Resumo Técnico: Robustez Certificada Multiturn para Segurança de LLMs via Limites Composicionais e Persistência de Segurança

1. Formulação do Problema

Modelos de Linguagem de Grande Escala (LLMs) implantados em aplicações conversacionais são cada vez mais vulneráveis a ataques de jailbreak de múltiplos turnos (multi-turn). Diferente dos ataques de turno único, essas ameaças (ex: Crescendo, X-Teaming) manipulam progressivamente o contexto da conversa ao longo de múltiplas interações, frequentemente alcançando taxas de sucesso quase perfeitas contra defesas de última geração.

Métodos existentes de robustez certificada (ex: suavização aleatória, erase-and-check) são limitados a configurações de entrada única. Uma extensão direta desses métodos para cenários de múltiplos turnos envolve multiplicar as probabilidades de segurança de turno único. No entanto, essa abordagem gera limites que degradam exponencialmente com o número de turnos ($k$). Se a pior probabilidade de segurança por turno for $p < 1$, o limite de $k$ turnos torna-se $p^k$, o que se torna insignificante para um $k$ moderado (ex: caindo de 0,95 para 0,08 em 50 turnos). Essa degradação exponencial falha em fornecer garantias práticas para aplicações de segurança crítica.

O artigo modela conversas de múltiplos turnos como Processos de Decisão de Markov Adversários de Estado (SA-MDPs). Neste framework:

• Estado ($s_t$): O histórico do diálogo é mapeado para um espaço de embedding via uma função $\phi$.
• Adversário: Seleciona mensagens do usuário $u_t$ de uma bola de perturbação $\epsilon$ ao redor de uma entrada de referência.
• Transição: O sistema evolui via $s_t = T(s_{t-1}, u_t, r_t)$, onde $r_t$ é a resposta do LLM.
• Segurança: Definida por um predicado que particiona o espaço de estados em regiões seguras ($S^+$) e inseguras ($S^-$).

O objetivo é definir e computar a Robustez Certificada de $k$ turnos ($\rho_k$), representando a pior probabilidade de manter a segurança ao longo de $k$ turnos contra qualquer adversário adaptativo.

2. Metodologia: Robustez Certificada Multiturn (MTCR)

Os autores propõem o MTCR, um framework que evita a degradação exponencial ao explorar propriedades estruturais do espaço de estado conversacional. O framework consiste em quatro componentes integrados:

2.1 Certificação Composicional via Decomposição de Modos

Em vez de tratar a conversa como uma sequência de turnos independentes, o MTCR decompõe o espaço de estado seguro $S^+$ em um conjunto de modos $\mathcal{M} = \{m_1, \dots, m_M\}$ (clusters no espaço de embedding).

• Segurança Intra-modo: Certifica a probabilidade de permanecer seguro dentro de um modo específico.
• Transições Inter-modos: Certifica a probabilidade de transitar seguramente entre modos.
• Estreiteza do Limite (Tightness): Ao separar a estabilidade intra-modo dos custos de transição, o limite composicional é significativamente mais estreito do que o limite multiplicativo direto ($p^k$). O limite é computado como um produto de probabilidades intra-modo e de transição, escalonado por um fator de sobreposição $\kappa$.
• Computação: A pior trajetória sobre o grafo de transição de modos é computada eficientemente usando programação dinâmica em tempo $O(M^2k)$.

2.2 Persistência de Segurança $(\alpha, \beta)$

O framework introduz a Persistência de Segurança, uma propriedade estrutural que caracteriza como as margens de segurança evoluem.

• Definição: Um sistema exibe $(\alpha, \beta)$-persistência de segurança se, com probabilidade pelo menos $\beta$, a margem de segurança $\Delta(s)$ retém pelo menos uma fração $(1-\alpha)$ de seu valor anterior após um turno adversário.
• Impacto: Sob esta propriedade, o limite de robustez degrada como $\beta^k$ em vez de $p^k$. Se $\beta > p$, o limite é estritamente melhorado.
• Estimativa de Horizonte: Isso permite estimativas interpretáveis do comprimento máximo de conversa ($k_{max}$) necessário para manter um nível de segurança alvo, derivado via uma caracterização linear ($1 - k(1-\beta)$).

