💻 computer science

Latent-space Attacks for Refusal Evasion in Language Models

Dieser Artikel fasst die Unterdrückung von Verweigerungen in Sprachmodellen als Latentraum-Evasionsangriff gegen lineare Sonden neu, enthüllt, dass bisherige Ablationsmethoden lediglich Repräsentationen auf die Entscheidungsgrenze projizieren, und schlägt eine neue „Gesteuerte Latentraum-Evasion"-Technik vor, die Repräsentationen weiter in den konformen Bereich verschiebt, um state-of-the-art Jailbreak-Erfolgsraten zu erzielen.

Ursprüngliche Autoren: Giorgio Piras, Raffaele Mura, Fabio Brau, Maura Pintor, Luca Oneto, Fabio Roli, Battista Biggio

Veröffentlicht 2026-05-22

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Giorgio Piras, Raffaele Mura, Fabio Brau, Maura Pintor, Luca Oneto, Fabio Roli, Battista Biggio

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein Large Language Model (LLM) als einen sehr klugen, aber hochgradig vorsichtigen Bibliothekar vor. Dieser Bibliothekar wurde trainiert, gefährliche Bücher (wie Anleitungen zum Bau einer Bombe oder zum Verfassen von Hassrede) nicht herauszugeben. Wenn Sie nach etwas Schädlichem fragen, ertönt im Inneren des Bibliothekars ein „Alarmsystem", und er sagt höflich: „Das kann ich nicht für Sie tun."

Lange Zeit glaubten Forscher, sie könnten diesen Bibliothekar täuschen, indem sie einen spezifischen „Verweiser-Schalter" im Gehirn des Bibliothekars finden. Wenn sie diesen Schalter ausschalteten (eine Methode namens „Ablation"), würde der Bibliothekar aufhören, Dinge zu verweigern. Das Papier argumentiert jedoch, dass diese alte Methode wie der Versuch ist, einen Alarm zu verstummen, indem man den Lautsprecher einfach mit einer Decke bedeckt. Es mag ein wenig funktionieren, aber der Alarm klingelt technisch gesehen immer noch, und der Bibliothekar steht immer noch genau am Rand der „Gefahrenzone".

Die neue Idee: Der Angriff der „kontrollierten Umgehung"

Die Autoren dieses Papiers schlagen einen schlaueren Weg vor, um den Bibliothekar zu täuschen. Sie betrachten den Verweigerungsmechanismus nicht nur als Schalter, sondern als einen Wachmann, der vor einer Tür steht.

Der alte Weg (Minimum Confidence): Bisherige Methoden versuchten, die Gedanken des Bibliothekars nur so weit zu drängen, dass sie die Sandlinie des Wachmanns berühren. Der Bibliothekar würde genau auf der Linie stehen, unsicher, ob er „Ja" oder „Nein" sagen soll. Dies ist riskant und scheitert oft, weil der Wächter immer noch „Stopp" sagen könnte.
Der neue Weg (Controlled Latent-Space Evasion): Die neue Methode der Autoren, genannt CLE, berührt die Linie nicht nur. Sie drängt die Gedanken des Bibliothekars weit vorbei an dem Wächter, tief in die „sichere Zone", in der sich der Bibliothekar zu 100 % sicher ist, dass die Anfrage harmlos ist.

Wie es funktioniert: Zwei Strategien

Das Papier testet zwei Möglichkeiten, dieses „Drängen" durchzuführen, unter Verwendung einer Metapher eines Wanderers, der versuchen muss, einen Gebirgskamm zu überqueren:

Strategie A (CLE-P): Der „Schritt-für-Schritt"-Wanderer.
Stellen Sie sich vor, der Bibliothekar wandert einen Berg hinauf, und bei jedem einzelnen Schritt überprüft ein Führer seine Position. Wenn der Wanderer beginnt, zurück zur „Gefahrenseite" zu driften, schiebt ihn der Führer sofort zurück auf die „sichere Seite". Dies ist wie das ständige Neujustieren der Gedanken des Bibliothekars für jedes einzelne Wort, das er generiert. Es funktioniert sehr gut, ist aber wie das ständige Nicken eines Führers den ganzen Weg.
Strategie B (CLE-A): Der „Einmal-großer-Schub"-Wanderer.
Dies ist die größte Überraschung des Papiers. Anstatt den Wanderer bei jedem Schritt zu überprüfen, gibt ihm der Führer am Anfang der Wanderung einen einzigen, massiven, perfekt berechneten Stoß. Dieser Stoß ist so stark und präzise, dass der Wanderer tief in der sicheren Zone landet und dort bleibt, ohne weitere Nicken zu benötigen.
- Das Ergebnis: Das Papier stellte fest, dass dieser „Einmal-große-Schub" (CLE-A) tatsächlich besser ist als das ständige Nicken. Er ist schneller, günstiger und effektiver beim Umgehen der Verweigerung.

