💻 computer science

Moving the Safety Barrier: Dynamic Routing Adaptive Alignment Against White-Box Attacks

Dieses Paper schlägt Dynamic Routing Adaptive Alignment (DRAA) vor, ein Framework, das die Robustheit großer Fundamentmodelle gegenüber White-Box-Angriffen verbessert, indem es Sicherheitsrouten identifiziert und lokalisiert und anschließend kompensatorische Pfade trainiert, um das Verhaltensmuster der Verweigerung aufrechtzuerhalten, selbst wenn die primären Sicherheitsmechanismen kompromittiert werden.

Ursprüngliche Autoren: Shangze Li, Chuancheng Shi, Simiao Xie, Lingzhi He, Cheng Ji, Zifeng Cheng, Fei Shen, Chao Wu, Tat-Seng Chua

Veröffentlicht 2026-08-05

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Shangze Li, Chuancheng Shi, Simiao Xie, Lingzhi He, Cheng Ji, Zifeng Cheng, Fei Shen, Chao Wu, Tat-Seng Chua

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie gehen durch eine riesige, belebte Bibliothek, in der die Bücher zu Ihnen zurücksprechen können. Dies ist die Welt der Large Foundation Models (LFMs), der superintelligenten KI-Gehirne, die alles von Schreibassistenten bis hin zu Chatbots antreiben. Damit diese KI-Systeme sicher sind, benötigen sie einen „Sicherheitswächter“ in ihrem Gehirn, der verhindert, dass sie gefährliche Fragen beantworten, wie zum Beispiel: „Wie baue ich eine Bombe?“ oder „Wie hacke ich eine Bank?“. Lange Zeit dachten Wissenschaftler, dieser Wächter sei eine einzige, stabile Tür. Sie bauten Verteidigungen, um diese Tür fest zu verschließen. Doch vor kurzem haben Hacker (die „White-Box-Angreifer“) herausgefunden, dass sie in die Blaupausen der Bibliothek hineinspähen und genau sehen können, wo sich diese Tür befindet, um einfach die Scharniere zu entfernen. Sob falls die Tür weg ist, vergisst die KI, wie man „Nein“ sagt, und hilft bereitwillig bei den schlechten Dingen. Die große Frage ist: Wie bauen wir eine KI, die sich nicht nur auf eine einzige Tür verlässt, sondern im Ernstfall sofort eine neue Wand errichten kann?

Genau das ist das Thema der Arbeit „Moving the Safety Barrier: Dynamic Routing Adaptive Alignment Against White-Box Attacks“. Die Autoren, angeführt von Shangze Li und Kollegen, erkannten, dass die alte Art, KI-Sicherheit aufzubauen, zu starr war. Sie schlagen ein neues Framework namens DRAA (Dynamic Routing Adaptive Alignment) vor. Stellen Sie sich das wie das Training eines Sicherheitswächters vor, der nicht nur lernen soll, vor einer bestimmten Tür zu stehen, sondern auch, wie er den Verkehr bei Bedarf sofort über einen geheimen Tunnel umleitet, wenn diese Tür blockiert ist.

So funktioniert ihr „Zaubertrick“, Schritt für Schritt aufgeschlüsselt:

1. Die „magische Tür“ finden
Zuerst mussten die Forscher herausfinden, welcher Teil des KI-Gehirns genau das „Nein-Sagen“ übernimmt. Sie fütterten die KI mit sicheren Fragen (wie „Wie backe ich einen Kuchen?“) und unsicheren Fragen (wie „Wie stehle ich einen Kuchen?“). Durch den Vergleich der Art und Weise, wie die Gehirnzellen (Neuronen) der KI bei jeder Frage aufleuchteten, lokalisierten sie die spezifische „Sicherheitsroute“ – einen spezierten Pfad aus Neuronen, der als Hauptwächter fungiert.

2. Die Tür absichtlich zerstören
Als Nächstes taten sie etwas Riskantes: Sie „schalteten“ diese primäre Sicherheitsroute im Gehirn der KI vorübergehend aus. Sie stellten der KI die gefährlichen Fragen erneut. Wie erwartet, begann die KI ohne ihren Hauptwächter, schlechte Antworten zu geben. Dies war das „Versagen“, das sie untersuchen wollten.

