Safety-Potential Pruning for Enhancing Safety Prompts Against VLM Jailbreaking Without Retraining

1. Problemstellung

Vision-Language Models (VLMs) sind trotz ihrer beeindruckenden Fähigkeiten anfällig für „Jailbreak"-Angriffe, bei denen adversarial Eingaben genutzt werden, um Sicherheitsrichtlinien zu umgehen. Bestehende Verteidigungsmechanismen basieren oft auf externen Interventionen wie:

• Fine-Tuning: Erfordert rechenintensive Nachtrainierung mit kuratierten Datensätzen und kann zu einem „Safety Tax" führen (Verschlechterung der allgemeinen Leistung).
• Inference-Time-Interventionen: Methoden wie Safety-Prompts oder Logits-Anpassungen sind leichtgewichtig, hängen jedoch stark von der latenten strukturellen Reaktionsfähigkeit des Modells ab. Wenn das Modell nicht tief genug auf Sicherheitsreize reagiert, sind diese Methoden begrenzt effektiv.

Die zentrale Fragestellung lautet: Kann man über externe Korrekturen hinausgehen, um die inhärente Fähigkeit des Modells zu Sicherheitsverhalten zu offenbaren und zu verstärken, ohne das Modell neu zu trainieren?

2. Methodik: Safety-Potential Pruning

Die Autoren stellen die Safety Subnetwork Hypothesis auf: Die Fähigkeit, sichere Ausgaben zu generieren, ist nicht gleichmäßig im Modell verteilt, sondern konzentriert sich in latenten, spärlichen Subnetzwerken, die in tieferen Schichten selektiv aktiviert werden.

Basierend auf dieser Hypothese entwickeln sie Safety-Potential Pruning, einen „One-Shot"-Pruning-Ansatz (einmaliges Beschneiden ohne Nachtraining), der wie folgt funktioniert:

• Aktivationsanalyse: Das Modell wird mit und ohne Sicherheits-Prompt (Safety Prompt) auf Kalibrierungsdaten (z. B. HOD-Datensatz mit toxischen Inhalten) getestet. Es wird beobachtet, dass Sicherheits-Prompts die Aktivierungen in bestimmten Schichten signifikant in positive Werte verschieben, was auf eine selektive Aktivierung spezifischer Gewichte hindeutet.
• Sensitivitätsmetrik: Für jedes Gewicht $W_{ij}$ wird eine Sensitivität $S_j$ berechnet, basierend auf der Differenz der Aktivierungsnormen zwischen dem Sicherheits-Prompt ($A^S$) und dem Zustand ohne Prompt ($A^{NS}$):
  $$S_j = \|A^S_j\|_2^2 - \|A^{NS}_j\|_2^2$$
  Positive Werte zeigen eine starke Reaktion auf Sicherheitsreize an.
• Bewertung und Beschneiden: Ein Wichtigkeits-Score wird für jedes Gewicht berechnet, der die absolute Gewichtsgröße mit der Sensitivität kombiniert:
  $$Score_{ij} = |W_{ij}| \cdot \sqrt{\max(S_j, 0)}$$
  Gewichte mit niedrigen Scores (die entweder klein sind oder nicht auf Sicherheits-Prompts reagieren) werden entfernt (auf Null gesetzt).
• Ziel: Durch das Entfernen der „unresponsive" Gewichte wird das verbleibende Subnetzwerk, das für Sicherheitsverhalten zuständig ist, strukturell verstärkt und isoliert.

3. Schlüsselbeiträge

1. Safety Subnetwork Hypothesis: Die Formulierung der Hypothese, dass sich sicheres Verhalten in VLMs aus spärlichen, selektiv aktivierten internen Strukturen ergibt, die durch Prompts geweckt werden können.
2. Safety-Potential Pruning: Entwicklung eines retraining-freien Pruning-Frameworks, das Sicherheitsrelevante Subnetzwerke durch gezieltes Entfernen nicht-sensitiver Gewichte verstärkt.
3. Empirische Validierung: Umfassende Beweise, dass aktivierungsbasiertes Pruning latente Sicherheitsstrukturen in VLMs aufdeckt und verstärkt. Dies erweitert die Rolle des Prunings von einem reinen Effizienz-Tool zu einem Mechanismus für robuste Sicherheitsausrichtung (Alignment).

4. Ergebnisse

Die Methode wurde an drei repräsentativen VLM-Architekturen (Qwen2-VL, LLaVA-V1.6, InstructBLIP) und drei Jailbreak-Benchmarks (FigStep, MM-SafetyBench, JailbreakV-28K) evaluiert.

• Sicherheit (DSR - Defense Success Rate):
  • Safety-Potential Pruning reduziert die Erfolgsrate von Jailbreak-Angriffen im Vergleich zur alleinigen Nutzung von Prompts um bis zu 22 %.
  • Auf dem LLaVA-V1.6-Mistral-7B Modell erreichte die Methode bei 20 % Sparsität auf FigStep eine DSR von 99,0 % (verglichen mit 82,0 % bei Vanilla+SP).
  • Im Vergleich zu herkömmlichen Pruning-Methoden (Magnitude, SparseGPT, Wanda) erzielt die vorgeschlagene Methode konsistent höhere Sicherheitswerte, ohne die allgemeine Leistung zu opfern.
• Nützlichkeit (Utility):
  • Bei moderater Sparsität (20 %) bleibt die Leistung auf benignen Aufgaben (TextVQA, RealWorldQA, ScienceQA) nahezu unverändert.
  • Selbst bei 50 % Sparsität bleibt die Leistung besser als bei aggressivem Magnitude-Pruning, das die Nützlichkeit stark beeinträchtigt.
• Generalisierung:
  • Die Methode funktioniert auch auf reinen Sprachmodellen (LLMs wie Llama-2 und Vicuna), zeigt dort jedoch geringere Verbesserungen als bei VLMs. Dies deutet darauf hin, dass die cross-modale Integration in VLMs eine dichtere, aber auch angreifbarere Sicherheitsstruktur schafft, die durch Pruning effektiver isoliert werden kann.
• Embedding-Analyse: t-SNE-Visualisierungen zeigen, dass das beschneidene Modell eine klarere Trennung zwischen sicheren und unsicheren Eingaben im Embedding-Raum aufweist, was auf eine stärkere interne Kodierung von Sicherheitssemantik hindeutet.

5. Bedeutung und Fazit

Die Arbeit demonstriert, dass Pruning nicht nur ein Werkzeug zur Komprimierung ist, sondern als strukturelle Intervention genutzt werden kann, um Alignment-relevante Subnetzwerke in Foundation-Modellen zu aktivieren.

• Effizienz: Die Methode erfordert kein teures Fine-Tuning und ist rechenfreundlich (One-Shot).
• Robustheit: Sie bietet einen neuen Weg zur Widerstandsfähigkeit gegen Jailbreaks, indem sie die inhärente Sicherheitskapazität des Modells nutzt, anstatt nur externe Filter hinzuzufügen.
• Einflussfaktoren: Die Studie zeigt, dass die Wahl der Kalibrierungsdaten (Diversität vs. Größe) und die Formulierung des Sicherheits-Prompts entscheidend für den Erfolg des Prunings sind.

Zusammenfassend bietet Safety-Potential Pruning einen prinzipiellen Ansatz, um Sicherheitsverhalten aus der internen Struktur von Modellen zu extrahieren und zu verstärken, was eine vielversprechende Alternative zu herkömmlichen Nachbearbeitungs- oder Trainingsmethoden darstellt.