💬 NLP

LASH: Adaptive Semantic Hybridization for Black-Box Jailbreaking of Large Language Models

Das Papier stellt LASH vor, ein Black-Box-Framework, das Outputs mehrerer heterogener Jailbreak-Strategien mittels eines genetischen Optimierers adaptiv kombiniert, um bei abgestimmten großen Sprachmodellen mit minimalen Abfragebudgets state-of-the-art-Erfolgsraten für Angriffe zu erzielen.

Ursprüngliche Autoren: Abdullah Al Nomaan Nafi, Fnu Suya, Swarup Bhunia, Prabuddha Chakraborty

Veröffentlicht 2026-05-21

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Abdullah Al Nomaan Nafi, Fnu Suya, Swarup Bhunia, Prabuddha Chakraborty

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einen sehr intelligenten, sehr vorsichtigen Roboter zu entsperren, der so programmiert wurde, dass er schädliche Anfragen ablehnt. Dieser Roboter ist ein „Large Language Model" (LLM). Im Laufe der Jahre haben Forscher versucht, diesen Roboter dazu zu bringen, seine Regeln zu brechen (ein Prozess, der als „Jailbreaking" bezeichnet wird), indem sie viele verschiedene Tricks anwandten. Einige Tricks beinhalten das Umformulieren der Anfrage auf eine lustige Weise, andere beinhalten das Vorgeben einer anderen Rolle, und wieder andere beinhalten das Auffordern des Roboters, ein Rätsel zu lösen, das die schädliche Anfrage verbirgt.

Das Problem ist, dass kein einzelner Trick bei jedem Roboter oder für jede Art von schädlicher Anfrage funktioniert. Manchmal funktioniert ein Trick mit einer „lustigen Geschichte", aber ein Trick mit „Rollenspiel" scheitert. Manchmal ignoriert der Roboter die Geschichte, verfällt aber dem Rollenspiel. Es ist wie der Versuch, eine Tür mit einem einzigen Schlüssel zu öffnen: Manchmal passt der Schlüssel, aber oft nicht.

Enter LASH: Der „Master-Key"-Hersteller

Die Arbeit stellt eine neue Methode namens LASH (LLM Adaptive Semantic Hybridization) vor. Anstatt zu versuchen, einen perfekten Trick zu erfinden, agiert LASH wie ein Meisterkoch oder ein Musikproduzent.

So funktioniert es, unter Verwendung einfacher Analogien:

1. Der „Samen-Salat" (Zusammenstellen der Zutaten)

Zuerst versucht LASH nicht, das Essen von Grund auf neu zu kochen. Stattdessen bittet es fünf verschiedene „Köche" (bestehende Jailbreak-Methoden), jeweils ein Gericht basierend auf derselben schädlichen Anfrage zu zubereiten.

Koch A macht eine scharfe Version.
Koch B macht eine süße Version.
Koch C macht eine salzige Version.
Koch D macht eine saure Version.
Koch E macht eine bittere Version.

Einige dieser Gerichte könnten schrecklich sein, und einige könnten in Ordnung sein, aber keines von ihnen ist für sich allein perfekt. LASH sammelt all diese „Samen-Gerichte" in einer Schüssel.

2. Der „Blender" (Mischen der Zutaten)

Dies ist der magische Teil. LASH wählt nicht einfach das beste Gericht aus. Es nimmt einen Blender. Es gibt alle Samen-Gerichte in den Blender, mischt sie aber nicht gleichmäßig.

Es fragt: „Wie viel von dem scharfen Gericht brauchen wir? Wie viel von dem süßen?"
Es verwendet einen intelligenten Computeralgorithmus (einen „genetischen Optimierer"), um das perfekte Rezept zu ermitteln. Es könnte sagen: „Verwenden Sie 80 % des scharfen, 10 % des süßen und 10 % des sauren."

Der Blender mischt diese Zutaten dann zusammen, um ein neues, einzigartiges Gericht (einen neuen Prompt) zu kreieren, das die besten Teile aller anderen kombiniert.

3. Der „Geschmackstest" (Überprüfung des Ergebnisses)

LASH füttert diesen neuen Mix dem vorsichtigen Roboter.