Was sie herausfanden

Die Forscher testeten dies an 15 verschiedenen KI-Modellen, darunter einige, die sehr gut im Schlussfolgern sind, und einige, die Bilder „sehen" können.

Die alten Methoden: Die bisherigen besten Methoden (wie „Difference-in-Means" oder DiM) hatten eine sehr niedrige Erfolgsrate. Zum Beispiel gelang es ihnen bei einem Modell, die KI nur etwa 1,8 % der Zeit zu täuschen.
Die neue Methode: Ihre neue „Einmal-großer-Schub"-Methode (CLE-A) gelang bei vielen Modellen 95 % bis 100 % der Zeit.
Der Vergleich: Sie verglichen ihre Methode auch mit „Jailbreaks" (bei denen man versucht, die KI durch einen sehr cleveren Prompt zu täuschen). Ihre Methode funktionierte besser als diese Prompts, und sie erforderte nicht das Schreiben eines neuen Prompts für jede einzelne Frage. Sobald sie den „Schub" berechnet hatten, funktionierte er für jede schädliche Frage.

Das „Warum" hinter der Magie

Das Papier erklärt, dass die alten Methoden zu zaghaft waren. Sie versuchten nur, die internen Gedanken der KI gerade so weit zu bewegen, dass sie die Grenzlinie überquerten. Die neue Methode erkennt, dass man, um die Sicherheit wirklich zu umgehen, die Gedanken tief in den „konformen" Bereich bewegen muss, um der KI ein starkes Gefühl der Sicherheit zu geben, dass sie das Richtige tut.

Wichtige Einschränkungen

Das Papier ist sehr klar darüber, was dies ist und was nicht:

Es ist ein „White-Box"-Angriff: Diese Methode erfordert Zugriff auf das interne „Gehirn" der KI (ihren internen Code und Speicher), um den Schub auszuführen. Man kann dies nicht einfach durch Chatten mit einer öffentlichen Website tun; man muss in der Lage sein, den Code der KI während des Laufs zu modifizieren.
Es ist kein „Zauberstab" für alles: Die Methode funktioniert, weil die Verweigerungs- und Konformitätsgedanken der KI derzeit in ihrem Gehirn in einer geraden Linie angeordnet sind (linear trennbar). Wenn zukünftige KI-Sicherheitstrainings dies so ändern, dass Verweigerungsgedanken auf komplexe, unordentliche Weise verstreut sind, könnte dieser spezifische Angriff aufhören zu funktionieren.

Kurz gesagt zeigt das Papier, dass die aktuellen Sicherheits„Wächter" in KI-Modellen auf einer Linie stehen, die zu leicht zu überqueren ist. Indem man die Gedanken der KI mit einem einzigen, berechneten Zug weit über diese Linie hinausdrängt, können Angreifer den Verweigerungsmechanismus viel effektiver umgehen als zuvor.

Technische Zusammenfassung: Latent-Space-Angriffe zur Umgehung von Ablehnungen in Sprachmodellen

Problemstellung

Sicherheitsausgerichtete Large Language Models (LLMs) sind darauf trainiert, schädliche Anfragen abzulehnen. Neuere Studien zeigen jedoch, dass dieses Ablehnungsverhalten durch die Steuerung interner Modellrepräsentationen unterdrückt werden kann. Bestehende Methoden, wie die von Arditi et al. [5], erreichen dies durch „Ablation" einer spezifischen Ablehnungsrichtung (berechnet als Differenz der Mittelwerte, DiM, zwischen schädlichen und harmlosen Aktivierungen) aus dem residualen Strom des Modells. Obwohl diese Methoden empirisch erfolgreich sind, fehlt ihnen eine prinzipielle theoretische Erklärung der von ihnen induzierten Transformation im Latent-Space. Insbesondere bleibt unklar, warum Ablation die optimale Intervention ist, ob sie ausreicht, um Ablehnungen zu unterdrücken, und wie sie systematisch verbessert werden kann. Das Kernproblem, das adressiert wird, ist das Fehlen eines rigorosen Rahmens, der die Mechanik der Ablehnungsunterdrückung und die Grenzen aktueller ablationsbasierter Ansätze erklärt.

