Resumo Técnico: O Sharding Previne Falhas de Supervisão e Exploração Adversária em LLMs

Declaração do Problema

À medida que os Grandes Modelos de Linguagem (LLMs) geram trabalho em escalas que excedem a capacidade de verificação humana, a supervisão é cada vez mais delegada a outros modelos ("LLM-como-juiz"). Um modo de falha crítico surge quando um único modelo de supervisão é incumbido de avaliar um grande número de critérios ou decisões independentes em uma única chamada. Os autores postulam que simplesmente aumentar o orçamento computacional (tokens ou chamadas de ferramenta) para um julgamento holístico único não resolve o problema da "carga de decisão". Quando um modelo deve renderizar muitos veredictos simultaneamente, sua atenção é diluída, levando a decisões fracamente fundamentadas em evidências. Essa sobrecarga cria um viés direcional onde o modelo recorre a pistas superficiais, tornando-o suscetível à exploração adversária, onde um produtor pode manipular a apresentação do trabalho para induzir a aceitação de critérios não atendidos.

Metodologia

O artigo introduz o Sharding (fragmentação) como uma intervenção estrutural para mitigar falhas de carga de decisão. O sharding particiona um conjunto de $K$ decisões em $S$ grupos disjuntos, atribuindo cada grupo a uma chamada de modelo separada. Crucialmente, o design experimental mantém o orçamento computacional total, a arquitetura do modelo e a evidência constantes entre diferentes "braços" para isolar o efeito da carga de decisão ($n$, o número de decisões por chamada).

O estudo compara quatro configurações principais:

1. Solo (Holístico): Uma chamada renderiza todas as $K$ decisões com um orçamento base $B$.
2. Full-Budget Solo: Uma chamada renderiza todas as $K$ decisões com um orçamento escalonado ($S \times B$) para igualar o total de computação de um painel fragmentado (sharded).
3. Opinões Agrupadas (Pooled Opinions): $S$ chamadas renderizam cada uma todas as $K$ decisões com orçamento $B$ (duplicando o trabalho em vez de dividi-lo).
4. Fragmentado (Sharded): As $K$ decisões são particionadas em $S$ grupos; cada grupo é julgado por uma chamada com orçamento $B$.

Os autores avaliam essas configurações através de três conjuntos de dados rotulados por especialistas:

• PaperBench: Submissões de replicação de pesquisa com notas de especialistas, contendo centenas de critérios folha.
• JudgmentBench: Avaliação de produtos jurídicos por advogados especialistas contra rubricas profissionais, com contratos completos como contexto.
• ROBoto2: Avaliações de risco de viés da Cochrane de ensaios clínicos realizadas por especialistas.

Adicionalmente, o estudo emprega um Ataque de Apresentação Best-of-$N$, onde um adversário gera $N$ variações de um relatório ou descrição de código (mantendo a verdade fundamental fixa) e seleciona a versão que maximiza a aceitação pelo juiz de critérios não atendidos. Os autores também testam Ataques Adaptativos, onde o adversário reescreve iterativamente a apresentação para visar critérios rejeitados pela defesa em rodadas anteriores.

Principais Contribuições e Resultados

1. A Carga de Decisão Degrada a Precisão; o Sharding a Recupera

Os autores demonstram que aumentar o orçamento para um único juiz holístico não recupera a precisão perdida devido a altas cargas de decisão.

• PaperBench: Em uma carga de 116 critérios, um juiz fragmentado (Claude Opus 4.8) alcançou um kappa de Cohen de 0,789, comparado a 0,604 para um juiz único e 0,598 para um juiz único com o orçamento total do painel. O juiz único de orçamento total não apresentou melhoria, indicando que o gargalo é a atenção, não a computação.
• JudgmentBench: A concordância com advogados especialistas caiu de 0,672 para 4 critérios para 0,538 para 20 critérios para um juiz único. O sharding (tamanho de grupo 4) restaurou a concordância para 0,655, superando tanto o juiz único quanto o juiz único de orçamento total.
• Substituição de Capacidade: Um juiz mais fraco fragmentado (Sonnet 4.6) superou um juiz holístico mais forte (Opus 4.6) e igualou-o quando o juiz mais forte recebeu o orçamento total.
• Escopo: O benefício do sharding é contingente ao fato de a carga de decisão exceder a capacidade do modelo. Em conjuntos de dados onde as decisões são independentes e facilmente verificáveis (ex: SWE-Bench Pro, FActScore), o sharding não proporcionou benefício ou teve efeitos levemente negativos.

