MechAudit detecta ataques a LLMs analisando so as ativacoes internas, sem precisar saber qual ataque procurar
O MechAudit-40 avalia sistematicamente 40 mecanismos de ataque a LLMs (otimizacao de prompt, manipulacao de contexto multi-turno, envenenamento de recuperacao e backdoors) em cinco arquiteturas de peso aberto, usando 100 mil pares de representacao limpa/atacada para mostrar que ataques heterogeneos deixam assinaturas geometricas transferiveis nas ativacoes internas do modelo. A partir disso, os autores constroem o MechAudit, um auditor de runtime que detecta 81,1% das execucoes de ataque nunca vistas com apenas 0,70% de falsos positivos, sem depender de referencias limpas ou metadados do ataque -- e mantem mais de 50% de recall mesmo quando uma categoria inteira de ataque e retirada do treinamento.
Defesas white-box para LLMs costumam ser avaliadas contra familias isoladas de ataque -- um detector ajustado para jailbreaks por otimizacao de prompt, por exemplo, raramente e testado contra envenenamento de recuperacao ou backdoors de modelo. O MechAudit-40 pergunta algo mais amplo: sera que ataques completamente diferentes entre si deixam, nas representacoes internas do modelo, deslocamentos que compartilham uma estrutura comum o suficiente para generalizar para mecanismos de ataque nunca vistos?
Para responder, os autores montaram um banco de 100 mil pares de representacao limpa versus atacada, cobrindo 40 mecanismos de ataque distintos em cinco arquiteturas de modelo de peso aberto, com categorias pre-definidas e divisao de dados por grupo para isolar deslocamento genuino causado pelo ataque de vieses de escala do modelo ou vazamento entre conjuntos de treino e teste. O achado central e que ataques induzem trajetorias estruturadas ao longo de multiplas camadas (nao um pico isolado numa unica camada), e que embora os picos brutos de ativacao nao sejam portáveis entre arquiteturas diferentes, perfis calibrados por modelo-alvo preservam assinaturas geometricas transferiveis -- o suficiente para que, mesmo excluindo totalmente um mecanismo de ataque do treinamento, o sistema ainda recupere a categoria de ameaca correta em 82,5% dos casos so olhando para o estado oculto do modelo.
Com base nesse achado, os autores constroem o auditor MechAudit, projetado para operar em condicoes bem mais dificeis que um classificador tradicional: sem trace de referencia limpa disponivel em tempo real, sem metadados sobre qual ataque esperar (zero-oracle). Mesmo assim, ele detecta 81,1% das execucoes de ataque retidas do treinamento com apenas 0,70% de taxa de falso positivo, e mantem 78,1% de recall mesmo quando uma categoria funcional inteira de ataque e removida do treinamento -- em comparacoes diretas, e o unico detector testado que nao sofre colapso de cobertura em algum dos 40 mecanismos, mantendo recall acima de 50% em todos eles.
A implicacao pratica e que auditoria baseada em representacao interna pode servir como camada de deteccao generica de exposicao a ataques, complementar (nao substituta) a defesas especificas por tipo de ataque -- especialmente valiosa justamente contra mecanismos de ataque novos, ainda nao catalogados, que e o cenario onde defesas assinatura-especificas falham por definicao. Os proprios autores fazem a ressalva importante de que essa auditoria mede exposicao (ativacao anomala) e nao comprometimento efetivo do resultado da tarefa ou da integridade dos parametros -- ou seja, sinaliza que algo incomum aconteceu, nao necessariamente que o ataque teve sucesso pratico.