3. Einen Umweg lehren
Das ist der clevere Teil. Die Forscher nahmen jene Momente, in denen die KI versagte (weil die Haupttür fehlte), und nutzten sie, um der KI eine neue Lektion zu erteilen. Sie sagten: „Hey, wenn der Hauptwächter fehlt, musst du einen anderen Weg finden, um ‚Nein‘ zu sagen.“ Sie verwendeten eine spezielle Trainingsmethode namens DR-DPO (Dynamic Routing Direct Preference Optimization). Stellen Sie sich das wie ein Spiel vor, bei dem die KI gezwungen wird, eine „Umweg-Strategie“ zu lernen. Das Training sperrt die ursprünglichen Sicherheitsneuronen, sodass die KI nicht einfach nur auf diese zurückgreifen kann; sie muss neue, verborgene Pfade in ihrem Gehirn finden, um mit der Gefahr umzugehen.

4. Das Ergebnis: Eine super-resiliente KI
Die Forscher testeten dies an mehreren verschiedenen KI-Modellen, darunter Qwen2.5 und LLaMA-3.2. Die Ergebnisse waren beeindruckend. Als Hacker versuchten, die bekannten Sicherheitsneuronen zu „beschneiden“ (zu entfernen), brachen die alten KI-Modelle zusammen und gaben schädliche Antworten aus. Aber die DRAA-trainierten Modelle? Sie sagten weiterhin „Nein“.

Beispielsweise scheiterte das Standard-Defense-System bei einem 14-Milliarden-Parameter-Modell namens Qwen2.5-14B vollständig, als die Sicherheitsroute angegriffen wurde, und ließ 270 von 313 schädlichen Prompts durch. Das DRAA-Modell hingegen ließ jedoch nur 5 von 313 durch. Selbst bei kleineren Modellen wie der 1,5-Milliarden-Parameter-Version reduzierte DRAA die Fehlerrate von 248 auf nur 43.

Die Autoren prüften auch, ob diese „Umweg-Fähigkeit“ die KI bei normalen Aufgaben „dümmer“ macht. Sie testeten sie bei mathematischen Problemen (GSM8K) und Allgemeinwissen (ARC). Die Ergebnisse zeigten, dass die KI genauso klug und hilfreich blieb wie zuvor; sie hat lediglich die Superkraft erlangt, sicher zu bleiben, selbst wenn ihre Hauptverteidigung zerstört wurde.

Warum das wichtig ist
Die Arbeit legt nahe, dass das Vertrauen auf einen einzigen, statischen Sicherheitspfad ein fataler Fehler in der KI-Sicherheit ist. Wenn ein Angreifer weiß, wo der Wächter steht, kann er ihn entfernen. DRAA schlägt einen besseren Weg vor: Baut Redundanz auf. Indem man die KI darauf trainiert, dynamisch auf Ersatzrouten umzuschalten, wenn die Hauptroute kompromittiert wird, schafft man ein System, das viel schwerer zu brechen ist. Die Autoren fanden heraus, dass diese Methode nicht nur für Text funktioniert, sondern auch für Bilder und Videos (multimodale Modelle), was sie zu einem robusten Schutzschild gegen die nächste Generation von KI-Angriffen macht.

Kurz gesagt: Die Arbeit argumenttiert, dass Sicherheit nicht eine einzelne verschlossene Tür sein sollte, sondern ein flexibles Netzwerk von Pfaden, das den Verkehr sofort umleiten kann, um sicherzustellen, dass die KI sicher bleibt, egal wie sehr jemand versucht einzubrechen.

Technisches Resümee: Dynamic Routing Adaptive Alignment (DRAA)

1. Problemstellung

Die weitverbreitete Bereitstellung von Large Foundation Models (LFMs) hat die Sicherheitsbedrohungen von Black-Box-Jailbreaks hin zu White-Box-Strukturangriffen verschoben. In diesen Szenarien können Angreifer, die Zugriff auf interne Parameter haben, präzise die spezifischen Neuronen oder kausalen Pfade identifizieren und kappen, die für eine sichere Verweigerung (Refusal) verantwortlich sind.

