Fast Adversarial Attacks with Gradient Prediction

Resumo Técnico: Ataques Adversariais Rápidos com Previsão de Gradiente

Declaração do Problema
Gerar exemplos adversariais em escala é um requisito fundamental para avaliação de robustez, treinamento adversarial e red-teaming. No entanto, mesmo ataques "rápidos" de um único passo, como o Método de Sinal do Gradiente Rápido (FGSM), são limitados em throughput pelo custo computacional da passagem de retropropagação necessária para calcular os gradientes de entrada. Para modelos em grande escala, particularmente Modelos de Linguagem de Grande Porte (LLMs), essa passagem de retropropagação domina o custo da geração de dados adversariais, criando um gargalo em pipelines de robustez constrained por tempo de relógio e disponibilidade de aceleradores. Métodos existentes para reduzir esse custo (por exemplo, reciclar gradientes ou restringir a retropropagação às camadas iniciais) ainda dependem fundamentalmente da retropropagação.

Metodologia
Os autores propõem uma família de ataques que elimina completamente a passagem de retropropagação no momento do ataque, prevendo a direção do gradiente de entrada a partir dos estados ocultos da passagem direta, utilizando um modelo de regressão linear leve.

• Mecanismo Central: O método ajusta um regressor linear (com termo de viés) em um pequeno conjunto de treinamento para mapear vetores de estado oculto $h_\theta(x)$ para gradientes de entrada $\nabla_x S_\theta(x, t)$, onde $S$ é uma pontuação de ataque (por exemplo, um logit alvo). O ataque prossegue então usando o gradiente previsto $\hat{g}$ em uma atualização no estilo FGSM: $x_{adv} = x + \epsilon \text{sgn}(\hat{g})$.
• Fundamentação Teórica: A abordagem é motivada pelas visões do Kernel Tangente Neural (NTK) e de Processos Gaussianos (GP) de redes neurais. No limite de largura infinita, a distribuição conjunta de estados ocultos e gradientes de entrada é Gaussiana. Sob condições específicas — especificamente, o uso de kernels estacionários e funções de média constantes (alcançadas via embeddings ideais de seno-cosseno) — a expectativa condicional do gradiente dado o estado oculto é uma função afim independente da entrada $x$. Isso justifica teoricamente o uso de um único mapa linear independente da entrada para prever gradientes.
• Implementação Prática:
  • Escolha de Embedding: Embora as provas utilizem embeddings ideais de seno-cosseno para garantir estacionariedade, o método é aplicado a modelos práticos usando embeddings de tokens aprendidos. Os autores observam que codificações posicionais do mundo real (por exemplo, RoPE) compartilham estruturas de rotação trigonométricas similares.
  • Treinamento: O preditor é treinado em um pequeno conjunto de dados de pares (estado oculto, gradiente normalizado). Para melhorar a estabilidade e a generalização, os autores empregam padronização coordenada dos estados ocultos, normalizam os alvos de gradiente para norma unitária (focando o preditor na direção em vez da magnitude) e utilizam regressão ridge.
  • Eficiência: Durante a inferência, o método requer apenas uma passagem direta (muitas vezes usando um estado oculto de saída antecipada) e uma multiplicação de matriz-vetor linear, evitando qualquer retropropagação.

Principais Contribuições

1. Estrutura de Previsão de Gradiente: Introdução de um método que substitui a passagem de retropropagação cara por um preditor linear aprendido, permitindo a geração adversarial usando apenas computações diretas.
2. Justificativa Teórica: Uma prova de que, no regime NTK com kernels estacionários, o mapeamento de estados ocultos para gradientes de entrada é exatamente afim e independente da entrada.
3. Otimização de Throughput: Demonstração de que essa abordagem aumenta significativamente o número de exemplos adversariais gerados por unidade de tempo, tornando a triagem de robustez viável em configurações apenas de inferência ou com recursos limitados.

Resultados Experimentais
Os autores avaliaram seu método (referido como GPR-FGSM ou GCG-GPR) contra baselines de gradiente exato (FGSM, PGD, GCG) em três LLMs (Llama-2-7B, Qwen2.5-3B, Qwen3-4B) usando os conjuntos de dados HarmBench e JailbreakBench.

• Ataques em Nível de Embedding: Em tarefas de perturbação contínua de embedding, as variantes GPR alcançaram um aumento de 532% no throughput (por exemplo, para FGSM no Qwen3-4B) em comparação com ataques de gradiente exato. Embora as Taxas de Sucesso de Ataque (ASR) tenham sido geralmente menores do que os métodos de gradiente exato, elas mantiveram uma fração substancial do desempenho (por exemplo, 6,8% vs 12,6% de ASR para FGSM no Qwen3-4B) enquanto eram uma ordem de magnitude mais rápidas. O método deslocou a fronteira de Pareto, oferecendo opções de alto throughput para ataques de um único passo.
• Ataques em Nível de Token: Para ataques de prompt discretos usando o método Gradiente de Coordenada Gorda (GCG), substituir o gradiente calculado por retropropagação pelo gradiente previsto aumentou o throughput de perturbação em 1,5–3× e o throughput de ataques bem-sucedidos em 2–2,4×. Crucialmente, a ASR permaneceu estatisticamente indistinguível da baseline de gradiente exato na maioria das configurações, indicando que o gradiente previsto é suficiente para identificar candidatos de token promissores para a subsequente avaliação de passagem direta exata.
• Análise de Sensibilidade: Experimentos misturando gradientes previstos e exatos revelaram que o FGSM de um único passo é robusto a ruído significativo de gradiente, desde que o acordo de sinal coordenado cruze um limiar específico. O GPR puro às vezes caiu logo abaixo desse limiar em benchmarks difíceis (por exemplo, JailbreakBench com Qwen3-4B), mas uma pequena mistura de gradiente exato restaurou o desempenho.

Significância e Alegações
O artigo afirma que a previsão de gradiente oferece uma rota simples e geral para geração adversarial significativamente mais rápida sob restrições realistas. A significância primária reside em permitir avaliação de robustez e red-teaming em escalas anteriormente limitadas pelos custos da passagem de retropropagação. Os autores enfatizam que este trabalho não introduz novas capacidades de ataque ou torna os ataques mais poderosos em termos de taxa de sucesso; ao contrário, melhora a eficiência dos métodos existentes. Isso permite uma triagem mais ampla da robustez do modelo, incluindo em cenários de implantação onde a retropropagação é impraticável (por exemplo, ambientes apenas de inferência). Os autores concluem que a regularidade das relações representação-gradiente em redes modernas é suficiente para ser explorada para geração adversarial rápida, mesmo fora do regime teórico estrito de largura infinita.