Resumo Técnico: Greedy Coordinate Diffusion (GCD)

1. Definição do Problema

Apesar da extensa pesquisa, os ataques adversários contra Grandes Modelos de Linguagem (LLMs) enfrentam um "trilema" crítico no implantação prático, caracterizado por três modos primários de falha:

1. Alta Perplexidade (Não Naturalidade): Métodos de otimização baseados em gradiente (ex: Greedy Coordinate Gradient, GCG) alcançam altas Taxas de Sucesso de Ataque (ASR), mas produzem sufixos incoerentes e de alta perplexidade que são facilmente detectados e bloqueados por filtros baseados em perplexidade.
2. Taxa de Jailbreak (Deriva Semântica): Abordagens de reescrita de prompt (ex: PAIR, AutoDAN) geram texto fluente e legível por humanos, mas frequentemente alteram a intenção semântica da consulta. Consequentemente, o modelo cumpre uma reformulação benigna em vez do objetivo malicioso original do adversário.
3. Baixa Taxa de Sucesso em Modelos Robustos: Tentativas de equilibrar fluência e intenção frequentemente falham em induzir a conformidade em modelos fortemente alinhados com segurança, particularmente quando a otimização trata a perda do ataque como uma heurística em vez de uma restrição estrita.

Os métodos atuais carecem do controle semântico refinado para navegar no equilíbrio entre manter a linguagem natural (para evitar filtros) e preservar a otimização exata ao nível do token (para forçar saídas prejudiciais específicas).

2. Metodologia: Greedy Coordinate Diffusion (GCD)

Os autores propõem o Greedy Coordinate Diffusion (GCD), um framework de otimização de caixa cinza (gray-box) que substitui a seleção de tokens baseada em gradiente por um modelo de difusão discreta como uma distribuição de proposta. O GCD opera sem acesso direto aos pesos do modelo, aproveitando as probabilidades de tokens de saída ou pontuações de segurança.

Mecanismo Central

O GCD formula a construção de prompts como um processo de difusão discreta guiado. Em vez de otimizar sobre embeddings de tokens one-hot via gradientes (o que gera texto incoerente), o GCD utiliza um modelo de linguagem de difusão discreta ($D_\phi$) para propor candidatos de tokens semanticamente coerentes.

O loop de otimização procede da seguinte forma:

1. Inicialização: O prompt adversário $x_{adv}$ é inicializado como uma sequência de tokens totalmente mascarados ($<|mask|>$), forçando o modelo de difusão a gerar estrutura semântica a partir do ruído.
2. Subamostragem de Coordenadas Estocástica: Para reduzir o custo computacional, o GCD otimiza um subconjunto aleatório de posições $I^{(t)}$ em cada etapa, em vez da sequência inteira.
3. Propostas de Difusão: Para cada posição selecionada, o token atual é mascarado, e o modelo de difusão $D_\phi$ é consultado para gerar os top-$K$ tokens mais prováveis condicionados ao contexto completo (tanto à esquerda quanto à direita).
4. Look-Ahead de One-Shot Diffusion (OSD): Um componente técnico crítico aborda a incompatibilidade entre o modelo de difusão (que lida com sequências mascaradas) e o LLM autorregressivo vítima ($M_\theta$, que não pode processar máscaras). Para cada sequência candidata contendo máscaras, o GCD realiza uma denoising de difusão de um passo para preencher todos os tokens mascarados restantes simultaneamente. Isso gera uma sequência de rascunho completa e coerente adequada para avaliação pelo modelo vítima.
5. Seleção Gananciosa (Greedy Selection): O modelo vítima $M_\theta$ pontua os rascunhos completados com base em uma função de perda composta. O candidato com melhor desempenho é selecionado para atualizar o prompt.

Função Objetivo

O framework minimiza uma perda composta $L_{comp}$:
$$L_{comp}(x_{adv}) = L_{victim}(x_{adv}) + \lambda L_{guard}(x_{adv}) + \beta L_{PPL}(x_{adv})$$

• $L_{victim}$: Log-verossimilhança negativa de um prefixo alvo estritamente restrito (ex: "Certamente, aqui está..."), garantindo que o modelo cumpra a intenção maliciosa específica.
• $L_{guard}$: Log-verossimilhança negativa de o prompt ser classificado como seguro por um modelo de guarda (ex: Llama Guard), penalizando prompts sinalizados.
• $L_{PPL}$: Auto-perplexidade do prompt, penalizando sequências de tokens não naturais para evitar filtros de perplexidade.