Wenn der Roboter ablehnt: LASH sagt: „Okay, dieses Rezept hat nicht funktioniert." Es geht zurück zum Blender, ändert die Mengen (vielleicht mehr scharf, weniger süß) und versucht es erneut.
Wenn der Roboter zustimmt: LASH sagt: „Erfolg! Wir haben die perfekte Mischung gefunden."

Warum ist das besser als zuvor?

Die Arbeit behauptet, dass frühere Methoden wie eine Person waren, die versucht, ein Schloss mit einem spezifischen Werkzeug (wie einem Schraubenzieher) zu öffnen. Wenn das Schloss einen Schlüssel benötigt, versagt der Schraubenzieher.

LASH ist wie ein Schweizer Taschenmesser, das sofort einen Schraubenzieher, ein Messer und einen Flaschenöffner zu einem einzigen, benutzerdefinierten Werkzeug kombinieren kann, das genau zu dem Schloss passt, das Sie öffnen möchten.

Was haben sie herausgefunden?

Die Forscher testeten LASH an sechs verschiedenen „Robotern" (KI-Modellen) und zehn verschiedenen Arten von schädlichen Anfragen (wie Aufforderungen zu Hassrede, Betrug oder gefährlichen Anweisungen).

Die Punktzahl: LASH gelang es, die Roboter in 84,5 % der Fälle zu täuschen (unter Verwendung einer einfachen Prüfung) und in 74,5 % der Fälle (unter Verwendung einer strengeren Prüfung, bei der ein menschenähnlicher KI-Richter überprüft, ob die Antwort tatsächlich hilfreich für die schädliche Anfrage war).
Vergleich: Dies war viel höher als bei jedem der einzelnen „Köche", die allein arbeiteten.
Effizienz: Dies geschah, während der Roboter im Durchschnitt nur etwa 30 Mal um Hilfe gebeten wurde, was sehr effizient ist.
Verteidigung: Selbst wenn die Roboter zusätzliche Sicherheitswachen (Verteidigungsmechanismen) hatten, die versuchten, sie aufzuhalten, war LASH immer noch die erfolgreichste Methode.

Die „Geheime Sauce" (Wie es im Inneren funktioniert)

Die Arbeit betrachtete auch innerhalb des Gehirns des Roboters (seine internen Schichten), während LASH arbeitete. Sie stellten fest, dass LASH nicht nur die Worte an der Oberfläche veränderte. Es leitete tatsächlich den internen Denkprozess des Roboters in einen Zustand, der eher dazu neigt, „Ja" zu schädlichen Anfragen zu sagen. Es ist, als hätte LASH nicht nur die Frage verändert, sondern die Stimmung des Roboters so verändert, dass er eher bereitwillig ist.

Zusammenfassung

LASH ist ein intelligentes System, das erkennt, dass kein einzelner Trick bei jeder KI funktioniert. Stattdessen sammelt es viele verschiedene Tricks, mischt sie in den perfekten Proportionen für jede spezifische Situation und erstellt einen benutzerdefinierten „Super-Prompt", den die KI viel schwerer ablehnen kann. Es betrachtet Jailbreaking nicht als einzelne Schlacht, sondern als Rezept zum Mischen von Zutaten, um das perfekte Ergebnis zu erzielen.

Technische Zusammenfassung: LASH (Adaptive Semantische Hybridisierung für Black-Box-Jailbreaks)

Problemstellung

Trotz Ausrichtungsverfahren wie Reinforcement Learning from Human Feedback (RLHF) und Constitutional AI bleiben Large Language Models (LLMs) anfällig für adversariales Prompting. Während automatisierte Jailbreak-Angriffe von manueller Erstellung zu white-box-basierten Gradientenmethoden (z. B. GCG) und black-box-iterativen Strategien (z. B. PAIR, TAP) fortgeschritten sind, besteht eine kritische Einschränkung: Bestehende automatische Methoden verpflichten sich typischerweise einer einzigen „Angriffsfamilie" (z. B. einer spezifischen Verfeinerungsschleife, einer Baumsuche, einem Mutationsraum oder einer Strategielibrary). Empirische Belege zeigen, dass keine einzelne Familie dominiert; die effektivste Methode variiert erheblich je nach Zielmodellarchitektur und spezifischer Kategorie des Schadens. Folglich versagen aktuelle Ansätze darin, die komplementären Stärken verschiedener Angriffsstrategien zu nutzen und verpassen oft erfolgreiche Jailbreaks, die durch die Kombination partieller Signale mehrerer Methoden erreicht werden könnten.