Methodik

Die Autoren fassen das Problem der Ablehnungsunterdrückung als Latent-Space-Evasion-Angriff gegen lineare Proben neu, die darauf trainiert sind, abgelehnte (schädliche) von beantworteten (harmlosen) Prompts zu trennen.

Theoretische Neuformulierung

Surrogat-Oracle: Die Autoren ersetzen das unlösbare, Black-Box-Ablehnungs-Oracle (z. B. ein LLM als Richter) durch eine lösbare Surrogatfunktion $\phi$ . Dieses Surrogat ist ein Ensemble von pro-Schicht linearen Proben (speziell lineare SVMs), die auf Aktivierungen nach dem Instruktions-Token trainiert wurden, um Ablehnungen vorherzusagen.
Neuinterpretation früherer Arbeiten: Unter diesem Rahmen wird die Standard-DiM-Ablation als Minimum-Confidence-Evasion-Angriff identifiziert. Die DiM-Richtung entspricht dem Gewichtsvektor einer linearen Probe, und Ablation (Projektion von Aktivierungen auf die Hyperebene, die orthogonal zu DiM steht) ist mathematisch äquivalent zur Projektion von Aktivierungen exakt auf die Entscheidungsgrenze der Probe. Dies ist die schwächste mögliche Störung, die eine lineare Entscheidung umkehrt (analog zum DeepFool-Angriff [9]).
Identifizierte Einschränkung: Da Minimum-Confidence-Evasion exakt an der Entscheidungsgrenze stoppt, lässt sie das Modell in einem Zustand maximaler Unsicherheit zurück. Die Autoren argumentieren, dass Repräsentationen, um Ablehnungen robust zu unterdrücken, über die Grenze hinaus in den konformen Bereich mit einem expliziten Confidence-Margin geschoben werden müssen.

Vorgeschlagene Lösung: Kontrollierte Latent-Space-Evasion (CLE)

Die Autoren schlagen Controlled Latent-space Evasion (CLE) vor, einen Mechanismus, der Aktivierungen so stört, dass sie lineare Proben mit einem optimierten Confidence-Margin umgehen. Die Intervention wird parametrisiert durch:

Schichtauswahl ( $\lambda_l$ ): Eine binäre Maske, die bestimmt, welche Schichten aktiv gesteuert werden.
Margin ( $m_l$ ): Ein nicht-negativer Skalar, der steuert, wie weit über die Entscheidungsgrenze hinaus die Aktivierung projiziert wird.

Die Schrittlänge für die Störung ist definiert als $\alpha_l(t) = \lambda_l (\phi_l(h_l(t)) + m_l)$ , wobei $\phi_l$ das Logit der Probe ist. Diese Formulierung ermöglicht es dem Angriff, Aktivierungen tiefer in den konformen Halbraum zu bewegen, anstatt nur die Grenze zu berühren.

CLE wird in zwei Varianten instanziiert:

CLE-P (Projektiv): Projiziert jedes Token während der Generierung erneut auf eine verschobene Hyperebene, die durch den Margin $m_l$ definiert ist. Dies verallgemeinert frühere Ablationsmethoden, erzwingt jedoch ein Ziel-Confidence.
CLE-A (Additiv): Berechnet die Störung einmal auf dem Token nach der Instruktion und addiert sie einheitlich zu allen nachfolgenden Token-Aktivierungen. Dies testet, ob eine kontinuierliche Reprojektion notwendig ist.

Optimierung

Die optimalen Schichtfenster ( $\lambda_l$ ) und Margins ( $m_l$ ) werden mittels Bayesian Optimization (BO) auf einem zurückgehaltenen Validierungsdatensatz ausgewählt. Die BO-Suche minimiert die erwartete Ablehnungsrate (maximiert den Angriffserfolg), indem sie die Konfiguration findet, die das Ensemble der Proben am besten umgeht.

