Resumo Técnico: Detecção de Jailbreaks através da Dinâmica de Entropia em Camadas Intermediárias

1. Declaração do Problema

Ataques de jailbreak exploram Grandes Modelos de Linguagem (LLMs) para contornar o treinamento de segurança, induzindo respostas que violam políticas, apesar dos esforços de alinhamento. Embora as defesas existentes operem no nível do prompt (filtros), no nível da saída (inspeção de resposta) ou via classificadores supervisionados, a codificação interna da intenção nociva permanece mal compreendida. Especificamente, não está claro como a intenção adversária é representada no espaço latente do modelo, como esse sinal evolui através das posições dos tokens e em qual profundidade dentro da arquitetura transformer essa informação é mais distinguível de entradas benignas.

Métodos atuais que dependem de estatísticas agregadas estáticas (ex: perplexidade média ou entropia) frequentemente falham em capturar as interações localizadas e sutis entre os tokens e o estado interno do modelo que caracterizam tentativas de jailbreak. Este artigo postula que o comportamento de jailbreak não é meramente um deslocamento nos níveis gerais de incerteza, mas induz dinâmicas estruturadas na forma como a entropia preditiva evolui conforme um prompt se desenrola.

2. Metodologia

Os autores propõem uma estrutura livre de treinamento (training-free framework) que analisa trajetórias de entropia preditiva ao nível do token dentro das camadas intermediárias de um LLM congelado. A abordagem baseia-se nos seguintes componentes:

2.1 Extração de Entropia de Camada Intermediária (Logit Lens)

Em vez de esperar pela saída final, o método projeta estados ocultos intermediários ($h_t^{(\ell)}$) em camadas específicas $\ell$ diretamente no espaço do vocabulário usando a matriz de unembedding final do modelo ($W_U$). Esta técnica de "lente de logit" (logit lens) gera uma distribuição de probabilidade $p^{(\ell)}(\cdot | x_{<t})$ para o próximo token em cada etapa intermediária.
A entropia de Shannon $H_t^{(\ell)}$ é então computada para cada posição de token $t$ nessas camadas de sondagem, criando uma trajetória de entropia $H^{(\ell)} = (H_1^{(\ell)}, \dots, H_{T-1}^{(\ell)})$.

2.2 Construção de Características (Features)

A estrutura distingue entre duas famílias de características derivadas dessas trajetórias:

• Características Estáticas (de Nível): Estatísticas agregadas que resumem a magnitude da incerteza ao longo do prompt, tais como média, máximo, desvio padrão e mínimo.
• Características Dinâmicas (de Tendência): Métricas que capturam a evolução direcional da incerteza através das posções dos tokens. As principais características incluem:
  • $\tau$ de Kendall: Correlação de postos entre os valores de entropia e as posições dos tokens.
  • $\rho$ de Spearman: Correlação de Pearson da entropia transformada por postos e as posições dos tokens.
  • Monotonicidade: A fração de pares de tokens consecutivos onde a entropia se move em uma direção específica ("nociva") ($d$), que é determinada empiricamente por modelo (ex: para baixo para Llama/Qwen, para cima para Gemma).

2.3 Protocolo de Avaliação

O estudo avalia estas características em um modelo congelado usando uma única passagem direta (forward pass). O desempenho de detecção é medido via AUROC direcional, computado na direção nociva natural do modelo. A avaliação abrange três modelos de código aberto (Llama-3.1-8B, Qwen3-8B, Gemma-7b) e múltiplos benchmarks adversariais (AdvBench, HarmBench, StrongREJECT) contra conjuntos de dados benignos (UltraChat, WildJailbreak, JailbreakBench).

3. Principais Contribuições

O artigo apresenta três contribuições primárias:

1. Análise Livre de Treinamento: Introduz um método para detectar sinais de jailbreak usando apenas ativações de camadas intermediárias sem a necessidade de treinar classificadores ou analisar as saídas geradas.
2. Sinal Dinâmico vs. Estático: Demonstra que o poder discriminativo reside principalmente nas características de trajetória dinâmica (monotonicidade, tendências baseadas em postos) em vez de estatísticas agregadas estáticas de entropia.
3. Localização Dependente de Profundidade: Identifica que o sinal de jailbreak está concentrado em camadas intermediárias (aproximadamente 50–85% da profundidade da rede) e degrada-se significativamente na camada final, sugerindo que a intenção nociva é codificada em representações semânticas de meio de rede antes de ser transformada pelo processamento específico de saída.

