Resumo Técnico: Qualidade Não é um Proxy de Segurança sob Quantização

Declaração do Problema

A quantização pós-treinamento (ex: GGUF, AWQ, GPTQ) tornou-se um caminho padrão de implantação para modelos de linguagem locais e com restrições de custo. Um atalho operacional comum nesse pipeline é realizar a triagem de checkpoints quantizados usando métricas de qualidade (ex: BERTScore, ROUGE-L, coerência) e, se a qualidade parecer estável, assumir que as propriedades de segurança (recusa, veracidade, resistência ao viés) também foram preservadas, evitando assim o teste direto de segurança.

Este artigo audita a validade desse atalho. Ele investiga se a qualidade retida pode servir como um proxy estável para a segurança em diferentes famílias de modelos e métodos de quantização. A hipótese central testada é se um portão de implantação baseado apenas em qualidade pode identificar confiavelmente checkpoints onde a segurança deteriorou-se, apesar de uma utilidade aceitável ou melhorada.

Metodologia

O estudo emprega uma auditoria pareada e transversal em uma matriz de modelo-quantização de 51 linhas congelada.

• Construção do Dataset: A matriz abrange 6 modelos base em 4 famílias, incluindo uma escada de quantização GGUF de 7 níveis e 11 checkpoints AWQ/GPTQ INT4 concluídos.
• Métricas de Avaliação:
  • Qualidade: Medida via BERTScore, ROUGE-L e coerência de embedding de sentença.
  • Segurança Direta: Avaliada em uma bateria de turno único cobrindo recusa de solicitações prejudiciais (AdvBench), veracidade (TruthfulQA), resistência ao viés (BBQ) e amplificação de jailbreak.
  • Julgamento: Os rótulos primários são gerados por gemma3:12b. Para testar a robustez, um conjunto estratificado predefinido de 11.470 itens é rotulado novamente por Claude Sonnet 4.
• Definições de Regime:
  • Perigo Oculto (Hidden-Danger): Uma linha onde a qualidade permanece estável ou melhora (dentro de ±2 pontos percentuais da linha de base) enquanto a recusa degrada em pelo menos 10 pontos percentuais.
  • Perigo Quase Oculto (Near-Hidden-Danger): Qualidade dentro de ±5 pontos enquanto a recusa degrada em ≥10 pontos.
• Acompanhamento Mecanístico: Uma análise de quatro sondas em 17 células suportadas pelo Hugging Face (FP16, AWQ, GPTQ) examinando entropia do primeiro token, geometria da direção de recusa, deriva de calibração e erro de quantização em neurônios "associados à segurança" (os 5% superiores por contraste de ativação).
• Heurística de Triagem: Desenvolvimento do Índice de Estabilidade de Template de Recusa (RTSI), uma triagem comportamental de quatro recursos baseada em deriva de template de recusa (compartilhamento de prefixo dominante, taxa de prefixo único, entropia de prefixo normalizada e comprimento médio de token de recusa).

Principais Resultados

1. Instabilidade das Associações Qualidade–Segurança

O artigo descobre que métricas de qualidade não são proxies estáveis para a segurança.

• Heterogeneidade de Sinal: Todos os 36 pares de métricas qualidade–segurança dividem a direção entre os modelos. Uma correlação positiva em uma família de modelos frequentemente corresponde a uma correlação negativa em outra.
• Agregado vs. Local: Correlações agregadas (pooled) podem parecer tranquilizadoras enquanto mascaram uma severa degradação de segurança em subgrupos específicos. Isso representa um cenário de paradoxo de Simpson, onde a estrutura do subgrupo (família do modelo) dita o resultado.

2. Prevalência de Linhas de Perigo Oculto

A auditoria identifica 9 linhas de perigo oculto e 1 linha de perigo quase oculto na matriz.

