atuais para Grandes Modelos de Linguagem (LLMs) dependem fortemente das taxas de recusa como um substituto para a segurança. Este artigo argumenta que as taxas de recusa são uma métrica deficiente porque não capturam dois modos de falha distintos e amplamente independentes: sobre-recusa (rejeitar prompts benignos) e conformidade prejudicial (gerar conteúdo inseguro em resposta a prompts adversários).

Os benchmarks existentes normalmente abordam apenas um desses modos isoladamente. Benchmarks de toxicidade (ex: ToxiGen) avaliam a geração insegura sem considerar as taxas de recusa benignas, enquanto benchmarks de sobre-recusa (ex: XSTest, OR-Bench) medem falsos positivos sem avaliar a vulnerabilidade a inputs adversários. Além disso, as taxas de recusa observadas podem ser confundidas por desequilíbrios de toxicidade dentro dos conjuntos de dados de avaliação, tornando as comparações demográficas entre grupos pouco confiáveis. O artigo postula que altas taxas de recusa não implicam baixa conformidade prejudicial, e que modelos de diferentes ecossistemas adotam estratégias de calibração fundamentalmente diferentes que não são capturadas por resumos de segurança de número único.

Metodologia

Os autores conduziram uma auditoria empírica em larga escala de 21 LLMs de pesos abertos ajustados por instrução em quatro benchmarks de segurança: OR-Bench, XSTest, ToxiGen e BOLD. O estudo abrange múltiplas famílias de modelos, gerações, escalas e ecossistemas regionais (EUA, China, Europa, Oriente Médio, Índia, Coreia, Japão).

Estrutura de Avaliação

1. Classificação de Saída: As respostas foram classificadas em três categorias:
   • Recusa (SR): O modelo declina o engajamento.
   • Conformidade Segura (SC): O modelo responde de forma útil sem danos.
   • Conformidade Prejudicial (SU): O modelo produz conteúdo prejudicial, discriminatório ou inseguro.
2. Métricas:
   • Taxa de Sobre-Recusa (ORR): $P(SR | T_B)$, a probabilidade de recusar um prompt benigno.
   • Taxa de Conformidade Prejudicial (HCR): $P(S_{unsafe} | T_T)$, a probabilidade de gerar conteúdo inseguro em um prompt tóxico.
   • Gap de Recusa Ajustado pela Toxicidade ($\Delta$): Uma métrica projetada para isolar a sensibilidade do modelo a atributos demográficos dos efeitos de composição do dataset, através da marginalização sobre a distribuição de toxicidade do benchmark.
3. LLM-as-a-Judge (LLM como Juiz): Para lidar com comportamentos sutis (ex: recusas parciais, respostas com preâmbulos de segurança), os autores empregaram um pipeline de múltiplos juízes usando dois modelos distintos (Llama-3.3-70B-Instruct e Qwen2.5-32B-Instruct) para mitigar o viés circular. As análises primárias utilizaram uma abstração binária (Seguro vs. Inseguro) para garantir estabilidade.
4. Configuração Experimental: Todos os modelos foram avaliados usando decodificação greedy em GPUs NVIDIA A100, gerando mais de 7,1 milhões de pares prompt-resposta e 14,3 milhões de anotações de juiz.

Principais Resultados

1. A Ortogonalidade dos Modos de Falha de Segurança

O estudo descobriu que a sobre-recusa e a conformidade prejudicial são quase descorrelacionadas ($r = -0,032$). A tendência de um modelo de recusar prompts benignos não fornece praticamente nenhuma informação sobre sua vulnerabilidade a inputs adversários.

• Ecossistemas Conservadores: Modelos como Llama-3-8B e Falcon3-7B exibem alta ORR (ex: 11,12% e 9,47%, respectivamente) mas um HCR muito baixo (0,30% e 0,00%). Eles priorizam a segurança ao custo da utilidade.
• Ecossistemas Permissivos: Modelos como DeepSeek-R1-7B exibem uma ORR extremamente baixa (0,26%), mas um HCR alto (29,71%), preservando a utilidade enquanto toleram uma conformidade prejudicial significativa.
• Ecossistemas Equilibrados: O Qwen-2.5-7B alcançou valores baixos em ambas as métricas (ORR 0,80%, HCR 0,16%).
• Falsos Positivos: Altas taxas de recusa não garantem robustez; o Airavata-7B mostrou uma ORR de 40,70%, mas ainda exibiu um HCR de 11,70%, indicando que a intervenção indiscriminada não pode substituir a aplicação de segurança direcionada.

