Resumo Técnico: Encoders são Suficientes? Uma Comparação Sistemática de Juízes de Segurança Baseados em Encoder e Decoder para Avaliação Adversária de LLMs

Declaração do Problema

À medida que os Grandes Modelos de Linguagem (LLMs) são cada vez mais implantados em aplicações críticas voltadas ao cliente (ex: serviços bancários, de companhias aéreas), a necessidade de guardiões de segurança eficazes, de baixa latência e custo-eficientes tornou-se primordial. Os paradigmas atuais de avaliação de segurança dependem fortemente de juízes de segurança baseados em decoder, incluindo grandes modelos autorregressivos usados como prompts de "LLM-como-juiz" ou classificadores de decoder ajustados (fine-tuned) como o LlamaGuard. Embora eficazes, essas abordagens sofrem com altos custos de inferência, latência significativa e potencial degradação de desempenho sob mudanças de distribuição ou novos padrões de ataque. Além disso, os decoders processam a entrada sequencialmente (da esquerda para a direita), o que pode limitar sua capacidade de capturar a intenção nociva através de um contexto completo em comparação com arquiteturas bidirecionais.

Este artigo investiga se classificadores de encoder ajustados (especificamente da família ModernBERT, como o Ettin) podem servir como uma alternativa confiável e custo-eficiente aos juízes baseados em decoder para identificar saídas nocivas de LLMs em cenários adversários.

Metodologia

Construção e Particionamento de Datasets

O estudo utilizou um corpus de treinamento agregando 14 datasets de origem, compreendendo 9.968 prompts de origem e 563.216 pares (prompt, resposta). As fontes incluíram benchmarks padronizados (HarmBench, SafetyBench), interações do mundo real (ToxicChat, WildJailbreak) e dados sintéticos de domínios específicos (médico, financeiro).

• Prevenção de Vazamento (Leakage): Para evitar o vazamento de dados onde a resposta de um modelo a uma pergunta específica no treinamento pudesse influenciar seu desempenho na mesma pergunta no teste, os autores empregaram uma estratégia de particionamento por grupo de perguntas. Todas as linhas que compartilhavam o mesmo texto de pergunta foram atribuídas ao mesmo partição (treinamento ou teste), independentemente do modelo alvo ou técnica de ataque utilizado.
• Conjunto de Holdout: Um conjunto de holdout fora de distribuição (OOD) rigoroso de 42.899 exemplos foi construído a partir do JailbreakBench e AILuminate, avaliado em quatro modelos de fronteira (Claude Sonnet 4.5, Gemini 3.1 Pro, GPT-5.4, GPT-OSS 120B) e quatro técnicas de ataque.

Painel de Juízes de Segurança e Agregação de Rótulos

Para gerar os rótulos de treinamento, os autores montaram um painel de sete juízes de segurança em três categorias:

1. Classificadores de pesos abertos: LlamaGuard 3 e 4.
2. LLMs proprietários: Claude Judge, SorryBench, JailbreakBench Judge, AILuminate Judge.
3. Pontuador baseado em rubrica: StrongReject.

Uma estratégia de votação por maioria foi usada para agregar rótulos binários (nocivo vs. seguro). Para abordar a baixa concordância entre juízes (Fleiss' $\kappa \approx 0,23$ no dataset completo), aplicou-se uma estratégia de Filtragem de Alta Confiança, retendo apenas linhas unanimemente seguras e linhas de maioria forte para nocividade ($\ge$ 5 de 7 votos). Isso reduziu o dataset para 307 mil linhas, mas aumentou a concordância para $\kappa \approx 0,805$.

Técnicas de Ataque

A avaliação cobriu quatro técnicas de prompting adversário:

1. Turno único (Single-turn): Prompts adversários diretos.
2. Decomposição (Decomposition): Fragmentação de uma requisição nociva em sub-consultas benignas.
3. Escalação (Escalation): Aumento incremental da sensibilidade da requisição ao longo de uma conversa.
4. Manipulação de Contexto (Context Manipulation): Incorporação de requisições nocivas dentro de enquadramentos benignos (ex: narrativas acadêmicas ou ficcionais).