4. Resultados Empíricos

4.1 Características Dinâmicas Superam Agregados Estáticos

Em todos os modelos, as características de tendência dinâmica separaram consistentemente os prompts de jailbreak dos benignos, enquanto as características estáticas (entropia média, máxima) mostraram alta variância e baixa generalização entre modelos.

• A Monotonicidade alcançou o maior AUROC médio em Llama (0.941) e Qwen (0.941).
• O $\tau$ de Kendall e o $\rho$ de Spearman forneceram uma separação robusta e consistente entre arquiteturas (AUROC médio $\approx$ 0.78–0.80) com variância quase nula entre modelos, indicando que a estrutura da evolução da entropia é um sinal transferível, independentemente da escala absoluta da entropia.

4.2 Concentração de Sinal em Camadas Intermediárias

O sinal discriminativo não é uniforme através da profundidade.

• Pico Intermediário: Características como monotonicidade e $\tau$ de Kendall atingiram o pico em camadas intermediárias (ex: Camada 22 de 32 para Llama, Camção 25 de 36 para Qwen).
• Degradação na Camada Final: O desempenho caiu drasticamente na camada final. Para o Gemma, o $\tau$ de Kendall caiu de 0.796 na camada intermediária para 0.458 na camada final. Isso sugere que a camada final ativamente suprime ou reorganiza a estrutura adversária presente em representações anteriores.
• Contraste com Características Estáticas: As características estáticas (como a entropia média) mostraram a tendência oposta, muitas vezes performando melhor na camada final, confirmando que capturam propriedades computacionais diferentes das tendências dinâmicas.

4.3 Generalização e Controles Adversariais

• Consistência Entre Modelos: As características baseadas em postos generalizaram-se bem entre Llama, Qwen e Gemma, apesar das diferenças em pipelines de treinamento e contagens de camadas.
• Controle Adversarial (Benigno do JailbreakBench): Quando o conjunto benigno consistiu de prompts "benignos do JailbreakBench" (projetados intencionalmente para imitar a estrutura de requisições nocivas sem ter intenção nociva), o AUROC colapsou (caindo para ~0.35). Isso indica que o sinal detecta a composição estrutural do prompt em vez da nocividade semântica. Quando os inputs benignos assemelham-se estruturalmente aos de jailbreak, as dinâmicas internas tornam-se indistinguíveis.

5. Significância e Alegações

O artigo afirma que o comportamento de jailbreak em LLMs alinhados reflete-se em dinâmicas de incerteza estruturadas em camadas intermediárias. Especificamente:

• Interpretabilidade: As descobertas esclarecem onde (camadas intermediárias) e como (tendências de entropia monotônicas) a intenção nociva é codificada, oferecendo uma lente diagnóstica para o interior dos modelos.
• Consistência Arquitetural: O sinal é uma propriedade emergente de representações de meio de rede que persiste através de diferentes famílias de modelos (Llama, Qwen, Gemma) sem treinamento adicional.
• Limitações e Escopo: Os autores enquadram modestamente isto como uma caracterização diagnóstica e não como um detector pronto para implantação final. Eles reconhecem que o método requer acesso white-box às ativações intermediárias e que sua eficácia depende da distribuição dos prompts benignos. Se os prompts benignos imitarem estruturalmente os de jailbreak, o sinal degrada-se. Além disso, o método depende de projeções de logit lens, que podem introduzir distorções devido ao desalinhamento de representação.

Em conclusão, o estudo estabelece que o monitoramento da evolução da entropia preditiva ao nível do token em camadas intermediárias fornece um sinal robusto e livre de treinamento para identificar os padrões estruturais associados a tentativas de jailbreak, distintos dos níveis de incerteza estática usados na detecção tradicional baseada em perplexidade.