Edição de pesos sem fine-tuning reduziu respostas sexistas de 57,9% para 24,3%

Uma equipe de autores de um artigo do Hugging Face Daily Papers propôs uma forma de reduzir a tendência de modelos de linguagem a obedecer comandos nocivos, sem recorrer a fine-tuning. O método edita os pesos diretamente. Em dois testes com ordens para mentir, a taxa média de respostas honestas ficou 6,2 e 4,6 pontos percentuais acima da melhor alternativa. Na tarefa com instruções para ser sexista, a taxa média de respostas sexistas caiu de 57,9% para 24,3%. Combinado com um prompt de justiça, o índice caiu para 11,9%.

Como funciona a edição

A ideia se baseia em contraste. Para cada comportamento-alvo, seja mentir por ordem ou dar respostas sexistas, usa-se um conjunto pequeno de pares de prompts. O modelo é executado em passagem direta, sem gradientes e sem ciclo de treinamento, e a edição dos pesos é construída a partir da diferença de comportamento nos pares. Os detalhes exatos da construção não são revelados no resumo do artigo, mas o princípio é claro: basta um forward pass, e não um fine-tuning completo.

A principal vantagem prática está em onde a correção fica armazenada. As proteções típicas atuam no nível do prompt: mensagem de sistema com regras, aviso, filtro. O usuário ou um atacante pode reescrever ou apagar essa instrução. Aqui, a mudança está embutida nos próprios pesos, e manipular o texto da requisição não a desfaz.

O que os testes mostraram

Os autores avaliaram o método em dois comportamentos nocivos e cinco modelos instruction-tuned. O primeiro comportamento é a «instructed falsehood», em que o modelo recebe a ordem explícita de mentir. O segundo é o «instructed sexism», em que se exige uma resposta sexista. Resultados apresentados pelos autores:

• Dois benchmarks com ordens para mentir: a taxa média de respostas honestas é 6,2 e 4,6 p.p. maior que a da melhor alternativa.
• Significância: a melhora é estatisticamente significativa em três dos cinco modelos; nos outros dois, está dentro da margem de ruído.
• Sete formatos de prompt: a edição mantém a taxa de respostas honestas acima da obtida com activation steering em uma única camada. A condição é rigorosa: as ordens para mentir chegam em formatos de turno único, que não foram usados na construção da edição.
• Sexismo: a taxa média de respostas sexistas caiu de 57,9% para 24,3%.
• Combinação com o prompt de justiça: 11,9%.

Os números exigem leitura cuidadosa. O ganho de 4,6–6,2 p.p. é modesto e, em dois dos cinco modelos, não se distingue do ruído. O efeito é mais visível no sexismo: a redução é de mais da metade. Ainda assim, os 24,3% de respostas sexistas restantes significam que uma em cada quatro respostas continua passando. Como barreira isolada, o método é insuficiente, e os autores não afirmam o contrário.

Onde isso pode ser útil

A principal conclusão do resultado combinado é que a edição de pesos e as proteções por prompt se somam, em vez de uma substituir a outra. Só a combinação dos dois leva a taxa de respostas sexistas de 57,9% a 11,9%. Para equipes que implantam modelos abertos, é uma camada extra de baixo custo. Não é preciso anotar grandes datasets nem gastar horas de GPU em fine-tuning: basta um conjunto pequeno de pares de prompts para o comportamento indesejado específico.

As limitações também são evidentes. O método foi testado em dois comportamentos e cinco modelos. O trabalho não demonstra a transferência para outros tipos de instruções nocivas, como ciberataques ou geração de instruções perigosas. A robustez em diálogos de vários turnos e contra ataques adaptativos, nos quais o adversário conhece a edição, também continua sendo uma questão em aberto: a comparação com activation steering se limita a formatos de turno único. Antes de adotar a edição, convém testá-la com dados próprios, verificar efeitos colaterais em tarefas comuns e manter as proteções por prompt ativadas.