🤖 AI

Exploring and Developing a Pre-Model Safeguard with Draft Models

Dieser Artikel schlägt eine prä-Modell-Sicherheitsmaßnahme vor, die die Übertragbarkeit von Jailbreak-Angriffen von großen Sprachmodellen auf kleinere Entwurfsmodelle nutzt, um Entwurfsantworten zu generieren, wodurch bestehende Schutzmechanismen in die Lage versetzt werden, unsichere Eingabeaufforderungen vor der Inferenz des Zielmodells genauer zu erkennen und gleichzeitig die hohen Rechenkosten einer nachgelagerten Überprüfung zu vermeiden.

Ursprüngliche Autoren: Hongyu Cai, Arjun Arunasalam, Yiming Liang, Antonio Bianchi, Z. Berkay Celik

Veröffentlicht 2026-05-20

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Hongyu Cai, Arjun Arunasalam, Yiming Liang, Antonio Bianchi, Z. Berkay Celik

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Problem: Der „Sicherheitsbeamte" vs. der „Meister der Verkleidung"

Stellen Sie sich vor, Sie haben einen sehr leistungsfähigen, intelligenten Roboter (ein Large Language Model, oder LLM), der Geschichten schreiben, Matheaufgaben lösen und Fragen beantworten kann. Sie möchten, dass dieser Roboter hilfreich, aber sicher ist – er sollte keine Hassrede verfassen, Anleitungen zum Bau von Bomben geben oder Lügen verbreiten.

Um ihn sicher zu halten, stellen Sie einen Sicherheitsbeamten (einen „Pre-model Guard") ein, der vor der Tür steht. Der Beamte prüft jede Frage (den Prompt), die ein Benutzer stellt, bevor er sie dem Roboter zeigt. Wenn die Frage gefährlich aussieht, hält der Beamte sie auf.

Der Fehler:
Böse Akteure (Hacker) haben gelernt, ihre gefährlichen Fragen in harmlos aussehende Kleidung zu hüllen. Sie verwenden clevere Tricks, sogenannte „Jailbreaks", um den Sicherheitsbeamten zu täuschen.

Analogie: Stellen Sie sich einen Kriminellen vor, der versucht, eine Waffe in eine Bank zu schmuggeln. Anstatt eine Pistole zu tragen, versteckt er sie in einem Kasten mit der Aufschrift „Geburtstagstorte". Der Sicherheitsbeamte sieht „Geburtstagstorte", denkt, es sei sicher, und lässt ihn durch. Sobald er drinnen ist, öffnet der Roboter den Kasten, findet die Waffe und tut etwas Schädliches.

Das Papier stellt fest, dass diese „Pre-model Guards" diese getarnten Angriffe oft übersehen, weil sie nur die Frage betrachten, nicht aber die Antwort, die der Roboter möglicherweise geben könnte.

Die Alternative: Der „langsame und teure" Check

Es gibt noch eine andere Möglichkeit, die Sicherheit zu prüfen: Lassen Sie den Roboter zuerst die Frage beantworten und lassen Sie dann einen zweiten Wächter die Antwort prüfen.

Analogie: Lassen Sie den Roboter die Torte backen, und lassen Sie dann einen zweiten Wächter sie probieren, um zu sehen, ob Gift darin ist.
Das Problem: Dies ist sehr langsam und teuer. Wenn der Roboter riesig ist (wie ein Modell mit 70 Milliarden Parametern), dauert das Backen der Torte lange und verbraucht viel Strom. Selbst wenn der zweite Wächter sagt: „Stopp! Das ist Gift", haben Sie bereits all diese Zeit und das Geld für das Backen der Torte verschwendet.

Die neue Lösung: Das „kleine Entwurfsmodell"

Die Autoren schlagen einen cleveren Mittelweg vor. Sie schlagen vor, einen winzigen, schnellen Roboter (ein „Small Language Model" oder SLM) als „Entwurf" oder „Probelauf" einzusetzen, bevor der große Roboter die Frage überhaupt sieht.

So funktioniert ihr neues System, Schritt für Schritt:

1. Der „Schatten"-Test

Wenn ein Benutzer eine Frage stellt, sendet das System sie nicht direkt an den großen Roboter, sondern zuerst an den winzigen Roboter.

