🤖 machine learning

Persona-Conditioned Adversarial Prompting: Multi-Identity Red-Teaming for Adversarial Discovery and Mitigation

Dieser Beitrag stellt Persona-Conditioned Adversarial Prompting (PCAP) vor, ein Red-Teaming-Framework, das diverse Angreifer-Personas nutzt, um übertragbare Jailbreaks zu entdecken und reichhaltige, metadatenreiche Datensätze zu generieren, wodurch eine effektive automatisierte Ausrichtung ermöglicht und die Modellrobustheit durch gezieltes Fine-Tuning erheblich verbessert wird.

Ursprüngliche Autoren: Cristian Morasso, Anisa Halimi, Muhammad Zaid Hameed, Douglas Leith

Veröffentlicht 2026-05-13

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Cristian Morasso, Anisa Halimi, Muhammad Zaid Hameed, Douglas Leith

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einem sehr intelligenten, aber naiven Roboter beizubringen, gefährliche Tricks zu erkennen. Der Roboter ist ein Large Language Model (LLM), und im Moment wird er von Menschen getäuscht, die genau wissen, wie sie ihre Fragen formulieren müssen, um seine Sicherheitsregeln zu umgehen.

Die Arbeit stellt eine neue Methode namens PCAP (Persona-Conditioned Adversarial Prompting) vor. Hier ist die Funktionsweise, erklärt durch einfache Analogien:

Das Problem: Die „Ein-Trick-Pony"-Angreifer

Früher waren automatisierte Systeme, die diese Sicherheitslücken suchten (sogenanntes „Red-Teaming"), wie ein Sicherheitsbeamter, der nur nach einer bestimmten Art von Dietrich sucht. Sie versuchten immer wieder dieselben wenigen Tricks.

Das Ergebnis: Sie fanden einige Lücken, verpassten aber die klugen, realweltlichen Tricks, die echte Bösewichte einsetzen. Es ist, als würde man die Verteidigung einer Burg nur testen, indem man versucht, die vordere Mauer zu erklettern, und dabei ignoriert, dass jemand sich durch die Hintertür einschleichen könnte, verkleidet als Bäcker.

Die Lösung: Der „Methoden-Schauspieler"-Ansatz

PCAP verändert das Spiel, indem es dem Angreifer-Roboter ein Kostüm und ein Skript gibt. Anstatt nur ein generischer „Hacker" zu sein, wird dem Roboter gesagt, er soll sich als spezifische Personen (Personas) mit spezifischen Zielen verhalten.

Die Personas: Stellen Sie sich vor, der Roboter zieht verschiedene Masken auf. Manchmal verhält er sich wie ein neugieriger Schüler, der eine Frage für ein Schulprojekt stellt. Manchmal verhält er sich wie ein mürrischer Arzt, der versucht, ein medizinisches Rätsel zu lösen. Zu anderen Zeiten verhält er sich wie ein böswilliger Akteur, der versuchen will, Ärger zu stiften.
Die Strategie-Karten: Zusammen mit dem Kostüm erhält der Roboter ein Deck „Strategie-Karten". Diese sind wie Spickzettel, die ihm sagen, wie er sprechen soll. Eine Karte könnte lauten: „Verwende eine historische Geschichte, um deine wahre Absicht zu verbergen." Eine andere könnte lauten: „Teile deine Frage in winzige, harmlose Teile auf."

Wie es funktioniert: Die parallelen Spielplätze

Anstatt dass ein Roboter versucht, das System zu knacken, richtet PCAP mehrere parallele Spielplätze ein.

Das Setup: Es werden beispielsweise 6 verschiedene „Schauspieler" erstellt (ein Schüler, ein Lehrer, ein Hacker usw.).
Die Suche: Jeder Schauspieler versucht, den Ziel-Roboter mit seiner eigenen einzigartigen Stimme und einem spezifischen Satz von Strategien zu täuschen.
Die Entdeckung: Da sie alle gleichzeitig unterschiedliche Dinge versuchen, finden sie eine viel breitere Vielfalt an Sicherheitslücken.
- Analogie: Wenn Sie jeden Riss in einem Damm finden wollen, werfen Sie nicht nur einen Stein hinein. Sie werfen Wasser, Sand, Eis und Reben aus verschiedenen Winkeln darauf. PCAP wirft all diese verschiedenen „Materialien" gleichzeitig auf den Roboter.

