Resumo Técnico: MEMBRANE

Definição do Problema

Apesar dos avanços no alinhamento de segurança, os Grandes Modelos de Linguagem (LLMs) e agentes de LLM permanecem vulneráveis a ataques de jailbreak em constante evolução. Esses ataques mudaram de simples modificações de prompts para estratégias complexas e orientadas por feedback, como o refinamento iterativo, a reescrita baseada em persuasão e políticas de autoadaptação.

As defesas existentes enfrentam duas limitações primárias:

1. Defesas Estáticas: Classificadores de segurança tradicionais e modelos ajustados (fine-tuned) codificam a segurança em parâmetros fixos, tornando seus limites de decisão rígidos e difíceis de revisar após a implantação sem um retreinamento dispendioso.
2. Deficiências de Memória: Embora guardiões aumentados por memória ofereçam adaptabilidade, os designs existentes armazenam o conhecimento de segurança de uma forma "unilateral". Eles capturam padrões de ataque ou regras de recusa, mas carecem de condições pareadas para permitir consultas benignas que se assemelham superficialmente a ataques. Isso leva a dois modos de falha acoplados:
   • Cobertura Frágil: As defesas permanecem presas às formas superficiais já armazenadas.
   • Recusa Excessiva (Over-Refusal): À medida que a memória se expande, os guardiões passam a rejeitar cada vez mais consultas benignas que compartilham características superficiais com os ataques armazenados.

Metodologia: MEMBRANE

Os autores propõem o MEMBRANE, um guardião externo construído sobre uma Memória de Segurança Contrastiva (CSM). Diferente de abordagens anteriores, o MEMBRANE evolui uma base de conhecimento onde cada célula de memória pareia explicitamente as condições para bloquear uma consulta nociva com as condições para permitir uma requisição benigna superficialmente semelhante.

Componentes Principais

1. Memória de Segurança Contrastiva (CSM):

   • Estrutura: Cada célula ($m$) consiste em um Perfil de Ataque ($P$), Critérios de Decisão ($D$) e um Contexto de Ação-Ferramenta ($T$) opcional para a segurança de agentes.
   • Perfil de Ataque: Caracteriza os ataques por estratégia ($p_{strat}$), ação solicitada ($p_{act}$) e objetivo de dano ($p_{harm}$). Crucialmente, o indexamento é baseado na estratégia de ataque subjacente (ex: persuasão, injeção de papel/role injection) em vez de tópicos superficiais, permitindo que uma única célula se generalize através de diversas variantes tópicas do mesmo mecanismo.
   • Critérios de Decisão: Um par contrastivo ($d_{unsafe}, d_{safe}$). $d_{unsafe}$ define a suficiência lógica para bloquear uma consulta, enquanto $d_{safe}$ delineia requisições benignas que devem ser permitidas para evitar a recusa excessiva.
   • Contexto de Ação-Ferramenta: Para agentes, isso especifica quando uma ação permanece segura apesar de corresponder a critérios inseguros, derivado de interações benignas pareadas.

2. Autoevolução Pareada:

   • O MEMBRANE atualiza a CSM através de um loop orientado por experiência. Cada interação envolve uma consulta nociva ($x_h$) e sua contraparte benigna ($x_b$).
   • Com base no veredito do guardião (Jailbroken, Over-refusal ou Correct), um Planejador de Memória seleciona uma ação: CREATE (novo padrão), UPDATE (refinar célula existente), DELETE (remover célula enganosa) ou SKIP.
   • Um Escritor de Memória sintetiza o conteúdo da célula contrastiva, garantindo que o lado seguro capture explicitamente a contraparte benigna. Um validador não-LLM garante a correção estrutural.