Modelos Avaliados

• Classificadores de Encoder: Modelos da família ModernBERT (Ettin-150M e Ettin-400M), ajustados nos rótulos agregados dos juízes.
• Baselines: LlamaGuard 3/4, Claude-as-a-judge, StrongReject, SorryBench, JailbreakBench e AILuminate.
• Modelos Alvo: 16 LLMs de seis provedores (OpenAI, Anthropic, Meta, Mistral, Google, Amazon) abrangendo coortes legadas e modernas.

Principais Contribuições

1. Comparação Sistemática: O primeiro benchmark em larga escala comparando classificadores de encoder modernos contra sistemas de LLM-como-juiz e modelos de segurança de decoder ajustados usando rótulos de holdout de verdade fundamental (ground-truth).
2. Análise de Custo-Latência-Desempenho: Uma quantificação em nível de produção das compensações (trade-offs), demonstrando que os encoders oferecem ganhos significativos de eficiência sobre as alternativas baseadas em decoder.
3. Detalhamento de Ataques Granulares: Uma análise do desempenho do classificador através de técnicas de ataque específicas (turno único, decomposição, escalação, manipulação de contexto) para identificar pontos de alinhamento e divergência entre os juízes de encoder e decoder.

Resultados

Desempenho no Holdout OOD

• Vantagens do Encoder: Classificadores de encoder demonstraram calibração mais estável que os juízes de decoder. O LlamaGuard-4 subestimou a nocividade (FNR = 0,658), enquanto juízes como Claude e StrongReject superestimaram (taxas de nocividade >25%).
• Modelos Ettin:
  • Ettin-150M: Alcançou um perfil equilibrado (F1 = 0,547, FNR = 0,422).
  • Ettin-400M: Operou como um detector de alta revocação (Recall = 0,854, FNR = 0,146) com uma taxa de falsos positivos mais alta.
• Impacto do Ruído de Rótulo: Em um subconjunto de alta confiança do holdout (onde os juízes concordaram fortemente), o Ettin-400M alcançou um F1 de 0,894, sugerindo que o ruído de anotação, e não a arquitetura do modelo, é o principal fator limitante para o desempenho do encoder.

Modos de Falha

• Ataques de Multi-turno: Os encoders tiveram maior dificuldade com ataques de decomposição, onde a intenção nociva é distribuída através de etapas intermediárias. Como os encoders tipicamente avaliam o par final (pergunta, resposta) sem acesso explícito ao caminho de raciocínio das etapas intermediárias, eles perderam padrões de dano distribuídos.
• Escalonamento de Modelo: O aumento do tamanho do modelo de 150M para 400M de parâmetros mitigou significativamente este problema, reduzindo a taxa de falsos negativos para ataques de decomposição de 50,6% para 11,6%.

Custo e Latência

• Throughput: Em uma instância Azure ML (8x V100 GPUs), o Ettin-150 alcançou 244,8 conclusões por segundo (CPS) com batch size 8, comparado a 1,31 CPS para o LlamaGuard-4-12B (uma melhoria de 187x).
• Latência: A latência mediana caiu de ~718 ms (LlamaGuard) para 3,6 ms (Ettin-150).
• Eficiência de Custo: O Ettin-150 alcançou 11,1 CPS por dólar por hora, comparado a 0,06 para o LlamaGuard-4-12B. Os encoders também poderiam rodar em instâncias de CPU de baixo custo, reduzindo ainda mais os custos de implantação.

Significância e Alegações

O artigo conclui que classificadores de encoder ajustados podem servir como uma alternativa eficiente em termos de custo e latência à avaliação baseada em LLM, particularmente como um primeiro filtro para classificação de segurança. Embora possam não substituir totalmente os juízes de decoder para jailbreaks complexos de multi-turno que exigem raciocínio profundo sobre o histórico da conversa, eles oferecem uma solução prática para filtragem de segurança de alto volume e tempo real.

Os autores afirmam modestamente que suas descobertas oferecem orientação sobre quando os encoders são suficientes, observando que a baixa concordância entre juízes nos dados de treinamento ($\kappa \approx 0,23$) provavelmente restringiu o verdadeiro teto de desempenho dos classificadores. Sugere-se trabalho futuro testar em datasets curados por humanos para validar ainda mais o desempenho. O estudo não afirma que os encoders são universalmente superiores, mas destaca sua viabilidade para restrições de produção específicas onde latência e custo são críticos.