Die Ergebnisse: Mehr Lücken finden, schneller

Die Arbeit testete dies an einem sehr starken Roboter (GPT-OSS 120B).

Vor PCAP: Die alte Methode fand einen Weg, die Sicherheitsregeln etwa 57 % der Zeit zu umgehen.
Mit PCAP: Die neue Methode durchbrach 97 % der Zeit.
Vielfalt: Sie brach ihn nicht nur öfter; sie fand 2- bis 6-mal mehr einzigartige Wege, ihn zu knacken. Es ist, als würde man 100 verschiedene Schlüssel finden statt nur 10.

Das Beste: Die „Selbstheilende"-Schleife

Dies ist der wichtigste Teil der Arbeit. Normalerweise ist das Finden einer Lücke nur der erste Schritt. Dann muss man Menschen beauftragen, eine Lösung zu schreiben, was ewig dauert.

PCAP automatisiert die Lösung:

Der Angriff: Die „Schauspieler" knacken den Roboter und protokollieren genau, wie sie es getan haben.
Die Lektion: Die Arbeit zeigt, dass man diese protokollierten Tricks nehmen und verwenden kann, um den Roboter zu „feinabstimmen" (neu zu trainieren).
Das Ergebnis: Der Roboter lernt, das Muster des Tricks zu erkennen, nicht nur die spezifischen Wörter.
- Analogie: Anstatt dem Roboter beizubringen „Lass keine Leute mit roten Hüten herein", zeigt man ihm tausende Fotos von Leuten mit roten, blauen und grünen Hüten, die versuchen, sich einzuschleichen, und er lernt das Konzept des „Einschleichen".
Der Beweis: Nach diesem schnellen Neutrainieren wurde der Roboter unglaublich widerstandsfähig. Er stoppte die Angriffe 99 % der Zeit, mit fast keinen Fehlalarmen (er begann nicht, normale Fragen zu verweigern).

Zusammenfassung

Die Arbeit präsentiert einen vollständigen Zyklus:

Entdecken: Verwende „Methoden-Schauspieler", um Sicherheitslücken zu finden, die normale Tests übersehen.
Generieren: Erstelle automatisch einen massiven Datensatz dieser Tricks.
Verteidigen: Verwende diesen Datensatz, um dem Roboter sofort beizubringen, wie er diese Tricks erkennt und blockiert.

Sie verwandelt den Prozess des Findens von Schwachstellen und des Behebens in eine schnelle, automatisierte Schleife und macht KI viel schneller sicher als zuvor.

Technische Zusammenfassung: Persona-konditioniertes adversäres Prompting (PCAP)

Problemstellung

Die automatisierte Red-Teaming-Prüfung für Large Language Models (LLMs) leidet derzeit unter zwei kritischen Einschränkungen: eingeschränkte Vielfalt der Angreifer und eine Lücke zwischen Evaluation und umsetzbarer Abschwächung. Bestehende automatisierte Pipelines verlassen sich häufig auf enge Taktikmengen (z. B. feste Vorlagen oder direkte Angriffe) und Ein-Schritt-Transformationen. Folglich erfassen sie keine realistischen, komplexen Angriffsvektoren, die auf Angreiferidentität, Social Engineering und kontextueller Rahmung beruhen (z. B. rollenbasiertes Vertrauen oder domänenspezifisches Fachjargon). Diese eingeschränkte Exploration liefert unzureichende Daten für ein robustes Safety-Fine-Tuning und unterschätzt reale Risiken. Darüber hinaus fehlen vielen „Purple-Teaming"-Ansätzen, die die Schleife zwischen Schwachstellenerkennung und Verteidigung schließen sollen, eine systematische Diversifizierung über Angreiferidentitäten hinweg und eine explizite Konditionierung der Strategien.

