Resumo Técnico: Detecção de Mudança On-line e Adaptação Conformal para Classificadores de Segurança Implantados

Declaração do Problema

Classificadores de segurança servem como uma camada de defesa crítica entre modelos de linguagem de grande escala (LLMs) e usuários, mas operam sob uma suposição de estacionaridade: que as distribuições de entrada futuras serão semelhantes à distribuição de calibração. Essa suposição falha devido à adaptação adversária, deriva linguística orgânica, alternância de código (code-switching) multilíngue e ataques composicionais. O principal modo de falha é "silencioso": a precisão de um classificador pode degradar significamente (por exemplo, de 95% para 80%) sem gerar um sinal de erro se os rótulos de verdade fundamental (ground-truth) não estiverem disponíveis em tempo real. No momento em que a avaliação offline detecta o problema, o sistema pode estar tomando decisões não confiáveis por dias ou semanas.

O artigo aborda dois desafios centrais:

1. Detecção: Como detectar mudanças distributivas on-line com taxas de alarmes falsos controladas através de diversos tipos de mudança e arquiteturas de classificador.
2. Adaptação: Como recuperar garantias de cobertura após a detecção da mudança sem exigir novos dados rotulados, especificamente usando predição conformal ponderada.

Metodologia

Arquitetura do Sistema

O sistema proposto é um monitor on-line que observa um fluxo de saídas de classificadores: texto de entrada ($x_t$), probabilidade de classe insegura ($s_t$) e representações da camada penultimate ($r_t$). Ele compreende dois componentes principais:

1. Detector de Mudança (Shift Detector): Um detector de janela deslizante que dispara um alarme quando a distribuição de entrada muda.
2. Camada de Abstenção Conformal: Uma camada descendente que adapta os limiares de decisão após o alarme para preservar uma taxa de erro alvo ($\epsilon = 0.1$).

Mecanismos de Detecção

O sistema avalia dois canais de detecção:

• Detector Kolmogorov–Smirnov (KS): Monitora a distribuição marginal dos escores do classificador. Ele mantém uma janela deslizante de escores recentes e computa um estatístico KS de amostra única contra uma Função de Distribuição Acumulada (CDF) de referência congelada, estabelecida durante a calibração.
• Detector Maximum Mean Discrepancy (MMD): Monitora a geometria dos embeddings do classificador usando uma janela deslizante de vetores de embedding e um kernel Gaussiano.

Lógica de Calibração e Alarme:
Para controlar as taxas de alarmes falsos (FAR) ao longo de um horizonte de monitoramento, o sistema emprega calibração empírica via simulação nula. Em vez de confiar apenas em limites teóricos (como Hoeffding), que podem ser conservadores para janelas deslizantes, o sistema executa 50 fluxos de controle negativo (apenas dados dentro da distribuição) para determinar o percentil 97 do estatístico máximo observado como o limiar de alarme.

Adaptação Conformal

Ao detectar uma mudança, o sistema ativa uma camada de predição conformal ponderada.

• Estimativa de Razão de Densidade: Estima a razão de densidade $w_i = p_{target}(x_i) / p_{source}(x_i)$ entre as distribuições de origem (calibração) e alvo (mudança) usando regressão logística nos embeddings do classificador.
• Quantil Ponderado: O limiar conformal é recomputado como um quantil ponderado de escores de não conformidade.
• Estabilidade: Os pesos são limitados (clipped) ao intervalo $[1/C, C]$ (com $C=10$) para garantir estabilidade.

Desenho Experimental

Os autores realizaram uma avaliação fatorial pré-registrada:

• Classificadores (4): DeBERTa-v3-large, Text-Moderation (DeBERTa-v3-base), Llama Guard 3 e ShieldGemma.
• Condições de Mudança (5): Paráfrase, Code-switch, Composicional, Temporal (jailbreaks reais) e Sufixo Adversário (otimizado por GCG).
• Parâmetros: 20 sementes aleatórias, 2 tamanhos de janela (100, 200), totalizando 800 células experimentais.