Analogie: Bevor der große Koch ein komplexes Gericht zubereitet, versucht ein winziger, schneller Sous-Chef in einer Testküche eine winzige, rohe Version davon zu machen.

2. Die Magie der „Übertragbarkeit"

Das Papier hat etwas Überraschendes entdeckt: Böse Fragen, die den großen Roboter täuschen, täuschen tendenziell auch den winzigen Roboter.

Die Entdeckung: Wenn ein Hacker eine Frage formuliert, die den großen Roboter dazu bringen soll, etwas Böses zu sagen, wird dieselbe Frage oft auch den winzigen Roboter dazu bringen, etwas Böses zu sagen.
Analogie: Wenn ein bestimmtes Dietrich-Werkzeug an der schweren, teuren Vordertür einer Bank funktioniert, wird es wahrscheinlich auch an der dünnen, billigen Hintertür desselben Gebäudes funktionieren. Die „Schwäche" überträgt sich von der großen Tür auf die kleine.

3. Die „Batch"-Strategie

Das System fragt den winzigen Roboter nicht nur einmal. Es fragt ihn viele Male (als würde man 20 verschiedene winzige Roboter bitten, dieselbe Frage zu stellen).

Analogie: Stellen Sie sich vor, Sie bitten 20 verschiedene kleine Sous-Chefs, diese „Geburtstagstorte" zu backen. Selbst wenn die Torte harmlos aussieht: Wenn 5 der 20 winzigen Köche versehentlich Gift verschütten, während sie versuchen, sie zu backen, wissen Sie, dass das Rezept gefährlich ist.

4. Die Entscheidung

Das System betrachtet die Antworten der winzigen Roboter.

Wenn die winzigen Roboter sichere Antworten generieren, geht das System davon aus, dass die Frage sicher ist, und lässt den Großen Roboter antworten.
Wenn die winzigen Roboter unsichere Antworten generieren (oder sogar nur eine unsichere Antwort unter vielen), blockiert das System die Frage sofort. Der Große Roboter sieht sie nie, was Zeit und Geld spart.

Warum dies besser ist

Das Papier hat diese Idee gegen die alten Methoden getestet und festgestellt:

Es fängt mehr Bösewichte ab: Der alte „Sicherheitsbeamte" (Pre-model) verpasste etwa 32 % der getarnten Angriffe. Diese neue „Winziger-Roboter"-Methode fängt fast alle ab, weil der winzige Roboter die versteckte Gefahr in der Frage aufdeckt.
Es ist viel schneller: Die „langsame und teure" Methode (Post-model) dauert lange, weil sie wartet, bis der Große Roboter fertig ist. Diese neue Methode ist fast so schnell wie der alte Sicherheitsbeamte, weil der winzige Roboter superschnell ist.
- Ergebnis: Sie reduzierte die Zeit, die für eine sichere Antwort benötigt wird, um 97 % im Vergleich zur langsamen Methode.
Es blockiert keine guten Leute: Bei normalen, sicheren Fragen (wie „Wie mache ich ein Sandwich?") verhält sich der winzige Roboter genau wie der große. Das System blockiert fast keine harmlosen Fragen und hält das Erlebnis für normale Benutzer reibungslos.

Zusammenfassung

Das Papier stellt ein Sicherheitssystem vor, das einen kleinen, schnellen „Test-Roboter" verwendet, um vorherzusagen, ob eine Frage gefährlich ist. Da böse Fragen dazu neigen, sowohl kleine als auch große Roboter zu brechen, fungiert der kleine Roboter als sensibles „Kanarienvogel im Kohlebergwerk". Wenn der kleine Roboter verwirrt ist oder etwas Böses sagt, wissen wir, dass die Frage eine Falle ist, und wir stoppen sie, bevor der große, teure Roboter überhaupt versuchen muss, sie zu beantworten. Dies macht KI sicherer, ohne sie zu verlangsamen.