Methodik: Persona-konditioniertes adversäres Prompting (PCAP)

Die Autoren stellen PCAP vor, ein Framework, das den Tree of Attacks with Pruning (TAP)-Algorithmus erweitert. PCAP konditioniert die adversäre Suche auf diverse Angreifer-Personas und explizite Strategiemengen, um realistische Angriffsszenarien in einem Black-Box-Setting zu erkunden.

Kernkomponenten

Persona-Konstruktion: Ein Persona-Generator ( $G_p$ ) erstellt $N$ unterschiedliche Personas (z. B. neugierige Studenten, Domänenexperten, böswillige Akteure) mit einzigartigen demografischen Merkmalen, biografischen Details und Verhaltenscharakteristika.
Ziel-Umformulierung: Ein Umformulierungsmodell ( $R$ ) interpretiert das schädliche Ziel ( $g$ ) im Kontext jeder Persona ( $\pi_i$ ) neu und erzeugt ein personalisiertes Ziel ( $\tilde{g}_i$ ), das die Angriffsintention in die Narrative der Persona einbettet.
Strategie-Konditionierung: Eine Menge von Angriffstrategien ( $\Sigma$ ) wird definiert (z. B. Rollenspiel, Payload-Aufteilung, Tippfehler). Jeder Persona wird eine Teilmenge von Strategien ( $\Sigma_i$ ) zugewiesen. Das Angreifermodell ( $A$ ) wird auf die Persona, das umformulierte Ziel und die spezifische Strategie-Karte konditioniert und fungiert als kontextuelle Anleitung.
Parallelisierte adversäre Suche: Anstelle eines einzelnen Suchstrahls instanziiert PCAP $N$ unabhängige TAP-Suchen, die parallel laufen. Jede Suche verwaltet ihren eigenen Strahl ( $S^{(i)}_t$ ) der Breite $W$ . In jeder Iteration generiert der persona-konditionierte Angreifer Variationen, die durch einen themenrelevanten Prüfer ( $O$ ) gefiltert, von einem Bewerter ( $E$ ) bewertet und auf die besten $W$ Kandidaten beschnitten werden.
Metadatenreiche Datensatzgenerierung: Entscheidend ist, dass jeder erfolgreiche Prompt automatisch mit seinen zugewiesenen Persona-, Ziel- und Strategie-Tags annotiert wird. Dies erzeugt einen reichen, annotationsfreien Korpus, der für das Training robuster Ablehnungsverhalten geeignet ist.

Hauptbeiträge

Persona-konditionierte Suche: PCAP verlagert den Fokus von der Modifikation der Verfeinerungspipeline hin zur Veränderung, wer der Angreifer ist und wie er angreift. Dieser modulare Ansatz erkundet diverse linguistische und strategische Rahmungen, die rollenbasiertes Vertrauen und domänenspezifische Framing ausnutzen.
Umfassende empirische Evaluation: Die Autoren evaluieren PCAP über mehrere Angreifermodelle mit unterschiedlichen Fähigkeiten (Dense- und Mixture-of-Experts-Architekturen). Sie zeigen konsistente Verbesserungen bei der Angriffserfolgsrate (ASR), der Prompt-Ausbeute und der Übertragbarkeit gegenüber dedizierten Guardrails.
Praktische geschlossene Schleife zur Abschwächung: Die Arbeit demonstriert eine vollständige Pipeline von der Schwachstellenerkennung bis zur automatisierten Verteidigung. Durch das Fine-Tuning von leichten Adaptern (ALoRA) auf PCAP-generierten Daten zeigen die Autoren signifikante Verbesserungen der Modellrobustheit ohne manuelle Annotation.
Open-Source-Veröffentlichung: Die Autoren verpflichten sich, den PCAP-Code, integriert in ein Red-Teaming-Framework, nach Annahme der Arbeit freizugeben.

