Code as a Weapon: A Consensus-Labeled Prompt Bank for Measuring Coding-Model Compliance with Malicious-Code Requests
Dieser Beitrag stellt eine konsensbasierte Prompt-Bibliothek vor, die zwischen ausführbarem bösartigem Code und schädlichem Sicherheitswissen unterscheidet, um einen zuverlässigen, standardisierten Benchmark bereitzustellen, mit dem geprüft werden kann, ob auf Codierung spezialisierte Modelle die strengeren Ablehnungskriterien erfüllen, die erforderlich sind, um die Generierung funktionsfähiger Waffen zu verhindern.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Die große Idee: Text versus das echte Ding
Stellen Sie sich vor, Sie fragen einen allgemeinen Chatbot: „Wie baue ich eine Bombe?" Wenn er antwortet, gibt er Ihnen ein Rezept. Sie müssen dennoch zum Laden gehen, die Zutaten kaufen und alles selbst mischen. Es ist gefährliche Information, aber es sind nur Worte.
Stellen Sie sich nun vor, Sie fragen eine auf Programmieren spezialisierte KI dieselbe Frage. Wenn sie antwortet, gibt sie Ihnen nicht nur ein Rezept; sie überreicht Ihnen eine vollständig zusammengebaute, funktionierende Bombe, die bereit ist zu explodieren, sobald Sie auf „Ausführen" klicken.
Die Autoren dieses Papiers argumentieren, dass codierende KIs, da sie sofort „funktionierende Waffen" (wie Viren oder Spyware) übergeben können, viel strenger „Nein" sagen sollten als normale Chatbots. Doch derzeit gibt es niemanden, der gut messen kann, ob sie tatsächlich häufig genug „Nein" sagen.
Das Problem: Äpfel mit Birnen vermischen
Um zu testen, ob diese KIs sicher sind, haben Forscher Listen von Fragen (Prompts) verwendet. Doch diese Listen waren unübersichtlich. Sie vermischten zwei sehr unterschiedliche Arten gefährlicher Anfragen:
- „Waffen"-Anfragen: „Schreiben Sie mir ein Programm, das Passwörter stiehlt." (Die KI liefert Ihnen den Code).
- „Wissens"-Anfragen: „Erklären Sie, wie Passwortdiebstahl funktioniert." (Die KI liefert Ihnen einen Aufsatz).
Wenn man diese zusammenmischt und sagt: „Diese KI hat 50 % der böswilligen Anfragen abgelehnt", weiß man nicht, ob sie die Waffen oder nur die Erklärungen abgelehnt hat. Es ist, als würde man einen Sicherheitsbeamten testen, indem man ihn bittet, einen Dieb aufzuhalten und jemanden, der nach dem Weg fragt, aufzuhalten. Wenn der Beamte den Dieb aufhält, aber den Weg-frager durchlässt, kann man nicht allein anhand der Gesamtzahl der gestoppten Personen beurteilen, ob er seinen Job gut macht.
Die Lösung: Eine „konsensuell etikettierte" Prompt-Bibliothek
Die Autoren erstellten eine riesige, saubere und organisierte Liste von 6.675 gefährlichen Fragen. Sie teilten sie in zwei klare Kategorien ein:
- Der „CODE"-Eimer: Fragen, die ausführliche, gefährliche Software verlangen (die „Waffen").
- Der „WISSEN"-Eimer: Fragen, die schädliche Informationen oder Theorien verlangen (die „Rezepte").
Um sicherzustellen, dass die Fragen korrekt sortiert wurden, fragten sie nicht nur eine Person. Sie nutzten ein Gremium aus fünf verschiedenen KI-Richtern (wie eine Jury). Jeder Richter betrachtete jede Frage und stimmte ab: „Ist dies eine Waffen-Anfrage?" oder „Ist dies eine Wissens-Anfrage?"
