悪意を持つユーザーにより大規模言語モデル(LargeLanguageModel:LLM)がJailbreak手法により攻撃され，虚偽情報の生成に悪用されることでフェイクニュースの拡散につながる懸念が高まっている．LLMの安全性を高めるには様々な攻撃に対する頑健性の評価が不可欠だが，フェイクニュースにおいてJailbreak手法の脅威に関するデータセットや評価指標は確立されていない．本稿では，フェイクニュース生成のJailbreakに関するベンチマークを構築し，LLMの頑健性や出力されたフェイクニュースの評価を実施した．その結果から，Jailbreak攻撃の成功確率とフェイクニュースの評価指標では攻撃手法ごとに異なる傾向が見られ，Jailbreak手法の評価においてLLMが出力した内容まで精査する必要があることが明らかになった．

フェイクニュースは人々を欺く目的で意図的に広められる虚偽情報[1,2]であり，SNSなどを通じて拡散され，世論操作や社会的不和を引き起こす危険性がある．例えば，日本では2020年に新型コロナウイルスの影響により輸出制限に関する虚偽情報が拡散されたことで，トイレットペーパーが多くの店で完売となった1）．2024年7月にイギリスで発生した事件では，犯人に関する誤情報が拡散され，結果的に各地でデモや暴動が発生した2）．大規模言語モデル(LargeLanguageModels:LLM)には，見破ることが容易ではない虚偽情報を自動的かつ大量に生成する潜在能力があり[2]，フェイクニュースの蔓延が深刻化する恐れがある．そのため，人間のフィードバックに基づく強化学習（RLHF）などにより，1）https://www.asahi.com/articles/ASN2X6CXLN2XULFA03L.html2）https://www.yomiuri.co.jp/world/20240806-OYT1T50200/LLMが虚偽情報を生成しないように安全対策が施されている[3]．フェイクニュースに限らず，安全対策は広く非倫理的な発言の回避のために導入されている．ところが，悪意あるユーザは対策を掻い潜るためにJailbreak（ジェイルブレイク，脱獄）手法による攻撃を行い，LLMから禁止された発言を引き出す．Jailbreak手法には攻撃者が意味のない文字列を加えることでLLMを混乱させる方法[4]や，入力内容を言い換えることで攻撃の意図を隠しつつLLMの回答拒否を防ぐ方法[5,6,7]など，様々な方法が報告されている．これらの脅威に対応し，安全なLLMを実現するには，Jailbreakに対してLLMがどれくらい頑健であるかを把握することが重要である．しかし，現状ではフェイクニュース生成の脅威に関するJailbreakのデータセットや評価指標は確立されていない．本研究では，フェイクニュース生成におけるJailbreakの脅威に関してLLMの頑健性を包括的に評価できるベンチマークを提案する．我々のベンチマークでは，最先端の2つのJailbreak手法[4,5]を用いて，LLMのフェイクニュースの生成しやすさ，生成されてしまったフェイクニュースの質の2点について評価を行う．フェイクニュースに限らず，これまでのJailbreak手法の評価では，LLMによって生成された非倫理的な発言の特徴や違いに踏み込んだ評価が行われていない．そのため，我々のベンチマークはJailbreak手法ごとの出力の特徴の違いを定量的に明らかにする初めての試みという点でも有益である．GPT-4[8]などのクローズドなLLMやMistral3）などのオープンなLLMに対して実験を行った結果，実際の記事の評価との比較により，Jailbreakの攻撃が成功する確率の高さとフェイクニュースの検出性能や他の評価指標に関して異な3）https://huggingface.co/mistralai/Mistral-7B-Instruct-v0.1.る傾向が見られ，既存の評価手法だけではなく，出力の内容まで詳細に評価を実施する必要があることが明らかになった．