応答遷移の兆候を用いたトークン選択型ジェイルブレイク攻撃

る．一方で，近年ではLlamaやQwenに代表される大規模言語モデル（LargeLanguageModels;LLMs）ように，次トークンの出力確率分布全体にアクセスは，その推論能力や表現能力の向上に伴い，自然言可能なモデルも利用されつつあるが，既存手法の多語を介して高度な推論・生成を行う基盤モデルとくはtop-𝑘のみを前提としており，この情報を生成して，幅広く応用されている．一方で，これらのモ前の評価に十分活用していない．そのため，応答生デルは，利用者の意図に関わらず，違法・有害な行成前に，各トークン候補が将来的に誘発しやすい文為を助長し得る情報や，不適切な言説を生成して脈を評価できる可能性が残されている．しまうリスクを内包していることも指摘されてい本研究では，この点を踏まえ，攻撃者の探索過程る．このため，実運用されている多くのLLMでは，を解析する観点から，多数のトークン候補の中からファインチューニングやReinforcementLearningfrom将来的に有害な応答へとつながりやすいものを，実HumanFeedback（RLHF）といった学習段階でのア際に応答生成を行うことなく識別できるかという問org/licenses/by/4.0/).題に着目する．具体的には，あるトークンが選択された場合に，その後の生成過程において，有害な要求に対する肯定的・協力的な応答に特徴的な表現が出現しやすいかどうかを，将来のトークン分布における特定表現の出現確率として評価する．ここで用いる評価は，これらの表現を実際に出力させることを目的とするものではなく，将来の生成挙動に関する潜在的な傾向を推定する指標として用いられる．この評価に基づいてトークン候補を選択することで，有害な応答を引き出しやすい生成経路を優先的に探索できる可能性がある．本研究の主な貢献は以下の二点にまとめられる．(1)次トークンの出力確率分布にアクセス可能なホワイトボックス環境において，候補トークンが将来的に有害な応答へとつながりやすいかを生成前に確率的に評価する探索戦略を提案する．本手法は，LINTの枠組みを踏襲しつつ，不要な生成試行を抑制することで探索効率の向上を図る．(2)実験を通じて，上記の確率的評価が，次トークン候補の選択が有害応答につながる傾向を生成前に捉える指標として有効であることを示す．なお，本研究は，大規模言語モデルの安全機構の特性を分析し，防御手法設計に資する知見を得ることを目的とする．生成された有害応答は評価目的にのみ用いる．