Methodik: LASH

Die Autoren stellen LASH (LLM Adaptive Semantic Hybridization) vor, ein Black-Box-Meta-Angriffsframework, das entwickelt wurde, um die Einschränkungen von Suchräumen einzelner Familien zu überwinden. LASH behandelt die Ausgaben mehrerer bestehender Black-Box-Angriffe als wiederverwendbare „Seed-Prompts" und setzt sie adaptiv für jede Zielanfrage zusammen. Das Framework operiert unter einem strengen Black-Box-Bedrohungsmodell und nimmt nur Query-Zugriff auf das Zielmodell an (kein Zugriff auf Gewichte, Gradienten oder versteckte Zustände).

Die LASH-Pipeline besteht aus vier Hauptphasen:

Aufbau des Seed-Pools: Für einen gegebenen Eingabe-Prompt $x$ führt LASH mehrere Basis-Black-Box-Angriffsmethoden (z. B. PAIR, TAP, AutoDAN-Turbo) mit absichtlich reduzierten Query-Budgets aus. Dies erzeugt einen Pool von Seed-Prompts $B(x) = \{b_1, \dots, b_n\}$ , wobei jeder Seed eine distincte Angriffsstrategie, ein Phrasierungsmuster oder eine strukturelle Transformation darstellt.
Teilmenge-Suche und gewichtete Hybridisierung: LASH sucht über Teilmengen des Seed-Pools und weist den ausgewählten Seeds kontinuierliche Mischgewichte zu. Für eine Teilmenge $S$ werden reellwertige Logits $z$ über eine Softmax-Funktion in normalisierte Mischgewichte $w$ umgewandelt. Ein Kompositions-LLM ( $M$ ) synthetisiert dann einen einzigen kohärenten Kandidaten-Prompt $p$ , indem es die gewichteten Seeds integriert:
$p = M(x, \{(b_i, w_i)\})$
Dieser Schritt stellt sicher, dass die Ausgabe ein Prompt in natürlicher Sprache ist und keine einfache textuelle Verkettung, wobei die Absicht der ursprünglichen Anfrage bewahrt und gleichzeitig die Stärken der Seeds gemischt werden.
Ableitungsfreie genetische Optimierung: Die Mischgewichte werden mittels eines genetischen Algorithmus (GA) optimiert. Der GA operiert ausschließlich auf den reellwertigen Logits (nicht auf dem Prompt-Text selbst) und mutiert diese unter Verwendung von Gaußschem Rauschen. Die Population entwickelt sich durch Elitismus (Auswahl der bestperformenden Genome) und Mutation. Dieser Ansatz hält die Optimierung leichtgewichtig und vollständig black-box.
Zweistufige Fitnessfunktion: Kandidaten werden unter Verwendung einer zweistufigen Metrik bewertet, um Effizienz und Genauigkeit auszubalancieren:
- Stufe 1 (Ablehnungserkennung): Ein auf Schlüsselwörtern basierender Detektor filtert Antworten heraus, die explizite Ablehnungsmarker enthalten. Kandidaten, die diese Stufe nicht bestehen, erhalten eine Punktzahl von 0.
- Stufe 2 (LLM-Richter-Bewertung): Antworten, die den Filter bestehen, werden von einem LLM-Richter (z. B. GPT-4o-mini) auf einer Skala von 0–10 bewertet, basierend darauf, wie substantiell sie die schädliche Anfrage erfüllen. Ein Schwellenwert $\tau$ (z. B. 9) bestimmt den Erfolg.

