Resumo Técnico: Avaliação de Recusa em LLMs de Codificação e Agentes de Código

Declaração do Problema

A avaliação da recusa de Modelos de Linguagem de Grande Escala (LLMs) em tarefas de geração de código malicioso fragmentou-se em pelo menos treze corpora de prompts lançados publicamente (por exemplo, AdvBench, CyberSecEval, RMCBench, RedCode, MOCHA, ASTRA, JAWS-Bench). Esses conjuntos de dados são construídos sob protocolos disparates, utilizam termos de licenciamento diferentes e carecem de validação padronizada de confiabilidade entre avaliadores (IRR). A literatura existente confunde "avaliação de recusa" (o modelo recusa uma solicitação de código malicioso?) com "avaliação de vulnerabilidade" (o modelo gera código com bugs em solicitações benignas?), ou trata os corpora de prompts meramente como contexto adjacente a taxonomias de segurança mais amplas. Consequentemente, as estatísticas de taxas de recusa relatadas nesses corpora não são diretamente comparáveis; elas medem constructos não equivalentes devido a variações na composição dos prompts, modalidade (turno único vs. múltiplos turnos vs. agente) e protocolos de rotulagem (humano vs. automatizado vs. juiz LLM). Não há um esquema canônico para categorias de malware, e pesquisadores subsequentes são forçados a reconstruir critérios de inclusão do zero para cada novo estudo.

Metodologia

Este artigo emprega um protocolo de revisão sistemática estilo PRISMA para analisar os treze corpora no escopo como a unidade primária de análise.

• Estratégia de Busca: Uma busca multi-motor (arXiv, Google Scholar, ACL, IEEE, ACM) combinada com rastreamento de citações em cascata a partir de corpora de entrada-chave.
• Critérios de Inclusão: Os corpora devem visar LLMs de codificação ou agentes intérpretes de código, lançar um corpus de prompts publicamente (ou descrevê-lo em detalhes) e avaliar a recusa de solicitações de código malicioso executável.
• Critérios de Exclusão: Benchmarks de detecção de vulnerabilidades (tarefa inversa), benchmarks de capacidade geral (por exemplo, HumanEval), jailbreaks não relacionados a codificação e MCQs de elicitação de conhecimento (por exemplo, WMDP) foram excluídos.
• Processo de Extração: Um modelo de extração uniforme foi aplicado à publicação principal e aos artefatos de lançamento de cada corpus. Os campos incluíam metodologia de construção, contagem de prompts, modalidade, taxonomia de malware, painel de modelos-alvo, taxas de recusa relatadas, estatísticas de IRR e políticas de licenciamento/acesso. Nenhuma nova medição empírica ou re-rotulagem foi realizada; a revisão sintetiza os metadados conforme lançados.

Principais Contribuições

O artigo produz quatro artefatos de síntese que reestruturam o campo de uma coleção de benchmarks disparates para uma paisagem estruturada e comparável:

1. Comparação de Metodologias entre Corpora: Uma tabela abrangente (Tabela 1) extraindo dez eixos de comparação para todos os treze corpora. Ela revela que as estratégias de construção variam de criação manual pura a síntese gerada por LLM e loops de agentes orientados por oráculos. Crucialmente, documenta que zero dos treze corpora relatam uma estatística de confiabilidade entre avaliadores no estilo de Fleiss' $\kappa$ em seus rótulos de recusa.
2. Taxonomia de Construção de Prompts: Um framework de três eixos (Modalidade, Estrutura de Turno, Estilo de Elicitação) que caracteriza como os corpora elicita código malicioso.
   • Modalidade: Texto-para-código, código-para-código, múltiplos turnos, agente e intérprete.
   • Estrutura de Turno: Turno único, múltiplos turnos ou trajetória de agente.
   • Estilo de Elicitação: Direto, decorado com jailbreak, ou indireto/plausivelmente benigno.
   • A taxonomia visualiza "células vazias" no espaço de design (por exemplo, prompts decorados com jailbreak de múltiplos turnos), destacando lacunas estruturais na cobertura de avaliação atual.
3. Paisagem de Reprodutibilidade e Licenciamento: Um catálogo (Tabela 2) de locais de distribuição, licenças e políticas de acesso. Ele encontra que, embora a maioria dos corpora seja de acesso aberto, cinco carecem de declarações explícitas de licença em suas páginas de destino, e nenhum documenta uma política de remoção ou contato para divulgação responsável, apesar de conter payloads de malware executáveis.
4. Mapa de Cobertura de Categorias de Malware: Uma ontologia consolidada de 22 categorias derivada da união de todas as taxonomias dos corpora. O mapa identifica categorias bem cobertas (por exemplo, Trojans, Ransomware, Phishing) e áreas sub-representadas, especificamente explorações de firmware, ataques de hardware/canal lateral, ataques IoT/embarcados e ataques à cadeia de suprimentos.

