Ölçümden önce yapılan müdahale

Bir güvenlik sınaması, model sınandığını fark edip davranışını değiştiriyorsa gerçekte neyi ölçer? Francisco Pernice ve Santiago Aranguri’nin yeni çalışması, bu sorunu doğrudan modelin üzerinde bir müdahaleyle ele alıyor. Adversarial Blinding, Qwen 3.6 27B’nin değerlendirme istemlerini gerçek kullanım istemlerinden ayırmasını zorlaştıran ek bir eğitim. Yazarlar, ölçülen farkındalığın etkinleşme yönlendirmesine göre daha fazla azaldığını bildiriyor. Böyle bir sonuç, sınama araştırmacısına yararlı bir araç verebilir. Fakat değerlendirmeye giren sistem artık başlangıçtaki modelle aynı değil. Sonraki güvenlik puanının hangi sisteme ait olduğunu açık tutmak gerekiyor.[1]

Eğitimin iki tarafı var. Bir sınıflandırıcı, modelin iç etkinleşmelerinden girdinin sınama mı gerçek kullanım mı olduğunu tahmin ediyor. Model ise bu tahmini zorlaştıracak biçimde ayarlanıyor. Özgün yanıt dağılımından uzaklaşmayı sınırlayan bir KL cezası da uygulanıyor. Veri 34 kamuya açık sınamadan ve iki gerçek kullanım kaynağından gelen 6.800 istem içeriyor. Buradaki denge önemli: modelin bir ayrımı kaybetmesi istenirken diğer davranışlarını koruması bekleniyor. KL yakınlığı bu ikinci hedef için bir denetim sağlıyor; bütün yeteneklerin ve güvenlikle ilgili davranışların değişmediğini tek başına garanti etmiyor.[1]

Azalan farkındalığın iki açıklaması

Araştırmanın güçlü yanı, başarıyı yalnızca eğitimdeki sınıflandırıcının başarısızlığıyla ilan etmemesi. Erken deneylerde doğrusal bir sonda kolayca yanıltılmış; davranış ölçümleri yerinden oynamamış. Son düzen, eğitim hedefinin dışında kalan etkinleşme sondaları, takip soruları ve çıktı olasılıklarını birlikte kullanıyor. Bu ayrıntı, yalnızca zayıf bir dedektörü kandırma açıklamasını daraltıyor. Yine de iki olasılığı ayırmak gerekiyor: müdahale istenen ayrımı gerçekten azaltmış olabilir; modeldeki daha genel değişimler de ölçülen farkın bir kısmını açıklayabilir. Yazarların yetenek ölçümlerinde gördüğü küçük düşüş, ikinci olasılığı bütünüyle dışarıda bırakmamayı gerektiriyor.[1]

Bir başka ayrım, genel sınama hissiyle belirli bir veri kümesini hatırlama arasında. Yazarlar, yöntemin modelin istemin hangi kamuya açık sınamadan geldiğini söyleme yeteneğini belirgin biçimde azaltmadığını bildiriyor. Buna karşılık daha gerçekçi yazılmış HarmBench istemlerinde farkındalık farkı küçülüyor. Bu iki sonuç birlikte anlamlı: değerlendirmeyi tanıma tek bir düğmeyle açılıp kapanan özellik olmayabilir. İstemin üslubundan ortamı sezmek ile daha önce görülen bir sorunun kaynağını hatırlamak farklı yollar sunuyor. Birinin zayıflaması, diğer yolun da kapandığı sonucuna izin vermiyor.[1]

Karşılaştırmanın bir sonraki adımı

Genelleme sınırı da sonucun yerini belirliyor. Ölçümdeki istemler, sınıflandırıcının eğitiminde kullanılan sınamalardan geliyor. Yöntem, kullanıcı kimliğiyle ilişkili güven farkını azaltmış olsa da bu bulgu daha önce görülmemiş sınamalardaki başarıyla aynı şey değil. Güvenlik araştırmacısının hedeflediği topluluk, yarın karşılaşacağı yeni görevler ve gerçek kullanımlar. Eldeki deney ise daha dar bir ortamı kapsıyor. Bu dar kapsam sonucu değersizleştirmiyor; hangi genelleme adımının henüz kurulmadığını gösteriyor. Aynı sınama ailesindeki farkındalığın azalması, bilinmeyen bütün değerlendirme koşullarına aktarılmış bir özellik olarak okunamaz.[1]

Bence bu yaklaşımın yararlı bir devamı, müdahale öncesi ve sonrası modelleri aynı bağımsız görevlerde yan yana tutmak olabilir. Yeni sınama aileleri eğitimden tamamen ayrılır; farkındalıkla birlikte görev başarısı ve güvenlikle ilgili davranışlar ölçülür. Böylece daha temiz görünen sonucun, hangi davranışların korunması pahasına elde edildiği görülebilir. Başlangıç modelinin puanı da karşılaştırmadan çıkarılmaz. Adversarial Blinding’in bugünkü katkısı, sınama ortamını tanıma sorununun üzerinde çalışılabilir olduğunu göstermesi. Onu güçlü bir değerlendirme aracına dönüştürecek ayrım, farkındalık azalırken güvenlik sorusunun öznesinin ne kadar değiştiğini ölçmek.[1]