3. Pipeline de Inferência:

   • Estágio 1 (Recuperação Vetorial): Recupera células candidatas baseadas na similaridade vetorial dos campos serializados da célula, priorizando a alta recall de características de nível de mecanismo.
   • Estágio 2 (Crítico de Recuperação): Um reranker baseado em LLM filtra os candidatos, atribuindo vereditos de APPLIES (Aplica-se), MAYBE (Talvez) ou DOES_NOT_APPLY (Não se aplica) para garantir que a estratégia recuperada realmente se alinhe à consulta, reduzindo o ruído.
   • Decisão do Guardião: O guardião final avalia a consulta condicionada ao conjunto de células filtradas para emitir uma decisão SAFE/UNSAFE.

Contribuições Principais

1. Memória de Segurança Contrastiva (CSM): Uma representação de memória inovadora que pareia padrões de ataque com suas contrapartes benignas, tornando explícito o "lado seguro" da fronteira de segurança para suprimir a recusa excessiva.
2. Autoevolução Pareada: Uma regra de aprendizado orientada por experiência que destila interações nocivas e benignas em células contrastivas via operações de criação, atualização e exclusão, indexadas por estratégia de ataque em vez de forma superficial.
3. Avaliação Abrangente: Avaliação através de benchmarks de segurança de nível de modelo (HarmBench) e nível de agente (AgentHarm), demonstrando robustez contra seis transformações distintas de jailbreak.

Resultados Experimentais

Os autores avaliaram o MEMBRANE contra baselines de última geração (incluindo guardiões de nível de prompt, classificadores ajustados e defesas aumentadas por memória) no HarmBench e AgentHarm.

• Desempenho: O MEMBRANE alcançou o maior F1 score em todos os seis ataques de jailbreak em ambos os benchmarks.
  • No HarmBench, ele reduziu as Taxas de Sucesso de Ataque (ASR) para próximo de zero para ReNeLLM e FlipAttack, com uma margem significativa de F1 sobre o baseline mais forte.
  • No AgentHarm, o MEMBRANE alcançou o maior F1 entre todos os métodos, com o ASR caindo para 0,9% no FlipAttack (contra 100% do vanilla).
• Recusa Benigna: Uma métrica crítica para usabilidade. O MEMBRANE manteve uma taxa de recusa benigna de 7–14% no AgentHarm. Isso é substancialmente menor do que as baselines aumentadas por memória (28–53%) e guardiões estáticos (73–85%), demonstrando sua capacidade de distinguir consultas benignas de ataques.
• Generalização e Robustez:
  • Transferência de Ataque Cruzado: Células indexadas por estratégia mantiveram 87–88% de seu desempenho F1 quando transferidas para diferentes ataques que compartilham o mesmo mecanismo subjacente.
  • Envenenamento de Memória: Sob taxas de injeção de dados de 20% (ataques do tipo "Seguro-como-Inseguro" e "Inseguro-como-Seguro"), o MEMBRANE permaneceu estável, com desvio de ASR abaixo de 1 ponto e filtragem bem-sucedida de células envenenadas pelo Crítico de Recuperação.
• Latência: Embora o sistema completo incorra em overhead, uma configuração "MEMBRANE lite" (desativando o Crítico de Recuperação) reduziu a latência para ~2,3 segundos, mantendo altos escores de F1, superando baselines pesados como o SmoothLLM.

Significância

O artigo postula que a principal falha das defesas baseadas em memória anteriores é a falta de contraste explícito entre entradas seguras e inseguras. Ao estruturar a memória como células contrastivas indexadas por estratégia de ataque em vez de tópico superficial, o MEMBRANE aborda os problemas acoplados de cobertura frágil e recusa excessiva.

Os autores afirmam que esta abordagem permite que uma única célula de memória se generalize através de variantes tópicas do mesmo mecanismo de ataque, enquanto permite explicitamente consultas benignas que compartilham características superficiais. Os resultados sugerem que a memória contrastiva autoevoluída pode fornecer uma defesa adaptável e implantável que mantém alta precisão sem sacrificar a aceitação de requisições legítimas de usuários, mesmo diante de estratégias adversariais em evolução e potencial envenenamento de dados.