Principais Resultados

• Ausência Uniforme de Métricas de Confiabilidade: Em todos os treze corpora, não há relato de confiabilidade entre avaliadores (por exemplo, Fleiss' $\kappa$) para rótulos de recusa. Os rótulos são derivados por atribuição exclusiva dos autores, proveniência a montante ou classificadores automatizados sem bases de avaliadores humanos para calibração.
• Inconsistência de Constructo: As taxas de recusa não são comparáveis entre corpora porque amostram distribuições de prompts diferentes (por exemplo, sementes criadas manualmente vs. paráfrases de LLM) e estilos de elicitação diferentes (direto vs. jailbreak vs. indireto).
• Lacunas de Governança: Nenhum corpus pesquisado implementa acesso controlado, revisão de pesquisadores registrados ou uma política de remoção documentada. Cinco corpora são lançados sem termos de licenciamento explícitos na fase de pré-impressão.
• Fragmentação Taxonômica: Não há um esquema de malware canônico. A revisão teve que construir uma ontologia de união de 22 categorias para permitir a comparação entre corpora, pois as taxonomias existentes (derivadas do MITRE, famílias funcionais, tipos de ataque) não mapeiam limpa umas para as outras.
• Desequilíbrio de Cobertura: Embora os tipos comuns de malware estejam saturados, vetores emergentes críticos como explorações de firmware e ataques à cadeia de suprimentos permanecem sub-representados, frequentemente cobertos por apenas um ou dois corpora.

Significância e Alegações

O artigo afirma ser a primeira revisão sistemática a tratar os próprios corpora de prompts de código malicioso como a unidade de análise, em vez de tratá-los como contexto secundário para taxonomias de segurança de código ou jailbreaks. Sua significância reside em:

• Auditoria do Campo: Expõe que o ritmo acelerado de lançamento de corpora superou a estrutura metodológica necessária para comparação válida.
• Fornecimento de uma Linha de Base: Oferece um vocabulário estruturado (a taxonomia) e uma ontologia consolidada (as 22 categorias) para que pesquisadores futuros auditem decisões de seleção e comparem conjuntos de dados.
• Definição de Expectativas Metodológicas: Propõe uma lista de verificação para a construção de corpora de próxima geração, incluindo pré-registro de critérios de inclusão, validação de rótulos por múltiplos juízes diversos de fornecedores, relato de Fleiss' $\kappa$ com intervalos de confiança bootstrap e a adoção de uma taxonomia de malware canônica.
• Trabalho Futuro: Os autores identificam uma reavaliação empírica uniforme da confiabilidade entre avaliadores em todos os treze corpora usando um protocolo comum de múltiplos juízes como o próximo passo necessário, o que é adiado para trabalhos futuros.

A revisão conclui que, embora o campo tenha gerado um rico conjunto de artefatos de avaliação, a falta de relato padronizado de confiabilidade, governança de licenciamento e alinhamento taxonômico impede atualmente a agregação de estatísticas de taxas de recusa em uma métrica coerente e interpretável para a segurança de LLMs.