2. Juízes Sobrecarregados São Adversariamente Exploráveis

O estudo identifica que a sobrecarga leva a "veredictos não sustentados", onde o modelo decide com base em pistas superficiais em vez de evidências.

• Descobertas de Auditoria: Sob alta carga, os juízes sinalizam excessivamente critérios atendidos (falsos positivos) e relatam deixar uma fração significativa de decisões sem verificação.
• Sucesso do Ataque: Um ataque de apresentação Best-of-$N$ explorou com sucesso essa lacuna. No PaperBench, o ataque dobrou a taxa de sobre-aceitação de critérios não atendidos por especialistas (ex: de 0,152 para 0,408). Na verificação de código, a fração de patches defeituosos aprovados subiu de 0,12 para 0,44.
• Mecanismo: O ataque funciona fornecendo uma apresentação favorável que inverte as decisões "não verificadas" em direção à aceitação.

3. O Sharding Defende Contra Ataques Baseados em Carga

O sharding atua como uma defesa ao garantir que cada critério receba escrutínio sustentado, removendo a "fração não sustentada" que o adversário visa.

• Eficácia: O sharding reduziu significativamente a taxa de sobre-aceitação em todas as submissões testadas. No PaperBench, a redução média na sobre-aceitação foi de 0,090, com uma redução máxima de 0,261.
• Dependência de Contexto: A defesa é mais forte quando as decisões exigem uma compreensão integrada de um artefato grande (ex: contratos legais, artigos de pesquisa). É menor ou nula quando as decisões podem ser avaliadas localmente (ex: patches de código independentes) ou são independentes.

4. Ataques Adaptativos Requerem Oposição

Embora o sharding defenda contra ataques que exploram a omissão de exame, ele é insuficiente contra ataques que persuadem o juiz em cada critério individualmente.

• Limitação do Sharding: Se um adversário fornece um argumento plausível para cada critério, o shering sozinho não pode impedir a aceitação de critérios não atendidos.
• Debate/Oposição: Os autores descobriram que adicionar um advogado opositor (um desafiante cético que argumenta contra os critérios) sobre o sharding é necessário para resistir a ataques de persuasão adaptativa.
• Resultados: Em ataques adaptativos no JudgmentBench, uma defesa apenas de sharding permitiu que o atacante aceitasse 0,55 dos critérios não atendidos ao longo de cinco rodadas. Adicionar a oposição limitou essa superfície cumulativa para 0,39.

5. A Estrutura Dentro do Shard é de Segunda Ordem

Os autores testaram sistematicamente várias estruturas de comunicação dentro dos shards (reconciliação, contra-exame, decomposição, consenso).

• Descoberta: O ganho principal vem da divisão do trabalho em si (sharding). Estruturas adicionais como consenso (oposição + reconciliação) proporcionam apenas melhorias marginais em cenários não adversários e podem aumentar os custos.
• Recomendação: Para precisão não adversária, o sharding simples em grupos de "tamanho de capacidade" é o ideal. Para ataques adaptativos, a oposição unilateral ($S+O$) é a defesa mais robusta, enquanto a reconciliação pode às vezes degradar a robustez ao suavizar discordâncias críticas.

Significância e Alegações

O artigo afirma identificar uma limitação fundamental na supervisão escalável: a carga de decisão é um gargalo distinto da computação total. Os autores argumentam que as avaliações de supervisão devem reportar a carga de decisão juntamente com os orçamentos de tokens ou ferramentas.

• Interpretação de Capacidade: Os autores propõem uma conta de capacidade onde a atenção por decisão fatora em um termo de orçamento e um termo de carga. O sharding funciona reduzindo o termo de carga ($n$) enquanto mantém o termo de orçamento constante, permitindo que o modelo examine cada decisão atribuída em vez de decidir algumas a partir de pistas superficiais.
• Implicações de Segurança: O sharding fecha a superfície de ataque criada por "pontos cegos" em juízes sobrecarregados. No entanto, não é uma defesa universal; deve ser pareado com mecanismos de oposição quando o modelo de ameaça envolve a persuasão adaptativa de critérios individuais.
• Regra Prática: O tamanho ideal do grupo depende da capacidade do juiz e da dificuldade da decisão. Um agrupamento de "tamanho de capacidade" (ex: 32 critérios por chamada para certos modelos) é muito mais eficiente e preciso do que um critério por chamada ou uma única chamada holística.

Os autores concluem que o sharding permite que um juiz mais fraco supere um juiz holístico mais forte e fornece um método escalável e robusto para supervisão em domínios de alto risco onde o trabalho deve ser verificado contra rubricas complexas.