Experimentelle Ergebnisse

Die Experimente wurden mit GPT-OSS 120B als Zielmodell durchgeführt, unter Verwendung verschiedener Angreifermodelle (Llama 3.3 70B, Granite 3.3 8B, Granite 4.0 H Tiny, Kimi K2.5, Mixtral 8x22B).

Angriffsleistung

Angriffserfolgsrate (ASR): PCAP übertrifft die Baseline TAP signifikant. Auf GPT-OSS 120B stieg die ASR von 57,7 % auf 97,3 % (Llama 3.3 70B Angreifer) und von 41,0 % auf 98,0 % (Granite 4.0 H Tiny Angreifer).
Prompt-Ausbeute: PCAP generiert 2–6× mehr diverse erfolgreiche Prompts pro Ziel im Vergleich zu TAP. Beispielsweise stieg die Ausbeute bei Granite 4.0 H Tiny von 0,43 auf 2,41 Prompts/Ziel.
Übertragbarkeit: Von PCAP generierte Prompts zeigten eine hohe Übertragbarkeit und umgingen dedizierte Guardrails (Granite Guardian 3.3 und Llama Guard 3) mit Raten von 30–58 %. Bemerkenswerterweise umging ein signifikanter Anteil dieser Prompts sowohl das Zielmodell als auch die Guardrails, was auf die Entdeckung generalisierbarer semantischer Schwachstellen hindeutet.
Vielfalt: PCAP-Prompts wiesen eine geringere semantische Ähnlichkeit (kosinussimilität ~0,62–0,67) und niedrigere Self-BLEU-Werte (0,02–0,08) im Vergleich zu Baselines auf, was eine hohe lexikalische und semantische Vielfalt bestätigt. Die Strategieverteilungen waren ausgeglichener (niedrigere $\chi^2$ -Werte) als bei TAP, das stark auf Rollenspiel angewiesen war.

Abschwächung und Robustheit

Fine-Tuning: Leichte ALoRA-Adapter wurden auf dem PCAP-generierten Datensatz (300 Prompts über 50 Ziele) feinabgestimmt.
Leistungssteigerungen: Das Fine-Tuning verbesserte die adversäre Robustheit dramatisch über drei Modellfamilien hinweg (Granite, Llama, Qwen).
- Recall: Verbesserung von 0,26–0,36 auf 0,96–1,00.
- F1-Score: Verbesserung von 0,41–0,53 auf 0,96–0,98.
- Präzision: Beibehaltung hoher Werte (0,94–0,97) mit minimalen False Positives.
Purple-Teaming-Validierung: Wenn die feinabgestimmten Modelle erneut mit PCAP getestet wurden, zeigten sie starken Widerstand. Beispielsweise sank die ASR bei Granite 3.3 8B von 100 % auf 33,7 %, und die Anzahl der Abfragen, die erforderlich waren, um einen erfolgreichen Jailbreak zu finden, erhöhte sich um das 5–7-fache. Dies bestätigt, dass der Datensatz generalisierbare Angriffsmustererkennung lehrt.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass PCAP einen vollständigen, automatisierten, geschlossenen Ansatz für die LLM-Sicherheit bietet. Durch die Konditionierung der adversären Suche auf diverse Personas entdeckt die Methode Schwachstellen, die enge Pipelines übersehen, insbesondere solche, die auf Social Engineering und identitätsbasiertem Vertrauen beruhen.

Die Autoren betonen, dass die annotationsfreie Natur des generierten Datensatzes ein entscheidender praktischer Vorteil ist, der die Kosten- und Skalierbarkeitsprobleme des menschlichen Red-Teaming eliminiert. Die Fähigkeit, durch leichtes Fine-Tuning innerhalb weniger Stunden (2–9 Stunden auf A100) nahezu perfekte Robustheit (F1 > 0,96) zu erreichen, demonstriert einen praktischen Weg für die kontinuierliche Härtung von Modellen. Die Arbeit positioniert PCAP nicht nur als Entdeckungswerkzeug, sondern als funktionales „Purple Team", das die Lücke zwischen Schwachstellenidentifikation und automatisierter, effektiver Verteidigung schließt.