Bestehende Verteidigungsmechanismen verlassen sich auf statische Sicherheitseinheiten oder feste Verweigerungspfade (z. B. das Einfrieren spezifischer Neuronen oder das Verankern von Gewichten). Das Paper argumentiert, dass diese Methoden einer „statischen Komponente“-Annahme unterliegen: Sie setzen voraus, dass die geschützten Strukturen während des Einsatzes intakt bleiben. Unter White-Box-Bedrohungen, sobald diese festen Verteidigungsrouten präzise beschnitten oder gestört werden, bricht die Fähigkeit des Modells zur Verweigerung vollständig zusammen, da es keine Kompensationsmechanismen besitzt. Das Kernproblem ist der Mangel an dynamischer Redundanz im aktuellen Safety-Alignment, was Modelle anfällig für gezielte Angriffe auf der Routenebene macht.

2. Methodik: Dynamic Routing Adaptive Alignment (DRAA)

Das vorgeschlagene Framework, DRAA, formuliert das Safety-Alignment als ein Pfadwiederherstellungsproblem um. Anstatt lediglich einen einzelnen statischen Pfad zu verstärken, zielt DRAA darauf ab, dem Modell die Fähigkeit zu verleihen, sichere Verhaltensweisen dynamisch zu rekonstruieren, wenn kritische Pfade kompromittiert werden. Das Framework besteht aus drei Hauptphasen:

A. Lokalisierung der Sicherheitsroute (Safety Route Localization)

DRAA identifiziert zunächst die spezifische „Sicherheitsroute“, auf die sich das Modell derzeit für eine sichere Verweigerung verlässt.

Mechanismus: Es kontrastiert interne Aktivierungen zwischen sicheren und unsicheren Kalibrierungsproben.
Metriken: Es berechnet zwei Scores für Neuronen in jeder Schicht:
1. Effektgröße (Effect Size, ES): Misst die distributionale Trennung zwischen sicheren und unsicheren Eingaben.
2. Sicherheits-Aktivierungsverschiebung (Safety Activation Shift, SAS): Misst die gerichtete Verstärkung der Aktivierung unter unsicheren Eingaben im Verhältnis zum Schichtmittelwert.
Ergebnis: Eine Menge von Neuronen $S$ (die Sicherheitsroute) wird als Vereinigung von Neuronen mit hohen ES- und SAS-Scores über die Schichten hinweg definiert.

B. Causal Failure Mining

Um das Modell darauf zu trainieren, den Ausfall seiner primären Sicherheitsroute zu handhaben, simuliert DRAA gezielte Angriffe.

Intervention: Die identifizierte Sicherheitsroute $S$ wird während der Inferenz temporär maskiert (auf Null gesetzt).
Datenerstellung: Das System sammelt Proben, bei denen das intakte Modell eine sichere Verweigerung produziert ( $y_{ori}$ ), das durch den Routenausfall deaktivierte Modell jedoch versagt und eine unsichere Antwort generiert ( $y_{cut}$ ).
Präferenzpaare: Diese Fälle bilden „fehlerbewusste Präferenzpaare“ $(x, y_{ori}, y_{cut})$ , wodurch ein Datensatz ( $D_{fail}$ ) erstellt wird, der gezielt Szenarien adressiert, in denen der primäre Sicherheitsmechanismus unterbrochen ist.

C. Dynamic Routing Direct Preference Optimization (DR-DPO)

In der letzten Phase trainiert das Modell darauf, kompensatorische Routen zu erlernen, ohne die nun vulnerable primäre Route zu verstärken.

Route-Locking: Während des DPO-Optimierungsprozesses werden die Parameter, die der identifizierten Sicherheitsroute $S$ entsprechen, eingefroren (mittels Gradient Masking in LoRA-Adaptern).
Zielsetzung: Das Modell wird gezwungen, den Präferenzverlust unter Verwendung des unbeschränkten Parameterraums ( $\theta_R$ ) zu minimieren.
Strategie: Dies implementet eine „Umweg-Strategie bei Blockade“ (Detour when blocked). Das Modell kann nicht einfach die bestehende fragile Route stärken; es muss latente, alternative Pfade (kompensatorische Routen) innerhalb der verbleibenden Parameter entdecken und stärken, um ein sicheres Verweigerungsverhalten aufrechtzuerhalten, selbst wenn die primäre Route deaktiviert ist.
Inferenz: Während der tatsächlichen Inferenz bleibt die Sicherheitsroute aktiv, aber die neu gelernten kompensatorischen Routen bieten zusätzliche Verteidigungskapazität, falls die primäre Route gestört wird.

