💻 computer science

The Geometry of Refusal: Linear Instability in Safety-Aligned LLMs

Dieses Paper führt Contrastive Logit Steering (CLS) ein, ein Zero-Optimization-Framework, das die Sicherheitsausrichtung in LLMs als manipulierbares lineares Merkmal offenlegt und sowohl hocherfolgreiche Jailbreaks durch Steuerung der Ausgabeverteilungen als auch eine verbesserte Verteidigung durch Vektorinversion ohne erneutes Training ermöglicht.

Ursprüngliche Autoren: Shivam Ratnakar, Kartikeya Vats

Veröffentlicht 2026-06-23

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Shivam Ratnakar, Kartikeya Vats

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein Large Language Model (LLM) als einen sehr klugen, hochtrainierten Assistenten vor, dem eine strikte Regel beigebracht wurde: „Tu niemals etwas Schädliches.“ Lange Zeit dachten wir, diese Regel sei tief in das Gehirn des Assistenten eingewoben, wie ein fundamentaler Teil seiner Persönlichkeit. Aber dieses Paper legt etwas anderes nahe: Die Regel ist eher wie ein Klebezettel, der auf die allerletzte Seite seiner Antwort geklebt wurde, statt ein tief verwurzelter Glaube zu sein.

Hier ist die Aufschlüsselung der Ergebnisse des Papers unter Verwendung einfacher Analogien:

1. Die „Klebezettel“-Theorie (Die Kernentdeckung)

Die Forscher entdeckten, dass Sicherheit für viele populäre KI-Modelle (wie Llama) kein komplexer, tiefer Denkprozess ist. Stattdessen ist sie ein lineares Merkmal – eine einzige, gerade Linie in der Mathematik, die das Modell verwendet, um zwischen „Ja“ und „Nein“ zu entscheiden.

Die Analogie: Stellen Sie sich vor, die KI ist ein Koch, der eine Mahlzeit zubereitet.
- Alte Sichtweise: Wir dachten, der Koch besitze einen tiefen, inneren moralischen Kompass, der ihn schon ganz am Anfang des Rezepts davon abhält, Gift zu kochen.
- Neue Sichtweise: Der Koch kocht das Giftgericht exakt genauso wie ein sicheres Gericht. Die „Sicherheit“ ist nur eine einzige Anweisung, die auf einem Klebezettel am Ende steht: „Serviere dies nicht.“ Wenn man diesen Klebezettel abzieht, serviert der Koch bereitwillig das Giftgericht.

2. Das neue Werkzeug: „Contrastive Logit Steering“ (CLS)

Die Autoren entwickelten ein Werkzeug namens CLS, um diese Theorie zu testen. Anstatt zu versuchen, die KI mit verwirrenden Rätseln oder langen, komplexen Prompts zu überlisten (so wie Hacker normalerweise versuchen, die Sicherheit zu brechen), nutzt CLS einfache Mathematik.

So funktioniert es:
1. Die Forscher stellen der KI zweimal dieselbe Frage: einmal mit einer „sicheren“ Anweisung und einmal mit einer „unbeschränkten“ Anweisung.
2. Sie betrachten den Unterschied zwischen den beiden Antworten. Dieser Unterschied ist der „Refusal Vector“ (die mathematische Repräsentation des „Neins“).
3. Sie subtrahieren dann dieses „Nein“ von der endgültigen Antwort der KI, bevor sie spricht.
Das Ergebnis: Es ist, als würde man den Klebezettel vom Teller des Kochs abziehen. Die KI, die gerade noch dabei war zu sagen: „Das kann ich nicht tun“, sagt plötzlich: „Klar, hier ist die Anleitung dazu.“

3. „Late Decision“ vs. „Early Divergence“

Das Paper fand heraus, dass nicht alle KI-Modelle gleich sind. Sie fallen in zwei Kategorien ein, bassten darauf, wann sie entscheiden, eine schädliche Anfrage abzulehnen:

