モデル介入を用いるJailbreakprompt攻撃の初期応答の選択手法

大規模言語モデル（LLM）が日常のアプリケーションに普及するにつれ,その安全性を保証することが求められる[1][2][3].LLMに有害な反応を引き出すために作られたjailbreakpromptsは,これらのシステムの安全性にとって大きな課題である[4][5].このようなプロンプトを発見し,対処することは,LLMの信頼性を維持するために重要である[4][6].Jailbreakpromptsを作成する戦略の一つに,肯定的な初期応答を生成するようにプロンプトを最適化する方法がある.このアプローチは,そのような初期応答が有害な生成を誘導するという仮定に基づいている[7][8].しかし,我々はこの仮定が成り立たないことが多いと考えている.LLMが肯定的な応答で始まっても,その後,有害な生成を強く拒否するケースが多数見られた.我々はより有効なjailbreakpromptの作成手法を目標とする.攻撃の成功率は,有効な初期応答に依存する.しかし,これらの初期応答の効果を測ることは通常,複雑な最適化問題を繰り返し解決するコストを要する作業である.代わりに,我々は有効な初期応答を選択するためにランダムなプロンプトのみを用いる新しい方法を提案する.一般的に,ランダムなプロンプトを使う場合,初期応答の有効性を正しく評価できない.提案法は,モデルの内部状態に介入することで,最適化されたプロンプトで得られた評価結果と近い評価結果を導くことに成功した.我々は,4種類の有害なリクエストに対する実験を行い,提案されたモデルが有効な初期応答を選択できることを示した.提案方法が,最適化されたプロンプトで評価される際の攻撃成功率（ASR）に近い値を得ており,他の手法よりも適切に選択を成功させている.これらの結果は,提案法がLLMの安全性を向上させるための有用なツールであることを強調している.