Technische Zusammenfassung: Erkundung und Entwicklung eines Pre-Model-Schutzes mit Draft-Modellen

Problemstellung

Large Language Models (LLMs) bleiben anfällig für Jailbreak-Angriffe, die darauf ausgelegt sind, unsichere oder schädliche Antworten hervorzurufen, die ethische und operative Richtlinien verletzen. Aktuelle Verteidigungsmechanismen lassen sich im Allgemeinen in zwei Kategorien einteilen, die jeweils erhebliche Einschränkungen aufweisen:

Pre-Model-Guards: Diese prüfen Prompts, bevor sie das Ziel-LLM erreichen. Obwohl sie rechnerisch effizient sind, leiden sie unter hohen False-Negative-Raten, da ihnen der Kontext der vom Modell generierten Antwort fehlt. Beispielsweise erkennt LlamaGuard 2 im Pre-Model-Modus nur 71,6 % der adversarialen Prompts, die vom AutoDAN-Angriff gegen Llama-3-70B generiert wurden.
Post-Model-Guards: Diese prüfen sowohl den Prompt als auch die generierte Antwort. Obwohl sie durch Nutzung des Antwortkontexts eine höhere Erkennungsgenauigkeit bieten, verursachen sie hohe Rechenkosten (erhöhter Token-Verbrauch und Latenz), da das Zielmodell eine vollständige Antwort generieren muss, bevor der Guard eingreifen kann.

Die Kernherausforderung besteht darin, ein Verteidigungssystem zu entwerfen, das die hohen Erkennungsraten von Post-Model-Guards erreicht, ohne deren Rechenoverhead zu verursachen, und gleichzeitig die Erkennungsraten von Pre-Model-Guards verbessert.

Methodik

Die Autoren schlagen ein Schutzdesign vor, das die Transferierbarkeit von Jailbreak-Angriffen von Large Language Models (LLMs) auf Small Language Models (SLMs) nutzt. Die zentrale Hypothese lautet, dass Jailbreak-Prompts, die für ein großes Zielmodell erstellt wurden, oft auch in kleineren „Draft"-Modellen unsichere Antworten hervorrufen. Indem diese Draft-Modelle verwendet werden, um spekulative Antworten zu generieren, kann das System die Prompt-Sicherheit bewerten, bevor das teure Zielmodell aufgerufen wird.

Schlüsselkomponenten des Designs

Systematische Untersuchung der Transferierbarkeit:
- Die Autoren führten eine empirische Untersuchung zur Transferierbarkeit von Jailbreak-Prompts von LLMs (z. B. Llama-3-70B, Qwen1.5-72B, Phi-3) auf SLMs (z. B. OPT-125M, SmolLM-135M, Qwen2.5-0.5B) durch.
- Sie bewerteten drei Jailbreak-Generierungssysteme: GCG, AutoDAN und PAIR.
- Wichtiges Ergebnis: Während die rohen Transferierbarkeitsraten variieren, ist die Verteilung der Raten unsicherer Antworten unterscheidbar. Harmlose Prompts erzeugen in SLMs eine Rate unsicherer Antworten nahe null, während bösartige Prompts eine „Long-Tail"-Verteilung mit nicht-null Raten unsicherer Antworten hervorrufen. Diese statistische Lücke dient als Verteidigungssignal.
Spekulativer Inferenz-Schutz:
Das vorgeschlagene System arbeitet in zwei Phasen:
- Phase A: Spekulative Inferenz (Pre-Target):
  - Antwortgenerierung: Nach Erhalt eines Prompts generiert ein kleines Draft-Modell einen Batch von $b$ Draft-Antworten (z. B. $b=20$ ) unter Verwendung stochastischer Sampling-Verfahren (Beam Search und Top-p).
  - Klassifizierung: Diese Draft-Antworten werden zusammen mit dem ursprünglichen Prompt in einen bestehenden Sicherheitsklassifikator eingespeist (z. B. LlamaGuard im Post-Model-Modus).
  - Aggregation: Das System aggregiert die Klassifizierungsetiketten. Wenn der Anteil der als unsicher markierten Draft-Antworten einen Schwellenwert $\tau$ überschreitet, wird der Prompt als bösartig eingestuft und eine Ablehnung zurückgegeben.
- Phase B: Inferenz des Zielmodells:
  - Wenn der Prompt den spekulativen Check besteht, wird er zur finalen Generierung an das Ziel-LLM weitergeleitet. Für diese bestandenen Prompts ist kein Post-Model-Guard erforderlich.