Die „Late Decision“-Modelle (z. B. Llama-3.1):
- Analogie: Diese Modelle sind wie ein Schüler, der der gesamten Vorlesung zuhört, Notizen macht und erst in der allerletzten Sekunde, kurz bevor er die Prüfung abgibt, sich erinnert: „Oh Warte, ich soll das eigentlich nicht schreiben.“
- Verwundbarkeit: Da sie bis zum allerletzten Moment warten, um die Entscheidung zu treffen, können die Forscher mit ihrem Werkzeug (CLS) sie leicht umgehen. Sie erreichten eine Erfolgsquote von 95 %, um diese Modelle dazu zu bringen, innerhalb von nur einer Sekunde mit schädlichen Anfragen mit „Ja“ zu antworten.
Die „Early Divergence“-Modelle (z. B. Qwen-2.5):
- Analogie: Diese Modelle sind wie ein Schüler, der schon mitten in der Vorlesung realisiert: „Dieses Thema ist tabu“, und sofort aufhört, zu diesem Thema Notizen zu machen.
- Ergebnis: Sie sind viel schwerer zu knacken. Da die Sicherheitsentscheidung tief im Denkprozess stattfindet (und nicht erst am Ende), funktioniert das einfache Abziehen des „Klebezettels“ am Ende hier nicht so gut. Sie sind robuster.

4. Geschwindigkeit und Effizienz

Das Paper hebt hervor, dass diese Methode unglaublich schnell ist im Vergleich zu bisherigen Hack-Versuchen.

Alter Weg (GCG): Zu versuchen, eine magische Phrase zu finden, um die KI auszutricksen, ist wie der Versuch, ein Schloss zu knacken, indem man jeden einzelnen Schlüssel an einem riesigen Schlüsselbund ausprobiert. Das dauert etwa 15 Minuten pro Versuch und scheitert oft.
Neuer Weg (CLS): Dies ist, als hätte man einen Generalschlüssel, der die Tür sofort öffnet. Es dauert eine Sekunde und funktioniert fast jedes Mal bei den „Late Decision“-Modellen.

5. Das „Doppelschwert“ (Verteidigung)

Die überraschendste Erkenntnis ist, dass dieser mathematische Trick auch dazu verwendet werden kann, die KI zu schützen, nicht nur um sie zu brechen.

Die Analogie: Wenn man das „Nein“ abziehen kann, um die KI dazu zu bringen, bei schlechten Dingen „Ja“ zu sagen, kann man auch mehr „Neins“ hinzufügen, um sie besonders streng zu machen.
Das Ergebnis: Indem die Forscher die Mathematik umkehrten (das „Ja“-Streben subtrahierten), machten sie die Modelle resistenter gegen Jailbreaks, ohne sie neu trainieren zu müssen. Zudem klangen die Antworten der KI dadurch selbstbewusster und weniger zögerlich.

Zusammenfassung

Das Paper argumentiert, dass die aktuellen Sicherheitsmaßnahmen in vielen KI-Modellen oberflächlich sind. Sie sind wie eine dünne Farbschicht über einer tiefen Fähigkeit. Die Forscher fanden einen Weg, diese Farbschicht sofort mit einfacher Mathematik abzukratzen. Während dies eine Schwachstelle aufzeigt, bietet es auch eine neue Möglichkeit, zu verstehen, wie KI denkt, und bietet ein Werkzeug, um KI sicherer zu machen, indem man diese „Farbschicht“ effektiver verstärkt.

Wichtigste Erkenntnis: Sicherheit in diesen Modellen ist oft ein „oberflächliches“ Merkmal, das mit einem einfachen mathematischen Schalter ein- oder ausgeschaltet werden kann, anstatt ein tiefer, unveränderlicher Teil der Intelligenz des Modells zu sein.

Technisches Resümee: Die Geometrie der Verweigerung: Lineare Instabilität in sicherheitsorientierten LLMs

Problemstellung

Trotz der weit verbreiteten Anwendung von Techniken zur Sicherheitsausrichtung, wie etwa Reinforcement Learning from Human Feedback (RLHF), bleibt die mechanistische Basis, wie Large Language Models (LLMs) schädliche Anfragen verweigern, undurchsichtig. Eine kritische offene Frage ist, ob die Einhaltung von Sicherheitsrichtlinien eine tiefe semantische Bedeutung von Schaden darstellt oder lediglich ein oberflächliches, manipulierbares lineares Merkmal ist. Aktuelle Adversarial Attacks verlassen sich oft auf rechenintensive Optimierung (z. B. GCG) oder iterative Suche, was gegen moderne Sicherheitstrainings scheitern kann. Diese Arbeit untersucht, ob Sicherheit als lineares geometrisches Merkmal im Aktivierungsraum des Modells kodiert ist, das durch direkte arithmetische Intervention auf den Output-Logits umgangen oder verstärkt werden kann.