Principais Resultados

1. Desempenho de Detecção (RQ1)

• Eficácia Geral: O sistema alcançou uma taxa de detecção válida de 86,6% (693/800 células) com uma latência média de detecção de 39,5 passos (com tamanho de janela 100). As taxas de alarme falso empíricas variaram de 2% a 10% entre os classificadores.
• Interação de Cruzamento (Crossover Interaction): Um efeito de interação significativo foi observado entre a arquitetura do classificador e o tipo de mudança:
  • Encoders (DeBERTa, Text-Moderation): Detectaram mudanças naturalísticas (paráfrase, composicional) rapidamente (24–35 passos), mas tiveram dificuldades com sufixos adversários (até 36,6 passos).
  • Decoders (Llama Guard, ShieldGemma): Detectaram sufixos adversários rapidamente (26–28 passos), mas foram lentos em paráfrase (64–97 passos).
• Regimes de Verdade Fundamental (Ground-Truth): A detecção manteve-se em três regimes: início sintético, jailbreaks temporais reais (85% de detecção em 20 células) e cenários de sucesso adversário.
  • Caso de Sucesso Adversário: Em um regime específico onde sufixos GCG conseguiram inverter a classificação do DeBERTa, a mudança era indetectável pelo DeBERTa (os escores moveram-se para a região segura, indistinguíveis da referência), mas era detectável por classificadores não-alvo (Llama Guard), onde as mesmas entradas pareciam mais perigosas. Isso sugere que a detecção de anomalias entre cruzamento de classificadores pode servir como um "canário" para evasão adversária.

2. Adaptação Conformal (RQ2)

• Colapso da Razão de Densidade (Density-Ratio Collapse): Um modo de falha crítico foi identificado. Para três dos quatro classificadores (Text-Moderation, Llama Guard, ShieldGemma), o estimador de razão de densidade por regressão logística alcançou separabilidade linear perfeita no espaço de embedding de alta dimensão. Isso forçou todos os pesos de importância para o piso de clipping ($1/C = 0.1$), resultando em um Tamanho de Amostra Efetivo (ESS) de ~300 (sem reponderação efetiva) e recuperação de cobertura negligenciável ($\le +0.10$).
• Exceção DeBERTa: O DeBERTa foi o único classificador onde a predição conformal ponderada alcançou recuperação significativa, mas a eficácia variou conforme o tipo de mudança:
  • Paráfrase: ESS=46, Recuperação=+39 pontos percentuais (pp).
  • Temporal: ESS=88, Recuperação=+16 pp.
  • Sufixo Adversário: ESS=206, Recuperação=+2 pp (quase colapso).
• Remédio de Redução de Dimensionalidade: Aplicar PCA para reduzir os embeddings para 32 dimensões antes da estimativa da razão de densidade quebrou a separabilidade perfeita. Isso restaurou a cobertura para modelos generativos: Llama Guard recuperou +33 pp e ShieldGemma +21 pp em mudanças temporais.

3. Decomposição de Variância (RQ3)

Uma ANOVA de duas vias na latência de detecção revelou que nenhum fator único domina:

• Classificador: $\eta^2 = 0.243$
• Tipo de Mudança: $\eta^2 = 0.237$
• Interação (Classificador $\times$ Mudança): $\eta^2 = 0.185$
• Resíduo: $\eta^2 = 0.335$
  Todos os fatores foram estatisticamente significativos ($p < 0.001$), indicando que a dificuldade de detecção é determinada pelo emparelhamento específico de classificador e tipo de mudança, necessitando de perfis de monitoramento por classificador.

Significância e Alegações

O artigo afirma fornecer um estudo empírico direcionado de classificadores de segurança de LLM sob diversas condições de mudança, expondo modos de falha que frameworks de monitoramento gerais não detectam. As principais contribuições incluem:

1. Diagnóstico de Colapso de Razão de Densidade: O artigo identifica um modo de falha específico nos embeddings de classificadores de segurança generativos onde a regressão logística alcança separabilidade perfeita, tornando a reponderação baseada em dados ineficaz. Demonstra que a redução de dimensionalidade (PCA) é um diagnóstico e remédio necessário para esse artefato.
2. Interação Arquitetura $\times$ Mudança: O estudo revela que a latência de detecção não é uma propriedade do classificador ou da mudança isoladamente, mas de sua interação. Encoders e decoders exibem sensibilidades opostas a mudanças naturalísticas versus adversárias, desafiando a noção de uma configuração de monitoramento universal.
3. Detecção de Anomalia entre Classificadores: O trabalho demonstra que ataques adversários bem-sucedidos contra um classificador alvo podem produzir um sinal distributivo insuficiente para esse classificador específico, mas parecer anômalos para classificadores de arquiteturas diferentes, permitindo a detecção via desvios de escore entre classificadores.
4. Compromissos Operacionais: A comparação entre detectores KS (janela deslizante) e Confidence Sequence (janela crescente) destaca um compromisso de implementação: o KS oferece detecção mais rápida para sinais fortes, enquanto o CS oferece detecção superior para mudanças fracas e de baixa mistura (ex: 97% de detecção contra 43% para o KS com 30% de contaminação).

Os autores concluem que nem a escolha do classificador nem o tipo de mudança determinam sozinhos a dificuldade de detecção. O monitoramento eficaz requer perfis por classificador que considerem interações específicas de mudança, e estratégias de adaptação conformal devem considerar artefatos de separabilidade induzidos pela dimensionalidade em embeddings de alta dimensão.