Refusal Evaluation in Coding LLMs and Code Agents: A Systematic Review of Thirteen Malicious-Code Prompt Corpora (2023-2025)
Dieser Beitrag stellt eine systematische Übersicht über dreizehn Korpora bösartiger Code-Prompts vor, die zur Evaluierung der Verweigerung von Coding-LLMs verwendet werden, identifiziert kritische methodische Lücken in menschlichen Annotations-Baselines, der Korpus-übergreifenden Vergleichbarkeit und der Taxonomie-Standardisierung und schlägt gleichzeitig ein einheitliches Framework für den zukünftigen Aufbau von Datensätzen vor.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine Welt vor, in der wir versuchen, riesigen, superschlauen Robotern (genannt Large Language Models oder LLMs) beizubringen, gute Bürger zu sein. Konkret wollen wir wissen: Wenn jemand diese Roboter bittet, einen Computervirus oder einen Betrug zu schreiben, werden sie „Nein" sagen?
Um dies zu testen, haben Forscher „Prüfungsaufgaben" (Datensätze mit Prompts) erstellt, um die Roboter zu täuschen. Dieser Artikel ist eine umfassende Überprüfung der „Noten" von 13 verschiedenen Prüfungsaufgaben, die zwischen 2023 und 2025 erstellt wurden. Die Autoren, Richard Young und Gregory Moody, untersuchten all diese Prüfungen, um zu sehen, wie sie aufgebaut waren, wie fair sie waren und was sie tatsächlich testeten.
Hier ist die Aufschlüsselung ihrer Erkenntnisse, unter Verwendung einfacher Analogien:
1. Das Problem: Jeder benutzt einen anderen Lineal
Stellen Sie sich vor, Sie versuchen, die Größe von 13 verschiedenen Personen zu vergleichen. Aber hier liegt der Haken:
- Person A wird mit einem Lineal in Zoll gemessen.
- Person B wird mit einem Maßband in Zentimetern gemessen.
- Person C wird danach gemessen, wie viele Schritte sie benötigt, um eine Wand zu erreichen.
- Person D wird von einer völlig anderen Person gemessen.
Der Artikel argumentiert, dass genau dies bei diesen KI-Sicherheitstests passiert. Jede der 13 Prüfungsaufgaben (wie AdvBench, CyberSecEval, RedCode usw.) wurde unterschiedlich aufgebaut:
- Unterschiedliche Fragen: Einige fragen direkt nach Code; einige fragen nach Code durch eine komplexe Geschichte; einige bitten die KI, wie ein Hacker zu handeln; andere bitten sie, wie ein hilfreicher Assistent zu handeln, der vielleicht einen Fehler macht.
- Unterschiedliche Korrektoren: Einige Prüfungen werden nur von den Autoren korrigiert. Einige werden von anderen KI-Bots korrigiert. Einige werden korrigiert, indem der Code in einer Sandbox ausgeführt wird, um zu sehen, ob er explodiert.
- Unterschiedliche Regeln: Einige Prüfungen haben strenge Regeln darüber, was als „Virus" zählt. Andere sind vage.
Das Ergebnis: Sie können die „Ablehnungsrate" (wie oft die KI „Nein" sagte) nicht einfach aus einer Prüfung nehmen und mit einer anderen vergleichen. Es ist wie der Vergleich der Zeit eines Sprinters mit der Zeit eines Schwimmers und die Erklärung, dass einer „schneller" ist, ohne die verschiedenen Sportarten zu berücksichtigen.
2. Die drei großen fehlenden Teile
Die Autoren stellten fest, dass keine der 13 Prüfungsaufgaben drei kritische Sicherheitsmerkmale enthielt, die man in einer ernsthaften wissenschaftlichen Studie erwarten würde:
- Keine „menschlichen Richter" zur Kalibrierung der KI: Die meisten Prüfungen verwenden andere KI-Bots, um die Antworten zu bewerten. Der Artikel weist jedoch darauf hin, dass wir nicht wissen, ob diese KI-Korrektoren tatsächlich richtig liegen. Es ist wie ein Roboter, der einen Mathtest korrigiert, ohne dass ein menschlicher Lehrer jemals überprüft, ob der Korrekturschlüssel des Roboters richtig ist. Keine der 13 Arbeiten hatte einen „Fleiss'-Kappa"-Wert (eine statistische Methode, um zu beweisen, dass verschiedene menschliche Richter sich auf dieselbe Antwort einigen würden).