Methodik: Contrastive Logit Steering (CLS)

Die Autoren führen Contrastive Logit Steering (CLS) ein, ein Zero-Optimierungs-Framework, das direkt auf der Output-Verteilung (Logits) des Modells operiert, anstatt auf internen Hidden Activations.

Kernmechanismus

Kontrastives Prompting: Für eine gegebene Nutzeranfrage $q$ $q$ führt das Modell drei parallele Vorwärtsläufe unter Verwendung unterschiedlicher System-Prompts durch:
- Base ( $s_{base}$ ): Ein neutraler Instruktionssatz (z. B. „Du bist ein hilfreicher Assistent“).
- Unrestricted ( $s_{+}$ ): Eine adversarielle Instruktion, die Sicherheitsbeschränkungen entfernt.
- Restricted ( $s_{-}$ ): Eine restriktive Instruktion, die extreme Sicherheit erzwingt.
Vektor-Isolierung: In jedem Dekodierungsschritt $t$ berechnet die Methode einen instantanen Steering Vector $v_t$ durch Subtraktion der Logits des restriktiven Streams vom unrestricted Stream:
$v_t = z^+_t - z^-_t$
Dieser Vektor isoliert die „Refusal Direction“ – die spezifische geometrische Richtung im Logit-Raum, die die binäre Unterscheidung zwischen Compliance und Verweigerung kodiert.
Logit-Intervention: Die Base-Logits des Modells werden moduliert, indem der skalierte Steering Vector addiert wird:
$\tilde{z}_t = z^{base}_t + \alpha \cdot v_t$
- Jailbreaking ( $\alpha > 0$ ): Injiziert das „unrestricted“ Verhalten und unterdrückt Sicherheits-Token.
- Hardening ( $\alpha < 0$ ): Subtrahiert das „unrestricted“ Verhalten und induziert künstlich Sicherheit.
Prefix Injection: Um den anfänglichen Verweigerungsreflex des Modells zu umgehen (bei dem Modelle oft sofort „Ich kann nicht“ ausgeben), erzwingt die Methode die ersten $k$ Token eines affirmativen Präfix (z. B. „Sicher“), bevor der Steering Vector auf nachfolgende Token angewendet wird.

Detektionsmechanismus

Das Framework nutzt zudem die geometrische Separabilität der Verweigerung für die Zero-Shot-Detektion. Durch die Berechnung eines Global Refusal Vectors aus der Differenz der finalen Layer-Hidden-States zwischen schädlichen und harmlosen Anker-Anfragen kann das System neue Anfragen basierend auf der Kosinus-Ähnlichkeit klassifizieren, ohne einen separaten Klassifikator zu trainieren.

Wichtige Beiträge

CLS als diagnostische Sonde: Das Paper liefert ein Zero-Shot, Logit-basiertes Steering-Framework, das mechanistische Beweise dafür liefert, dass Sicherheit in Architekturen wie Llama als oberflächlicher „Wrapper“ fungiert und nicht als tiefe semantische Beschränkung.
Topologie der Verweigerung: Durch eine KL-Divergenz-Analyse über die Netzwerktiefe identifizieren die Autoren zwei unterschiedliche Sicherheits-Topologien:
- „Late Decision“-Modelle (z. B. Llama-3.1): Diese Modelle verarbeiten schädliche und harmlose Anfragen für ~95 % ihrer Layer identisch und divergieren erst am finalen Output-Head. Dies macht sie hochgradig anfällig für Logit-Level-Steering.
- „Early Divergence“-Modelle (z. B. Qwen-2.5): Diese Modelle integrieren Sicherheit mitten in der Berechnung (~40 % Tiefe), was sie signifikant robuster gegenüber linearem Steering macht, da der Verweigerungsmechanismus mit dem Reasoning verflochten ist.
Empirische Baselines: Die Arbeit bietet direkte Vergleiche gegen etablierte Aktivierungs-Level-Steering-Methoden (Arditi et al., 2024) und Optimierungs-basierte Attacks (GCG) und zeigt, dass Interventionen auf Logit-Ebene eine größere Alignment-Fragilität offenbaren.
Bidirektionale Kontrolle: Die Methode ermöglicht sowohl Attack (Jailbreaking) als auch Defense (Safety Hardening) über einen einzigen Vektor. Die Invertierung des Steering-Vektors ( $\alpha < 0$ ) zeigte, dass dies Modelle gegen Jailbreaks „härtet“ und entgegenläufig die Antwortkohärenz verbessert, indem es Ambiguität reduziert.

