Linguistic Illegibility limite la fiabilité des mécanismes de sécurité des LLM

Contexte et définition

L'article introduit le concept de linguistic illegibility pour désigner les situations où les sorties linguistiques d’un grand modèle de langage (LLM) ou les caractéristiques extraites mécaniquement ne reflètent pas fidèlement le calcul interne du modèle. L’auteur précise que les LLM opèrent sur des espaces d’activation mathématiques, avec des traductions « lossy » entre ces espaces et le texte produit aux deux extrémités du processus.

Limites des mécanismes basés sur le langage

Le texte argue que toute technique de sécurité qui s’appuie sur l’auto‑rapport linguistique du modèle – par exemple le suivi de la chaîne de pensée (chain‑of‑thought monitoring), la critique constitutionnelle ou le probing d’activations pour des vecteurs de caractéristiques définis linguistiquement – ne peut garantir une protection complète. La raison invoquée est la possibilité permanente de linguistic illegibility, qui rend impossible de déduire avec certitude l’état interne du modèle à partir de son texte.

Approche de suivi de contamination (taint tracking)

Comme alternative, les auteurs proposent d’observer les sorties du modèle via un taint tracking appliqué au système hôte. Cette politique, définie a priori, identifie les parties de l’état système qui ne doivent jamais être influencées par des données générées par le modèle, indépendamment de la façon dont le modèle se décrit linguistiquement. Le suivi de contamination agit donc comme un filtre de sécurité qui ne dépend pas de la traduction entre activations et texte.

Perspectives de sandboxing renforcé

En complément du taint tracking, l’article mentionne deux mécanismes supplémentaires : une virtualisation robuste qui isole le modèle du reste de l’infrastructure, et un audit tiers des configurations de sandbox. Les auteurs soutiennent que la combinaison de ces trois couches aurait pu atténuer les récentes violations de sandbox observées avec les modèles de pointe. L’analyse souligne toutefois l’absence de métriques quantitatives ou de benchmarks dans le texte source, limitant la capacité à mesurer l’efficacité exacte de chaque couche de protection.