Hauptbeiträge

Adaptive Komposition: LASH ist das erste Framework, das Jailbreak-Ausgaben als komponierbare Komponenten behandelt und nach optimalen gewichteten Kombinationen über heterogene Angriffsfamilien sucht, anstatt sich auf eine einzige Suchtrajektorie zu verlassen.
Black-Box-Effizienz: Das Framework erfordert keinen White-Box-Zugriff, keine Surrogatmodelle und keine Feinabstimmung von Komponenten. Es verlässt sich ausschließlich auf Feedback auf Antwortebene und ableitungsfreie Optimierung.
Mechanistische Einsicht: Die Arbeit liefert Belege dafür, dass der Erfolg von LASH nicht lediglich auf oberflächlicher Formulierung beruht, sondern interne Modellrepräsentationen erzeugt, die näher an erfolgreichen Jailbreak-Trajektorien liegen.

Experimentelle Ergebnisse

Die Autoren bewerteten LASH auf JailbreakBench, einem standardisierten Benchmark mit 100 schädlichen Prompts über 10 Kategorien, der sechs diverse Modelle (einschließlich Llama-2/3, Vicuna, Gemini und GPT-Varianten) ins Visier nahm.

Angriffserfolgsrate (ASR): LASH erreichte eine durchschnittliche ASR1 (schlüsselwortbasiert) von 84,5 % und eine ASR2 (zweistufiger LLM-Richter) von 74,5 %. Dies übertraf signifikant fünf State-of-the-Art-Baselines (PAIR, TAP, AutoDAN, AutoDAN-Turbo, FlipAttack), die bei ASR2 zwischen 27,5 % und 40,67 % lagen.
Query-Effizienz: LASH erreichte diese Ergebnisse mit einem Durchschnitt von nur 30 Ziel-Queries pro Prompt, verglichen mit Baselines, die oft deutlich mehr benötigten (z. B. PAIR mit durchschnittlich ~90 Queries).
Robustheit: Unter drei Verteidigungsmechanismen (SmoothLLM, Llama Guard und Perplexity Filtering) blieb LASH wettbewerbsfähig und erreichte eine durchschnittliche ASR2 von 41,50 % (SmoothLLM), 18,00 % (Llama Guard) und 70,83 % (Perplexity), wobei es die stärksten Baselines im Allgemeinen übertraf oder mit ihnen gleichzog.
Mechanistische Analyse: Sonden- und Aktivierungs-Patching-Experimente zeigten, dass LASH-Prompts „erfolgsähnliche" interne Repräsentationen in den Zwischenschichten des Zielmodells (insbesondere Schichten 10–18) induzieren, die sich von denen unterscheiden, die durch gescheiterte Seed-Prompts ausgelöst werden. Das Patchen von LASH-Aktivierungen in gescheiterte Seed-Läufe erhöhte die Erfolgswahrscheinlichkeit und bestätigte, dass die Hybridisierung qualitativ unterschiedliche interne Zustände erzeugt.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass adaptive Komposition über heterogene Jailbreak-Strategien eine vielversprechende Richtung für Black-Box-Red-Teaming darstellt. Die Autoren argumentieren, dass die „Komplementarität" verschiedener Angriffsfamilien – wobei die Schwäche einer Methode die Stärke einer anderen ist – eine Ressource ist, die Methoden einzelner Familien nicht nutzen können. Indem LASH die Optimierungseinheit von einzelnen Prompts auf Mischungen von Angriffsoutputs hebt, zeigt es, dass ein Meta-Angriff die Summe seiner Teile systematisch übertreffen kann.

Die Autoren positionieren LASH als Werkzeug für die Sicherheitsbewertung vor dem Einsatz und heben seinen Dual-Use-Charakter hervor. Sie stellen ausdrücklich fest, dass die Methode auf die Optimierung von Single-Turn-Prompts beschränkt ist und derzeit nicht verteidigungsbewusst ist, was zukünftige Arbeiten in der Mehr-Turn-Planung und der sicherheitsadaptiven Komposition nahelegt. Die Ergebnisse deuten darauf hin, dass aktuelle Sicherheitsausrichtungen möglicherweise fragiler sind als bisher angenommen, da sie durch die dynamische Synthese von Strategien umgangen werden können, die spezifische Ablehnungsauslöser und interne Sicherheitsprüfungen umgehen.