Fuori il rumore, dentro il bias: iniezione mirata di bias nei modelli linguistici a diffusione tramite lo steering delle attivazioni a circuito chiuso

Abstract degli autori

I modelli linguistici a diffusione con mascheramento (dLLM) generano testo rimuovendo iterativamente il rumore dalle posizioni mascherate e prevedendo più volte ciascun token prima che venga fissato. Un decodificatore autoregressivo rende visibile la distribuzione di probabilità di una risposta una sola volta, nel passaggio in cui la fissa; un dLLM la rende visibile a ogni passaggio di rimozione del rumore prima che venga fissata, e mostriamo che un avversario può sfruttare questa differenza. Poiché una risposta può essere modificata nel corso di molti passaggi, un avversario che ha accesso alle attivazioni interne può osservare quanto sia probabile che il modello produca una risposta scelta e adeguare di conseguenza il proprio intervento. A partire da questa osservazione, studiamo l’iniezione mirata di bias, un attacco che orienta un dLLM i cui parametri sono congelati verso una risposta di carattere demografico scelta dall’avversario. L’attacco usa un semplice controllore proporzionale-integrale (PI), che segue la probabilità della risposta bersaglio durante la rimozione del rumore e adatta in tempo reale l’intensità di un vettore di steering. Nelle domande ambigue di BBQ, per le quali la risposta corretta è astenersi, il nostro attacco porta la preferenza di LLaDA-8B-Instruct per il gruppo preso di mira da 1,8 a 16,7 punti percentuali, più del triplo rispetto al più efficace metodo di riferimento con steering a intensità fissa; su SocialStigmaQA porta invece la selezione di risposte stigmatizzanti dal 17,6% al 58,1%. Adattato ad altri bersagli demografici, lo stesso attacco sposta le risposte fino a 37 punti percentuali, e ogni attacco richiede circa 40 minuti su una sola GPU. Per il bersaglio principale, è il feedback a rendere efficace l’attacco: uno steering costante, con la stessa intensità media nei passaggi in cui vengono fissati i token, produce uno spostamento molto minore, pur compromettendo quasi il triplo degli output; anche impostare un’intensità costante separatamente per ciascun esempio dà risultati nettamente inferiori. I nostri risultati individuano nella sequenza dei passaggi di rimozione del rumore un nuovo canale di controllo nei dLLM e indicano la necessità di verifiche del bias che esaminino lo stack di erogazione, anziché il solo modello con parametri congelati.