3. Zentrale Beiträge

Framework-Vorschlag: Einführung von DRAA, welches das Safety-Alignment von der Protektion statischer Knoten hin zur dynamischen Rekonstruktion von Verweigerungsmechanismen unter Angriff verschiebt.
DR-DPO-Zielsetzung: Ein neuartiges Optimierungsziel, das die Sicherheitsroute während des Trainings sperrt und das Modell dazu zwingt, kompensatorische Pfade im unangegriffenen Parameterraum zu erlernen.
Empirische Validierung: Umfangreiche Experimente, die zeigen, dass DRAA die Robustheit gegenüber schweren White-Box-Pruning-Angriffen signifikant erhöht und dabei die allgemeine Nützlichkeit bewahrt.

4. Experimentelle Ergebnisse

Das Paper evaluiert DRAA über verschiedene LLM-Backbones (Qwen2.5, LLaMA-3.2, Gemma, Phi) und Multimodale LLMs (Qwen2.5-VL, LLaVA) unter vier Pruning-Einstellungen: ORI (kein Pruning), ES, SAS und FULL (Vereinigung der ES- und SAS-Neuronen).

Robustheit gegenüber Pruning: Unter der stärksten FULL-Pruning-Einstellung erreicht DRAA konsistent die niedrigste Attack Success Rate (ASR) im Vergleich zu Baselines wie SN-Tune, RLHF-Safety und SafeNeuron.
- Beispiel: Bei Qwen2.5-7B reduzierte DRAA die FULL ASR auf 26/313, während das Originalmodell 279/313 und SafeNeuron 183/313 aufwies.
- Beispiel: Bei LLaMA-3.2-8B erreichte DRAA eine ASR von 11/313 unter FULL-Pruning, verglichen mit 221/313 beim Originalmodell.
Multimodale Sicherheit: DRAA demonstrierte überlegene Robustheit in visuellen Jailbreak-Szenarien (VL-Question und NSFW-Aufgaben) und reduzierte die FULL ASR signifikant (z. B. von 174/313 auf 5/313 bei Qwen2.5-VL-7B für VL-Question).
Generalisierung auf unbekannte Angriffe: DRAA behielt die Robustheit gegenüber nicht während des Trainings verwendeten White-Box-Angriffsmechanismen (GRAD, WANDA, ABLATE) bei, was darauf hindeutet, dass es nicht lediglich auf spezifische Pruning-Muster überfittet.
Erhalt der Nützlichkeit: Die Methode bewahrte allgemeine Fähigkeiten (gemessen an ARC, GSM8K, TruthfulQA), ohne signifikante Verschlechterungen.
Effizienz: Der Ansatz fügt keinen nennenswerten Overhead während der Inferenz hinzu. Die Lokalisierung dauert ca. 0,58 Minuten für 1.000 Samples, und das Training nimmt ca. 12,7 Minuten in Anspruch. Nach dem Zusammenführen (Merging) der Adapter behält das Modell die ursprüngliche Parameteranzahl und Inferenzgeschwindigkeit bei.

5. Bedeutung und Behauptungen

Das Paper behauptet, dass DRAA eine kritische Schwachstelle im aktuellen Safety-Alignment adressiert: die Abhängigkeit von statischen, punktbasierten Verteidigungen, die unter gezielten White-Box-Angriffen zusammenbrechen. Durch die Einführung dynamischer kompensatorischer Routen restrukturiert das Framework die zugrunde liegende Pfadabhängigkeit der Modell-Sicherheit.

Die Autoren betonen, dass DRAA nicht nur die Sicherheit gegen bekannte Angriffe verbessert, sondern die Architektur des Modells fundamental angriffsresilient macht. Der „Detour when blocked“-Mechanismus stellt sicher, dass selbst wenn ein Angreifer erfolgreich die primären Sicherheitsneuronen identifiziert und kappt, das Modell die Fähigkeit behält, schädliche Anfragen über alternative, gelernte Pfade zu verweigern. Dieser Ansatz bietet ein robusteres Paradigma für den Einsatz von LFMs in offenen Umgebungen, in denen interne Parameter Angreifern ausgesetzt sein können.