2. Estabilidade Dentro de Famílias de Modelos

O comportamento de recusa e conformidade é estável dentro de famílias de modelos através de gerações e escalas, sugerindo que os objetivos de pós-treinamento (ex: políticas de RLHF, dados de ajuste fino de segurança) moldam o comportamento de segurança mais do que a arquitetura ou o tamanho do modelo.

• Família Llama: Ao longo das gerações (Llama-2 a Llama-3.1), o HCR permaneceu próximo de zero enquanto a ORR aumentou ligeiramente, mantendo um perfil de alta intervenção.
• Família Qwen: Manteve uma baixa ORR através das gerações enquanto o HCR melhorou ligeiramente.
• Implicação: Um snapshot único de um modelo é razoavelmente representativo do perfil de segurança de seu ecossistema, desde que a linhagem de pós-treinamento permaneça consistente.

3. Proteção Demográfica Desigual

A proteção demográfica é altamente desigual e frequentemente invisível para métricas agregadas.

• Sobreproteção: Modelos frequentemente sobreprotegem grupos raciais e religiosos proeminentes (ex: judeus, latinos, muçulmanos), recusando prompts benignos que mencionam essas identidades. Por exemplo, o Llama-3.1-8B recusou 16,32% dos prompts benignos que referenciavam demografias judaicas.
• Subproteção: Modelos são substancialmente mais vulneráveis a ataques direcionados a pessoas com deficiência. O Airavata-7B mostrou um HCR de 8,99% para prompts de deficiência mental, o maior HCR observado para subgrupos específicos.
• Efeitos de Composição: As taxas de recusa brutas frequentemente deturpam essas disparidades devido à frequência de grupos demográficos em subconjuntos tóxicos. O gap ajustado pela toxicidade ($\Delta$) revelou que efeitos de composição inflam algumas estimativas de recusa demográfica.

4. Sensibilidade à Escolha de Benchmark e de Avaliador

• Estrutura do Benchmark: As taxas de sobre-recusa variam significamente com base no design do benchmark. Os modelos mostraram maior ORR no XSTest (pareamento estrutural) em comparação ao OR-Bench (ambiguidade semântica), indicando que características superficiais lexicais podem desencadear recusa mesmo quando a intenção é benigna.
• Dependência do Avaliador: As descobertas de sobre-recusa foram altamente estáveis entre os dois modelos de juiz ($r = 0,990$). No entanto, os julgamentos de conformidade prejudicial foram fortemente dependentes do juiz para saídas limítrofes ($r = 0,356$), particularmente em relação a avisos parciais ou assistência indireta. Isso sugere que auditorias de juiz único podem produzir estimativas de conformidade que refletem a calibração do avaliador, em vez das propriedades intrínsecas do modelo.

Significância e Contribuições

O artigo traz três contribuições principais para o campo da avaliação de segurança de LLMs:

1. Auditoria Conjunta de Modos de Falha: Ele vai além da avaliação baseada apenas na taxa de recusa ao medir conjuntamente a sobre-recusa e a conformidade prejudicial em 21 modelos e quatro benchmarks, demonstrando que estes são modos de falha ortogonais que exigem estratégias de mitigação distintas.
2. Caracterização Trans-Ecossistema: Revela que o comportamento de segurança é impulsionado mais pelos objetivos de pós-treinamento do que pela arquitetura, levando a estratégias de calibração fundamentalmente diferentes entre ecossistemas (conservadores vs. permissivos).
3. Análise de Demografia e Robustez: Descobre lacunas sistemáticas de proteção demográfica, mostrando que modelos sobreprotegem grupos de identidade visíveis enquanto falham em proteger contra ataques direcionados a pessoas com deficiência. Também destaca a necessidade de usar conjuntos de avaliadores heterogêneos e ajustar para a composição do dataset para garantir comparações justas.

Os autores concluem que uma auditoria de segurança robusta requer a avaliação conjunta de ambos os modos de falha, relatórios demográficos desagregados (ajustados para a composição de toxicidade) e o uso de múltiplos benchmarks e conjuntos de avaliadores para evitar as armadilhas de avaliações de métrica única ou de juiz único.