• Severidade: Nessas linhas, as taxas de recusa caem de 12 a 68 pontos percentuais enquanto as métricas de qualidade permanecem estáveis ou melhoram (ex: llama3.2-1b AWQ mostra +8,27 pp de BERTScore, mas -61,82 pp de recusa).
• Métodos de Quantização: 7 das 11 linhas AWQ/GPTQ são classificadas como perigo oculto. O padrão não se limita a uma família específica de quantização; ele aparece tanto em métodos de peso único INT4 (AWQ, GPTQ) quanto em níveis específicos de GGUF.
• Falha Operacional: Um pipeline que aprova checkpoints baseando-se apenas na qualidade aprovaria erroneamente essas linhas perigosas.

3. Sondas Mecanísticas vs. Telas Comportamentais

• Sondas Latentes: Quatro diagnósticos latentes padrão (desvio de entropia, geometria da direção de recusa, deriva de calibração) falharam em separar linhas perigosas de linhas seguras. Embora os neurônios associados à segurança tenham absorvido 1,39× mais erro de quantização no total ($p < 5 \times 10^{-7}$), este efeito foi global e não específico de regime, tornando-o um preditor fraco para linhas específicas de perigo oculto.
• Desempenho do RTSI: A heurística comportamental (RTSI) provou ser mais eficaz. Com um corte de 0,10:
  • Ela roteou 10/10 linhas de perigo oculto ou quase oculto para teste direto de segurança.
  • Ela manteve 23/45 linhas fora da linha de base em um balde de baixo risco.
  • Superou as baselines de recurso único (ex: delta de taxa de prefixo único recuperou 9/10, RTSI recuperou 10/10).
  • A tela sobreviveu à validação de exclusão de uma linha (leave-one-out) ao nível de linha.

4. Robustez do Juiz

• Acordo entre Segundo Juiz: Claude Sonnet 4 concordou com gemma3:12b em 89,9% dos 11.470 itens ($\kappa = 0,873$).
• Estabilidade de Regime: Crucialmente, 0/10 células de perigo oculto mudaram de regime sob o segundo juiz. A discordância foi principalmente na calibração de recusa (Sonnet sendo mais rigoroso com conteúdo envolto em avisos/disclaimers), o que apoia a afirmação conservadora do artigo em vez de invalidá-la.

Principais Contribuições

1. Auditoria de Proxy Pareada: Um teste direto e transversal do atalho de implantação, demonstrando que a qualidade retida não pode justificar a dispensa da validação direta de segurança.
2. Taxonomia de Implantação: A definição e enumeração de regimes de "perigo oculto" e "perigo quase oculto", fornecendo um framework concreto para identificar modos de falha operacional onde a qualidade mascara o colapso da segurança.
3. Heurística RTSI: Uma tela comportamental calibrada e interna do estudo que tria efetivamente os checkpoints para testes de segurança direta, superando as baselines de recurso único na recuperação de casos marginais de perigo quase oculto.
4. Insight Mecanístico: Evidência de que, embora os neurônios associados à segurança sejam mais sensíveis ao erro de quantização, sondas latentes simples são insuficientes para identificar linhas perigosas específicas, reforçando a necessidade de triagem comportamental.

Significância e Alegações

A principal alegação do artigo é uma afirmação de validade de avaliação: para os checkpoints quantizados, famílias de modelos, métodos de quantização e resultados de segurança estudados, a qualidade retida não pode dispensar a avaliação direta de segurança.

• Implicação de Processo: A validação de qualidade e a validação direta de segurança devem ser tratadas como requisitos paralelos, e não como um portão serial onde a aprovação de qualidade ignora o teste de segurança.
• Limitação de Escopo: A alegação é limitada aos resultados medidos (recusa de turno único, veracidade, viés, amplificação de jailbreak) e às famílias de modelos específicas (até a classe 7B) e métodos de quantização (GGUF, AWQ, GPTQ) na matriz. O artigo não afirma que qualidade e segurança nunca estão correlacionadas, nem valida o RTSI como um índice externamente transferível sem recalibração.
• Aviso Operacional: A existência de linhas de perigo oculto demonstra que um pipeline "qualidade-primeiro" cria um modo de falha específico: aprovar checkpoints que são úteis, mas inseguros. O artigo argumenta que o teste direto de segurança é o único método confiável para detectar essas falhas.