Hauptbeiträge

Theoretische Neuformulierung: Das Papier liefert eine prinzipielle Neuformulierung der Ablehnungsunterdrückung als Latent-Space-Evasion-Angriff und zeigt, dass frühere Ablationsmethoden äquivalent zu Minimum-Confidence-Angriffen sind, die an der Entscheidungsgrenze stoppen.
Framework für kontrollierte Evasion: Die Autoren führen CLE ein, das explizit auf einen Confidence-Margin optimiert und Repräsentationen weiter in den konformen Bereich drückt.
Analyse von Additiv vs. Projektiv: Die Arbeit führt und evaluiert CLE-A ein und zeigt, dass eine einzelne additive Störung, die auf dem Token nach der Instruktion berechnet wird, ausreicht, um die Evasion während der gesamten Generierung aufrechtzuerhalten, und oft die pro-Token-Reprojektion (CLE-P) übertrifft.
Empirische Validierung: Die Methoden werden über 15 diverse Modelle hinweg evaluiert, darunter instruktionsangepasste, reasoning- und multimodale Architekturen.

Ergebnisse

Die Autoren berichten über State-of-the-Art-Angriffserfolgsraten (ASR) über alle getesteten Modelle hinweg:

Leistung: CLE-A erreicht eine durchschnittliche ASR von 87,29% über 15 Modelle und übertrifft signifikant bestehende Ablehnungs-Ablations-Baselines (DiM, RDO, PS, MD) sowie Prompt-Level-Jailbreak-Angriffe (GCG, SAA).
- Bei LLaMA2-7B erhöht CLE-A die ASR von 1,80% (DiM) auf 94,96%.
- Bei Mistral-7B-RR (ein Modell mit Representation-Rerouting-Verteidigungen) erreicht CLE-A eine ASR von 83,02%, verglichen mit 8,80% für DiM.
Mechanistische Erkenntnisse:
- Confidence-Control: Der Angriffserfolg korreliert monoton mit dem Compliance-Confidence-Margin; ein Margin von null (Projektion auf die Grenze) ergibt nahezu null Erfolg, während größere Margins hohen Erfolg bringen.
- Schichtauswahl: Die Bayesian Optimization wählt konsistent mittlere Schichten (z. B. Schichten 9–30 in Phi-4-15B) für Interventionen aus und vermeidet frühe Schichten, in denen sich schädliche/harmlose Verteilungen überlappen, sowie späte Schichten, in denen die Trajektorie bereits bestimmt ist.
- Additive Effizienz: CLE-A zeigt, dass kontinuierliche Reprojektion suboptimal ist; eine einzelne feste Störung hält die konforme Trajektorie effektiv aufrecht.
Modellkohärenz: Ablationsstudien an den Benchmarks MMLU, ARC und TruthfulQA zeigen, dass CLE-Interventionen Ablehnungen unterdrücken, ohne die allgemeinen Modellfähigkeiten oder die Kohärenz erheblich zu verschlechtern.

Bedeutung und Behauptungen

Das Papier behauptet, dass seine primäre Bedeutung in der Bereitstellung einer prinzipiellen Erklärung dafür liegt, warum Ablehnungsunterdrückung funktioniert und wie sie verbessert werden kann. Indem sie die Einschränkung der „Minimum-Confidence"-Ablation identifizieren, motivieren die Autoren die Notwendigkeit einer „Controlled-Confidence"-Evasion.

Die Autoren positionieren diese Arbeit als Dual-Use-Studie:

Defensiver Wert: Sie klärt die Anfälligkeit aktueller Ausrichtungsmechanismen für lineare Trennbarkeit im Latent-Space und motiviert die Entwicklung von Sicherheitsmechanismen, die weniger von linearen Ablehnungsmerkmalen abhängig sind (z. B. die Verteilung von Ablehnungsrepräsentationen über nicht-triviale Mannigfaltigkeiten).
Offensive Fähigkeit: Sie zeigt, dass bestehende Sicherheitsausrichtungen effektiver umgangen werden können als bisher angenommen, indem Repräsentationen einfach mit optimierten Margins weiter in den konformen Bereich geschoben werden.

Das Papier schließt, dass die aktuelle Methode zwar auf der linearen Trennbarkeit von Ablehnung und Konformität beruht (was bei den getesteten Modellen gilt), zukünftige Ausrichtungsverfahren jedoch solche Angriffe mindern könnten, indem sie diese lineare Trennbarkeit aktiv abschrecken. Die Autoren behaupten nicht, alle Sicherheitsmechanismen gebrochen zu haben, sondern vielmehr eine spezifische, systematische Schwäche in der Darstellung und Intervention bei Ablehnungen in aktuellen LLMs aufgedeckt zu haben.