2.3 Resultados de Estreiteza e Impossibilidade

O artigo estabelece limites teóricos para a certificação:

• Estreiteza (Tightness): Para decomposições de modo não sobrepostas ($\kappa=1$), o limite inferior composicional coincide com um limite superior informacional, provando que a abordagem é estreita para tais sistemas.
• Impossibilidade: Sem suposições estruturais (como decomposição de modo ou persistência), a degradação exponencial ($p^k$) é inevitável. Os autores provam que para sistemas sem memória que carecem dessas estruturas, o limite direto é estreito.

2.4 Algoritmo Unificado

Um algoritmo unificado (Algoritmo 1) combina limites composicionais e parâmetros de persistência. Ele computa a garantia certificada final como o máximo do limite de apenas persistência e do limite combinado de composição-persistência, aproveitando tanto a estabilidade estrutural quanto a evolução da margem.

3. Resultados Experimentais

Os autores avaliaram o MTCR em seis LLMs de produção (incluindo LLaMA-2, Vicuna, Llama-3.2, Qwen2.5, GPT-4o e Claude-3.5-Sonnet) sob dois tipos de ataque: perturbações estáticas com limite $\epsilon$ e ataques adaptativos do tipo Crescendo.

• Validade do Limite: A segurança empírica excedeu consistentemente os limites certificados do MTCR em todos os modelos e horizontes ($k \in \{5, 10, 15, 20\}$). A lacuna entre a segurança empírica e o limite certificado variou de +0,19 a +0,30, confirmando que os limites não são violados na prática.
• Melhoria sobre Limites Diretos: O MTCR forneceu limites certificados 1,2–1,6 vezes mais estreitos que o limite multiplicativo direto ($p^k$) em $k=5$.
• Alinhamento de Modelo: Os limites certificados correlacionaram-se com a força do alinhamento do modelo. Modelos de código fechado (GPT-4o, Claude-3.5) alcançaram limites mais altos e taxas de degradação mais lentas em comparação aos modelos de código aberto, sugerindo uma persistência de segurança subjacente mais forte.
• Estudos de Ablação: A fórmula combinada (Teorema 3.11) superou consistentemente as variantes "Apenas Persistência" e "Apenas Composição", demonstrando o valor de explorar conjuntamente a estrutura de modo e a persistência.
• Sensibilidade: O framework mostrou a sensibilidade esperada a orçamentos de perturbação ($\epsilon$) e granularidade de modo ($M$), com modos mais finos aumentando a sobreposição e potencialmente degradando os limites.

4. Significância e Alegações

O artigo afirma introduzir o primeiro framework teórico para segurança certificada em conversas de múltiplos turnos de LLM. Suas principais contribuições são:

1. Quebra da Degradação Exponencial: Ao passar da multiplicação direta para limites composicionais e persistência de segurança, o MTCR fornece garantias não vacuas para interações de múltiplos turnos onde métodos anteriores falharam.
2. Garantias Formais: Oferece garantias probabilísticas formais de pior caso contra adversários com limite $\epsilon$, validadas empiricamente contra ataques semânticos mais fortes (Crescendo).
3. Utilidade Diagnóstica: O framework serve como uma ferramenta de auditoria pré-implantação, identificando "gargalos de segurança" específicos (modos com baixa segurança intra-modo ou transições arriscadas) para guiar o ajuste fino de segurança direcionado.
4. Fundamentação Teórica: Estabelece a necessidade de suposições estruturais (modos, persistência) para alcançar limites de robustez sub-exponenciais, provando que, sem elas, a degradação exponencial é inevitável.

Os autores mantêm uma postura modesta, reconhecendo que a certificação formal é atualmente limitada a perturbações com limite $\epsilon$ (nível de caractere) e depende de descoberta de modos heurística. Eles observam que, embora a segurança empírica se generalize para ataques semânticos como o Crescendo, garantias formais além da bola $\epsilon$ permanecem um desafio aberto. O framework é projetado para auditoria offline, e não para inferência em tempo real, devido ao custo computacional da suavização aleatória.