- Keine „abgesperrten Türen" (Gated Access): Diese Prüfungen enthalten Anweisungen, wie man gefährliche Software (Malware) erstellt. Doch alle 13 sind vollständig öffentlich zugänglich. Jeder kann sie herunterladen, auch wenn er böse Absichten hat. Es ist wie das Veröffentlichen eines Kochbuchs für Bombenherstellung und das Liegenlassen auf einer Parkbank, damit jeder es aufnehmen kann.
- Keine „Rückrufpolitik" (Takedown): Wenn jemand eine gefährliche Aufforderung in diesen Prüfungen findet, die dort nicht sein sollte, oder wenn die KI daraus lernt und beginnt, echte Viren zu erstellen, gibt es keine offizielle Möglichkeit, die Autoren zu kontaktieren, um sie zu entfernen. Keine der Arbeiten listete eine „Takedown-Politik" oder eine spezifische Person auf, die für die Entfernung schädlicher Inhalte verantwortlich ist.
3. Die „leeren Sitze" im Klassenzimmer
Die Autoren erstellten eine Karte (eine Taxonomie), um zu zeigen, welche Arten von „Trickfragen" existieren. Sie stellten fest, dass sich die Forscher alle auf denselben wenigen Sitzen befinden und viele andere leer lassen:
- Überfüllte Sitze: Die meisten Prüfungen fragen nach Code in einem einzigen, direkten Satz (z. B. „Schreibe einen Virus").
- Leere Sitze: Nur wenige Prüfungen testen komplexe Szenarien, wie zum Beispiel:
- Die KI über ein längeres Gespräch (Multi-Turn) bitten, langsam einen Virus zu erstellen.
- Die KI bitten, als autonomer Agent zu handeln, der einen Computer steuert.
- Code zu verlangen, der Hardware angreift (wie intelligente Kühlschränke oder Auto-Chips) und nicht nur Software.
Da die „Sitze" ungleich verteilt sind, ist die Datenverzerrung gegeben. Wir wissen viel darüber, wie KI mit einfachen Anfragen umgeht, aber wir wissen sehr wenig darüber, wie sie mit komplexen, mehrstufigen Angriffen umgeht.
4. Die Empfehlungen: Wie man das Klassenzimmer repariert
Der Artikel schlägt vor, dass wir, wenn wir in Zukunft bessere „Prüfungsaufgaben" erstellen wollen, eine neue Checkliste befolgen müssen:
- Regeln vorab festlegen: Bevor die Prüfung erstellt wird, schreiben Sie genau auf, was Sie testen, damit Sie die Regeln nicht auf halbem Weg ändern.
- Ein Gremium menschlicher Richter verwenden: Verwenden Sie nicht nur eine KI zur Korrektur. Verwenden Sie eine diverse Gruppe von Menschen (oder eine Mischung aus Menschen und verschiedenen KIs), um sich darauf zu einigen, was als „Ablehnung" zählt.
- Den Einigungswert berichten: Veröffentlichen Sie eine Statistik, die zeigt, dass die Richter sich tatsächlich einig waren.
- Ein Standardwörterbuch verwenden: Einigen Sie sich auf eine einzige Liste von „schlechten Dingen" (Malware-Typen), damit alle dieselben Kategorien zählen.
- Die Tür abschließen: Wenn die Prüfung gefährliche Anweisungen enthält, machen Sie den Zugang schwierig (erfordern Sie eine Forscherbewerbung), damit böswillige Akteure sie nicht einfach herunterladen können.
- Einen Wächter benennen: Haben Sie eine spezifische Person, die für die Entfernung der Prüfung verantwortlich ist, wenn sie Schaden verursacht.
Zusammenfassung
Dieser Artikel ist eine „systematische Überprüfung", was bedeutet, dass er keine neuen Experimente durchgeführt hat. Stattdessen handelte er wie ein Bibliothekar, der in einen Raum mit 13 verschiedenen „Sicherheitstest"-Büchern trat, sie alle öffnete und feststellte: „Wir messen alle verschiedene Dinge mit kaputten Linealen, und wir lassen die gefährlichen Teile dieser Bücher offen für jeden, der sie findet."
Die Autoren fordern die Gemeinschaft auf, aufzuhören, diese Tests isoliert zu entwickeln, und beginnen, sich auf eine standardisierte, sichere und faire Methode zu einigen, um zu messen, ob KI wirklich verweigert, böse Dinge zu tun.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.