Pipeline de Duas Fases

• Fase 1: A otimização roda para encontrar um prompt que acione o prefixo alvo.
• Fase 2: Uma vez encontrado um match de prefixo, o sistema gera continuações completas (512 tokens) e as pontua usando um juiz de proxy (Qwen2.5-7B) em uma escala de nocividade. Uma Perda de Diversidade é aplicada se o modelo vítima produzir continuações evasivas, suprimindo tokens de falha específicos para direcionar a busca para trajetórias de ataque distintas.

3. Principais Contribuições

• Framework Inovador: Introdução do GCD, que integra priors de difusão discreta na otimização adversária para alcançar alta ASR e coerência semântica.
• Capacidade de Caixa Cinza (Gray-Box): Diferente do GCG, o GCD não requer acesso ao gradiente, tornando-o aplicável a modelos servidos via API ou proprietários, mantendo o controle ao nível do token.
• Ponte entre Espaços de Tokens: A proposta de um mecanismo de "One-Shot Diffusion" para resolver a incompatibilidade entre estados de difusão mascarados e modelos vítimas autorregressivos, permitindo uma avaliação precisa da perda durante as etapas intermediárias de otimização.
• Aderência Semântica: A imposição explícita de prefixos alvo evita a "taxa de jailbreak", garantindo que o modelo cumpra a intenção maliciosa original em vez de uma versão sanitizada.

4. Resultados Experimentais

Os autores avaliaram o GCD contra quatro modelos vítima (Llama-3-8B, Qwen-2.5-7B, Mistral-7B, Llama-3-70B) e o compararam com baselines de caixa branca (GCG, GBDA), caixa cinza (AutoDAN) e caixa preta (PAIR, TAP, Inpainting).

• Taxa de Sucesso de Ataque (ASR): O GCD alcançou a maior ASR em todos os modelos. Notavelmente, atingiu 100% de ASR no Mistral-7B e 97,92% no Qwen-2.5-7B, superando significativamente o GCG (que caiu para 0% sob defesa de perplexidade no Qwen e Mistral) e outros baselines.
• Evasão de Defesa: Sob filtragem baseada em perplexidade, o GCD manteve altas taxas de sucesso (ex: 85,42% no Llama-3-8B e 100% no Mistral-7B), enquanto métodos baseados em gradiente como GCG e GBDA caíram para 0%.
• Qualidade da Resposta: O GCD obteve pontuações altas na escala de nocividade StrongReject (SR) (ex: 0,8234 no Mistral-7B), indicando que as respostas geradas não foram apenas bem-sucedidas, mas substancialmente prejudiciais e alinhadas com a intenção original.
• Taxas de Detecção: Os prompts adversários construídos foram detectados em taxas menores por filtros de perplexidade e modelos de guarda em comparação com outros métodos.

5. Significância e Alegações

O artigo afirma que o GCD resolve com sucesso o tradeoff fundamental em ataques adversários: ele combina a fluência de abordagens de reescrita de prompt com o controle fino ao nível de token da otimização baseada em gradiente. Ao aproveitar os priors generativos de modelos de difusão discreta, o GCD restringe o espaço de busca a textos coerentes e legíveis por humanos, enquanto ainda permite a otimização precisa para forçar saídas alvo específicas.

Os autores posicionam o GCD como um passo prático para unir a lacuna entre o feedback esparso de caixa preta e a otimização de informação total. Eles afirmam que seu método demonstra que é possível gerar ataques que são simultaneamente furtivos (baixa perplexidade), semanticamente coerentes (baixa taxa de jailbreak) e altamente eficazes contra modelos robustos e alinhados com segurança. O trabalho destaca que as defesas atuais que dependem de perplexidade ou modelos de guarda semânticos são vulneráveis a ataques que utilizam busca guiada por difusão para manter propriedades de linguagem natural enquanto aderem estritamente a objetivos maliciosos.