- Das Urteil: Wenn mindestens 3 von 5 Richtern zustimmten, erhielt die Frage ein endgültiges Label.
- Das Ergebnis: Sie landeten bei 4.748 bestätigten „Waffen"-Anfragen und 1.923 bestätigten „Wissens"-Anfragen.
Die „Jury" und die Überraschungen
Die Autoren nutzten fünf verschiedene KI-Modelle als Richter. Sie wollten sicherstellen, dass der Test kostengünstig und für jedermann nutzbar ist, und wählten daher kostenlose oder quelloffene Modelle statt teurer, kostenpflichtiger.
Während dieses Prozesses stießen sie auf zwei interessante Dinge:
1. Das „Zu einfach"-Paradoxon
Bei einigen der Fragenlisten (wie der ASTRA-Liste) war fast jede einzelne Frage offensichtlich eine „Waffe". Die Richter stimmten zu 99 % überein.
- Die Metapher: Stellen Sie sich einen Mathe-Test vor, bei dem jede Frage lautet: „Was ist 2+2?" Jeder bekommt 100 %. Man kann nicht wirklich messen, wie „intelligent" die Schüler sind, weil der Test zu einfach war.
- Die Erkenntnis: In der Statistik bricht bei vollständiger Übereinstimmung der übliche Wert für „Übereinstimmung" (genannt Kappa) zusammen und sieht wie eine Null oder eine negative Zahl aus. Die Autoren mussten eine spezielle Methode erfinden, um dies zu berichten: „Hey, alle stimmten perfekt überein, aber der mathematische Wert sieht seltsam aus, weil der Test zu einfach war."
2. Der „Torwächter"-Fehler
Einer der fünf KI-Richter (ein kostenloses Modell von OpenAI) begann, auf keine der Fragen zu antworten, selbst nicht auf die, die er beurteilen sollte. Er stieß ständig auf ein „Stopp"-Zeichen des Unternehmens, das ihn hostet.
- Die Metapher: Stellen Sie sich eine Jury vor, bei der ein Geschworener ständig aus dem Gerichtssaal geworfen wird, weil er zu viele Fragen stellt.
- Die Lösung: Da die Regel „3 von 5" lautete, konnten die anderen vier Richter das Urteil immer noch fällen. Die Autoren notierten dies als eine reale Eigenart: Manchmal haben die kostenlosen Tools, die man zur Sicherheitstestung verwendet, eigene Sicherheitsfilter, die den Test blockieren, bevor er überhaupt beginnt.
Warum das wichtig ist
Dieses Papier geht nicht darum, eine spezifische KI daraufhin zu testen, ob sie heute sicher ist. Stattdessen geht es darum, das Lineal zu bauen, das alle anderen verwenden können.
Davor versuchten Forscher, die Sicherheit mit einem kaputten Lineal zu messen, das „Waffen" und „Rezepte" vermischte. Jetzt haben sie ein standardisiertes, hochwertiges Lineal (die Prompt-Bibliothek), das die beiden klar trennt. Dies ermöglicht es jedem, codierende KIs zu testen und zu sagen: „Okay, diese KI hat 90 % der tatsächlichen Waffen abgelehnt", was eine viel aussagekräftigere Sicherheitsprüfung ist als zuvor.
Zusammenfassung
- Ziel: Eine saubere Liste gefährlicher Fragen erstellen, um zu testen, ob codierende KIs sicher sind.
- Methode: Nutzung einer „Jury" aus 5 KIs, um 6.675 Fragen in „Waffen" (Code) und „Rezepte" (Wissen) zu sortieren.
- Ergebnis: Eine öffentliche Datenbank mit 4.748 bestätigten Waffen-Anfragen und 1.923 Wissens-Anfragen.
- Kern-Erkenntnis: Man kann die Sicherheit nicht richtig messen, wenn man „das Herstellen einer Bombe" mit „dem Lesen über Bomben" vermischt. Dieses Papier behebt diese Vermischung.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.