Un seul suffixe fait céder n'importe quel LLM : des chercheurs identifient un vecteur de refus unique

Des chercheurs ont montré que, malgré la diversité apparente des attaques adversariales contre les modèles de langage, elles exploitent toutes la même faiblesse structurelle : un « vecteur de refus » unique dans l'espace des activations. Un suffixe bien choisi peut débloquer n'importe quel modèle, même si l'attaque ne l'a jamais vu.

Deux attaques, un seul point de vulnérabilité

Les méthodes les plus connues pour contourner les protections des LLM, GCG (Greedy Coordinate Gradient) et AutoDAN, fonctionnent de façon fondamentalement différente. GCG ajoute à une requête nuisible un suffixe de tokens optimisés aléatoirement : cela ressemble à du charabia, mais la chaîne a été choisie par descente de gradient pour pousser le modèle à exécuter la requête. AutoDAN procède autrement : il génère un texte additionnel lisible et grammaticalement correct par recherche évolutive ou via un modèle de langage auxiliaire. Le bruit contre le sens, le chaos de tokens contre la prose cohérente. Pourtant, sous le capot, les deux méthodes font la même chose au même endroit.

• GCG optimise les tokens directement via le gradient de la fonction de perte
• AutoDAN utilise une recherche évolutive ou un LLM auxiliaire pour la génération
• Les deux ajoutent un suffixe à la requête nuisible d'origine
• Les deux se transfèrent aussi bien à des modèles que l'attaque n'a pas vus

Qu'est-ce que la refusal direction ?

Quand un modèle de langage refuse une requête nuisible, ce n'est pas le travail d'un système complexe et ramifié de filtres thématiques. Dans l'espace des activations internes du modèle existe un seul vecteur : la « direction de refus » (refusal direction). Quand les représentations de la requête sont projetées le long de ce vecteur, le modèle refuse. Quand les activations sont poussées dans le sens opposé, le modèle exécute la requête.

Il faut bien comprendre qu'il ne s'agit pas d'une métaphore, mais d'un objet mathématique concret. Les chercheurs le trouvent par la méthode de la différence des moyennes : ils comparent la manière dont le modèle représente une requête « normale » et une requête « nuisible », et la différence entre ces moyennes est la refusal direction.

Des années d'apprentissage par renforcement à partir de retours humains (RLHF) n'ont pas créé de protection en couches. Elles ont concentré toute la « volonté de refuser » sur un seul axe géométrique de l'espace des activations. Que des attaques indépendantes, conçues par des équipes différentes, aient fini par trouver le même objet suffit à montrer que le phénomène est structurel.

« Toute la solidité de la sécurité tient à un seul vecteur.

Ce n'est pas un bug d'une implémentation précise, c'est une propriété structurelle du fonctionnement de l'alignement par RLHF ».

Pourquoi l'universalité des attaques n'est pas un hasard

Si un suffixe écarte les activations de la refusal direction, il fonctionne contre tout modèle à l'entraînement similaire, même si l'attaquant ne l'a jamais vu. Cela explique un phénomène observé de longue date : des suffixes trouvés sur des modèles ouverts (Llama, Mistral) contournent des systèmes commerciaux fermés. Les suffixes issus de GPT-3.5 fonctionnaient contre GPT-4. La cause n'est ni une fuite de poids ni des données identiques, mais le fait que tous les modèles RLHF modernes encodent le refus dans un objet géométrique similaire.

• L'attaquant n'a pas besoin d'un accès direct au modèle cible : n'importe quel proxy à l'entraînement similaire suffit
• Le suffixe peut être du charabia illisible ou un texte cohérent : les deux frappent le même point
• Les attaques publiques sur des modèles ouverts deviennent automatiquement une menace pour les systèmes propriétaires

Ce que cela signifie

Si toute la protection contre les sorties nuisibles dépend d'un seul objet géométrique dans l'espace latent, une question se pose : suffit-il de « colmater » ce vecteur lors du fine-tuning, ou faut-il une architecture d'entraînement radicalement différente ? Certains chercheurs proposent de retirer chirurgicalement cette direction du modèle au moment de l'inférence, mais cela dégrade la qualité globale.

Que des attaques indépendantes de types différents aient convergé vers la refusal direction révèle une particularité structurelle des LLM actuels, et c'est une frontière sur laquelle la sécurité de l'IA n'a pas encore trouvé de réponse.