応答遷移の兆候を用いたトークン選択型ジェイルブレイク攻撃

るガードレールが導入されている．大規模言語モデル（LargeLanguageModels;LLMs）こうした防御策が導入される一方で，それらには，有害な応答を抑制するためのセーフティアラを意図的に回避する攻撃手法も報告されている．イメントやガードレールが導入されているが，これZhangらは，従来のプロンプトエンジニアリングらを回避するジェイルブレイク攻撃も数多く報告さに基づく手法とは異なるアプローチとして，LLMれている．ZhangらによるLLMInterrogation（LINT）Interrogation（LINT）[2]を提案した．LINTは，生成は，自己回帰生成におけるトークン選択過程へ直接時にモデル内部で保持される次トークンの候補集合介入することで高い攻撃成功率を示すジェイルブレへのアクセスを前提とする．その上で，top-𝑘候補イク攻撃であるが，top-𝑘の候補トークンそれぞれの一部を差し替えることにより，否定的応答への遷に対する短文生成を伴うため，計算コストが大きい移を回避し，本来は防御策によって抑制されているという課題がある．本研究では，次トークンの出力応答を引き出す．この操作により，平均2～3回程確率分布に完全にアクセス可能なホワイトボックス度のトークン差し替えのみで，200トークンを超え環境を想定し，生成前の段階で，候補トークンが将る有害応答が生成されることが報告されている．来的に有害な応答へとつながりやすいかを評価すLINTの設計では，次トークンの出力確率分布全る探索戦略を検討する．具体的には，肯定応答また体にはアクセスせず，候補集合として与えられるは拒否応答に特徴的な短いトークン列をターゲッtop-𝑘のみを用いて操作を行うことが前提とされてトフレーズとして定義し，その出現確率に基づいている．この制約の下では，有害な応答へとつながり次トークン候補を並び替えることで，短文生成の対得る文脈を同定するために，多数のトークン候補に象を限定する．Llama2-7b-chat-hfを用いた実験によ対して生成を試行し，その挙動を観測する必要があり，提案手法はLINTの基本構造を維持したまま，る．しかし，実際に出力として利用される候補はご攻撃成功率を一定程度保ちつつ，探索過程におけるく一部に限られるため，多くの試行は有害応答の生推論トークン数を削減できることが確認された．成には寄与せず，探索過程における試行数の増大を招く．その結果，LINTにおける探索効率は低下す