GAS-Leak-LLM: Genetic Algorithm-Based Suffix Optimization for Black-Box LLM Jailbreaking

Resumo Técnico: GAS-Leak-LLM

Definição do Problema
Grandes Modelos de Linguagem (LLMs) estão sendo cada vez mais implantados em domínios críticos, mas permanecem vulneráveis a manipulações adversárias, especificamente técnicas de "jailbreaking" que contornam o alinhamento de segurança para gerar saídas prejudiciais ou que violam políticas. Embora os sistemas comerciais empreguem estratégias de moderação de conteúdo e alinhamento de múltiplas camadas (como o Ajuste Fino Supervisionado e RLHF), pesquisas recentes indicam que essas salvaguardas não são impenetráveis. Ataques adversários tradicionais geralmente dependem de acesso de caixa branca (exigindo conhecimento dos parâmetros do modelo) ou engenharia de prompt manual, o que é trabalhoso e carece de escalabilidade. Há uma necessidade de métodos sistemáticos e automatizados para avaliar a robustez do modelo sob modelos de ameaça de caixa preta realistas, onde os atacantes não possuem acesso à arquitetura interna ou aos gradientes.

Metodologia: GAS-Leak-LLM
Os autores propõem o GAS-Leak-LLM, um novo framework que utiliza um Algoritmo Genético (GA) para gerar e otimizar automaticamente sufixos adversários universais. O ataque opera estritamente em um cenário de caixa preta, baseando-se apenas em interações de entrada-saída.

1. Modelo de Ameaça: O adversário visa construir um sufixo universal que, quando anexado a um conjunto diversificado de prompts prejudiciais, induza consistentemente o LLM alvo a gerar saídas desalinhadas. O modelo é tratado como uma caixa preta; apenas as respostas das consultas são acessíveis.
2. Inicialização: O GA começa com uma população de sufixos candidatos ($M=10$). Eles são gerados a partir de duas fontes distintas:
   • Sufixos Sem Sentido (Meaningless Suffixes): Tokens amostrados aleatoriamente do vocabulário do modelo ($D_{s1}$), incluindo caracteres não imprimíveis.
   • Sufixos Com Sentido (Meaningful Suffixes): Sentenças coerentes em inglês geradas através da amostragem de palavras de um vocabulário de alta frequência ($D_{s2}$) e utilizando um LLM para construir sentenças gramaticalmente corretas.
3. Processo Evolutivo: O framework itera através de gerações (até 100) usando operadores padrão de GA:
   • Avaliação: Cada sufixo candidato é anexado a um subconjunto de prompts prejudiciais ($n=20$ amostrados de um dataset de 520). A resposta do LLM é analisada contra uma resposta prejudicial alvo ($t_i$) e uma resposta de rejeição canônica ($t_r$).
   • Função de Aptidão (Fitness Function): A pontuação de aptidão é calculada com base na similaridade semântica. Ela maximiza a similaridade com a resposta prejudicial alvo enquanto minimiza a similaridade com a resposta de rejeição. Uma pontuação $\geq 0,6$ indica um jailbreak bem-sucedido.
   • Seleção: A seleção por torneio é empregada para escolher os sufixos pais. Os autores experimentam com tamanhos de torneio ($k=2$ e $k=3$).
   • Cruzamento (Crossover): O cruzamento de um ponto recombina segmentos de sufixos pais de alta aptidão para criar descendentes.
   • Mutação: Uma estratégia de mutação de reset aleatório substitui um único token no descendente por um novo token do vocabulário para manter a diversidade.
   • Substituição: Uma estratégia de elitismo preserva os indivíduos de melhor desempenho para a próxima geração.

Principais Contribuições
O artigo descreve três contribuições primárias:

1. Geração Automatizada de Sufixos: O desenvolvimento de uma metodologia para gerar e otimizar automaticamente sufixos adversários universais usando um Algoritmo Genético sem exigir os internos do modelo.
2. Avaliação Abrangente: Uma avaliação rigorosa dos sufixos gerados sob diversas condições, incluindo prompts com ou sem sentido, truncamento vs. não truncamento, transferibilidade entre modelos e diferentes tamanhos de seleção por torneio.
3. Análise Comparativa: Uma comparação de desempenho dos sufixos universais gerados através de modelos de ameaça selecionados (Qwen2.5-3B e Llama-3.2-3B-Instruct) para avaliar sua eficácia e transferibilidade.

Resultados Experimentais
O estudo foi conduzido em dois modelos de código aberto: Qwen2.5-3B e Llama-3.2-3B-Instruct.

• Vulnerabilidade de Linha de Base (Baseline): Diferenças significativas na vulnerabilidade de linha de base foram observadas. O Qwen2.5-3B exibiu uma alta taxa de jailbreak de linha de base (92,88%) mesmo sem sufixos, enquanto o Llama-3.2-3B-Instruct mostrou forte resistência (5,96%). Isso sugere que o ajuste fino de instrução desempenha um papel fundamental no fortalecimento do alinhamento de segurança.
• Eficácia dos Sufixos:
  • Llama-3.2-3B-Instruct: O ataque foi eficaz, aumentando a taxa de jailbreak de 5,96% para 17,76% usando sufixos autogerados.
  • Com Sentido vs. Sem Sentido: Para o modelo Llama, que é mais robusto, os sufixos com sentido (19,60% de sucesso) superaram significativamente os sufixos sem sentido (11,96%). Isso indica que a coerência linguística e a relevância contextual amplificam o sucesso do ataque em modelos alinhados.
  • Qwen2.5-3B: Devido à sua alta vulnerabilidade de linha de base, a adição de sufixos proporcionou pouca melhoria e, em alguns casos, reduziu ligeiramente as taxas de sucesso, provavelmente atuando como ruído.
• Transferência entre Modelos: Sufixos gerados para um modelo mostraram transferência parcial para o outro, embora sufixos específicos do modelo tenham permanecido mais eficazes.
• Comprimento do Sufixo: O truncamento de sufixos reduziu significativamente a eficácia do ataque no modelo robusto Llama (caindo de 18,36% para 13,2%), enquanto o modelo vulnerável Qwen permaneceu amplamente insensível ao truncamento.
• Pressão de Seleção: Variar o tamanho do torneio ($k=2$ vs. $k=3$) resultou em diferenças marginais de desempenho.

Significância e Alegações
O artigo afirma que o GAS-Leak-LLM fornece um framework sistemático e reproduzível para expor vulnerabilidades residuais em LLMs alinhados. As descobertas empíricas oferecem três insights principais:

1. Ajuste Fino de Instrução (Instruction Fine-Tuning): Confirmado como um fator crítico para fortalecer o alinhamento do modelo e reduzir a suscetibilidade de linha de base.
2. Coerência Semântica: Estabeleceu que sufixos adversários semanticamente significativos são substancialmente mais eficazes do que os sem sentido para induzir o comportamento de jailbreak, sugerindo que os mecanismos de segurança são mais facilmente contornados por entradas linguisticamente coerentes.
3. Comprimento do Sufixo: Revelou que o comprimento do sufixo é um determinante crítico da eficácia do ataque, particularmente para modelos robustos como os da família Llama, onde sufixos mais longos exercem uma influência comportamental mais forte.

Os autores concluem que esses achados avançam a compreensão da segurança de LLMs e fornecem insights acionáveis para o design de mecanismos de alinhamento mais resilientes. O trabalho destaca que, mesmo com salvaguardas avançadas, os modelos permanecem suscetíveis a ataques adversários evolutivos e automatizados, particularmente quando os ataques utilizam a coerência semântica.