Experimentelle Ergebnisse

Die Autoren evaluierten CLS über sieben Modellfamilien (Gemma-3, Llama-3.1/3.2/3.3, Qwen-2.5) unter Verwendung von Datensätzen wie AdvBench, JailbreakBench und HarmBench.

Attack Success Rate (ASR) vs. GCG: Auf Llama-3.1-8B erreichte GCG nur 5 % ASR nach 100 Optimierungsschritten, während CLS 95 % ASR in etwa einer Sekunde erreichte (eine ~900-fache Beschleunigung). Auf Qwen-2.5-7B erreichte CLS 90 % ASR im Vergleich zu 45 % bei GCG.
Vergleich mit Activation Steering: Im Vergleich zu Arditi et al. (2024) erreichte CLS eine wesentlich höhere ASR auf Llama 2 (73 % vs. 22,6 %) und Qwen 7B (91 % vs. 79,2 %). Die Autoren führen die größere Lücke bei Llama auf die „Late Decision“-Topologie zurück, bei der das Verweigerungssignal in der Output-Schicht konzentriert ist, was Logit-Level-Intervention effektiver macht als Hidden-State-Ablation.
Safety Hardening: Negatives Steering ( $\alpha = -1.0$ ) reduzierte die Attack Success Rates auf einstellige Werte (z. B. sank Llama-3.3-70B von 68,8 % auf 9,4 % ASR).
Zero-Shot Detection: Unter Verwendung des Global Refusal Vectors erreichte die Methode einen F1-Score von 0,92 auf JailbreakBench bei der Unterscheidung zwischen bösartigen und harmlosen Prompts, ohne ein separates Modell zu trainieren.

Bedeutung und Behauptungen

Das Paper argumentiert, dass aktuelle Alignment-Techniken eine steuerbare „Sicherheitsachse“ schaffen, die sowohl eine kritische Schwachstelle als auch ein präzises Primitiv für die Verteidigung darstellt.

Mechanistischer Einblick: Die Ergebnisse legen nahe, dass RLHF für viele Modelle nicht schädliches Wissen „entlernt“, sondern vielmehr eine lineare Unterdrückungsfunktion auf der Output-Ebene anwendet. Der „Refusal Vector“ erfasst nicht nur die Einhaltung von Sicherheitsrichtlinien, sondern auch Zögern und Ambiguität; dessen Entfernung kann paradoxerweise die Kohärenz verbessern.
Architektonische Deterministik: Die Disparität in der Verwundbarkeit zwischen Llama (Late Decision) und Qwen (Early Divergence) impliziert, dass die Tiefe der Sicherheitsintegration ein deterministischer Faktor für die Steuerbarkeit ist, was wahrscheinlich durch Architektur und Trainingsinterventionen geformt wird.
Implikation für die Verteidigung: Die Autoren behaupten, dass solange Sicherheit als separabler linearer Subraum implementiert wird, sie anfällig für geometrische Interventionen bleibt. Sie schlagen vor, dass zukünftige Alignment-Paradigmen Sicherheit mit allgemeiner Kapazität verflechten müssen, um die Verweigerung zu einer tiefen semantischen Eigenschaft zu machen, statt zu einem entfernbaren Oberflächenmerkmal.

Die Arbeit kommt zu dem Schluss, dass CLS ein Echtzeit-Primitiv für das Auditieren unterdrückter Fähigkeiten und die dynamische Härtung von Modellen bietet und die Fragilität aktueller Sicherheitsimplementierungen hervorhebt.