Schlüsselbeiträge

Empirische Untersuchung: Die Arbeit liefert eine systematische Studie zur Transferierbarkeit von Jailbreaks von LLMs auf SLMs und identifiziert, dass die Transferierbarkeit zwar nicht perfekt ist, die Verteilung unsicherer Antworten für bösartige Prompts jedoch statistisch von der Verteilung harmloser Prompts unterscheidbar ist.
Neuartige Verteidigungsarchitektur: Die Autoren stellen einen Pre-Model-Verteidigungsmechanismus vor, der spekulative Inferenz mit SLMs nutzt. Dieser Ansatz verwandelt die Transferierbarkeit von einem Angriffsvektor in eine defensive Ressource.
Leistungsoptimierung: Das Design erreicht eine niedrige Defense Failure Rate (DFR) und reduziert die Zeit von Prompt bis Antwort im Vergleich zu bestehenden Post-Model-Guards erheblich, während es gleichzeitig eine hohe Genauigkeit bei harmlosen Prompts beibehält.
Open Source: Das Schutzdesign und der Code stehen zur öffentlichen Validierung zur Verfügung.

Experimentelle Ergebnisse

Die Evaluation wurde gegen drei Jailbreak-Systeme (GCG, AutoDAN, PAIR) und drei Zielmodelle (Llama-3-70B, Qwen1.5-72B, Phi-3) durchgeführt und verglich das vorgeschlagene Design (unter Verwendung von OPT-125M oder SmolLM-135M als Draft-Modelle) mit LlamaGuard 2 (Pre- und Post-Model-Modi) sowie PerplexityGuard.

Defense Failure Rate (DFR):
- Im Vergleich zu Pre-Model-Guards reduzierte das vorgeschlagene Design die DFR im Durchschnitt um 32,4 % (speziell 32,37 % für die OPT-basierte Version).
- Im Vergleich zu Post-Model-Guards reduzierte das vorgeschlagene Design die DFR im Durchschnitt um 17,38 %.
Effizienz (Zeit von Prompt bis Antwort):
- Im Verhältnis zu Post-Model-Guards reduzierte das vorgeschlagene Design die Zeit, die zur Erkennung und Blockierung von Angriffen erforderlich ist, um 97,07 % (z. B. Reduzierung der Erkennungszeit für AutoDAN-Angriffe auf Llama-3 von ca. 101 Sekunden auf unter 1 Sekunde).
- Der Zeitoverhead im Vergleich zu Pre-Model-Guards war minimal, mit einer Erhöhung von nur 0,59 %.
Genauigkeit bei harmlosen Prompts:
- Der Schutz behielt eine Genauigkeit von 98 % bei harmlosen Prompts bei und entsprach damit der Leistung sowohl der Pre- als auch der Post-Model-Guard-Baselines.
- Im Gegensatz dazu zeigte PerplexityGuard eine geringere Genauigkeit (0,88) bei harmlosen Prompts.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass die Transferierbarkeit von Jailbreak-Angriffen, die traditionell als Schwachstelle betrachtet wird, die es Angreifern ermöglicht, Sicherheitsfilter über verschiedene Modelle hinweg zu umgehen, effektiv als Verteidigungsmechanismus umfunktioniert werden kann. Indem kleinere, schnellere Modelle genutzt werden, um die Sicherheit eines Prompts via spekulative Inferenz zu „proben", bietet der vorgeschlagene Schutz eine praktische Lösung, die die Lücke zwischen der Effizienz von Pre-Model-Guards und der Genauigkeit von Post-Model-Guards schließt.

Die Autoren betonen, dass ihr Ansatz nicht erfordert, dass das Draft-Modell ein perfekter Detektor ist; vielmehr stützt es sich auf die statistische Unterscheidbarkeit von Verteilungen unsicherer Antworten. Dies ermöglicht ein robustes Verteidigungssystem, das das Risiko der Generierung schädlicher Inhalte erheblich senkt, ohne die prohibitiven Rechenkosten, die mit einer vollständigen Inferenz des Zielmodells für jede Anfrage verbunden sind. Die Arbeit legt nahe, dass zukünftige Verteidigungsstrategien über eine einfache Prompt-Analyse hinausgehen und leichte, spekulative Antwortgenerierung einbeziehen können, um die Sicherheitsausrichtung zu verbessern.