PL-Guard: Probabilistic Logic Reasoning for LLM Guardrails

Stellen Sie sich eine Welt vor, in der künstliche Intelligenz als hilfreicher Begleiter fungiert, der bereit ist, Fragen zu beantworten, Geschichten zu erzählen und Probleme zu lösen. Doch wie jedes mächtige Werkzeug birgt sie auch Risiken. Wenn diese Systeme ungeprüft bleiben, könnten sie versehentlich gefährliche Anweisungen geben oder umgekehrt so vorsichtig werden, dass sie harmlose Fragen verweigern. Die Herausforderung für Entwickler besteht darin, einen Sicherheitsmechanismus – ein Schutzgeländer – zu bauen, der den Unterschied zwischen einer harmlosen pädagogischen Anfrage und einer tatsächlich schädlichen Anfrage erkennen kann. Dies ist keine einfache Aufgabe, da Sprache voller Tricks steckt. Ein Satz kann gefährlich klingen, weil er Wörter wie „explodieren“ oder „stehlen“ verwendet, doch im richtigen Kontext, etwa in einer Geschichtsstunde oder einer fiktiven Geschichte, ist er völlig harmlos. Umgekehrt kann eine Anfrage nach Schaden höflich und indirekt formuliert sein und so seine wahre Absicht verbergen. Aktuelle Methoden haben oft Schwierigkeiten mit dieser Nuance und blockieren manchmal entweder echte Gefahren nicht oder unnötigerweise hilfreiche Gespräche.

Ein Forscherteam der Universität Amsterdam und der Universität Utrecht hat einen neuen Weg vorgeschlagen, dieses Problem zu handhaben, der in einem Papier mit dem Titel „PL-Guard“ beschrieben wird. Anstatt ein einzelnes Modell der künstlichen Intelligenz alles auf einmal machen zu lassen – die Wörter verstehen, die Absicht beurteilen und das Ergebnis entscheiden –, haben sie die Aufgabe in zwei unterschiedliche Teile aufgeteilt. Sie nennen dies einen „neurosymbolischen“ Ansatz, was einfach bedeutet, das flexible, intuitive Verständnis eines neuronalen Netzwerks mit den strengen, logischen Regeln eines symbolischen Systems zu kombinieren. Die Forscher fanden heraus, dass sie durch die Trennung dieser Rollen ihr Sicherheitssystem transparenter und effektiver bei der Verhinderung schädlichen Verhaltens machen konnten, selbst wenn dies bedeutete, etwas vorsichtiger bei harmlosen Anfragen zu sein.

In ihrem neuen System beginnt der Prozess, wenn ein Nutzer einen Prompt sendet und die KI eine Antwort generiert. Ein erstes KI-Modell, das als Richter fungiert, schreibt keine lange Erklärung oder ein Urteil. Stattdessen betrachtet es spezifische, vordefinierte Fragen über die Interaktion, wie zum Beispiel: „Fragt der Nutzer nach etwas Schädlichem?“ oder „Ist der Kontext dieses Gesprächs harmlos?“. Für jede Frage berechnet das Modell einen Wahrscheinlichkeitswert, im Grunde die prozentuale Chance, dass die Aussage wahr ist. Diese Werte werden dann an ein zweites, völlig anderes System weitergegeben, das wie ein logisches Regelwerk arbeitet. Dieses Regelwerk, das in einer Sprache namens ProbLog geschrieben ist, enthält klare Anweisungen dazu, wie diese Wahrscheinlichkeiten zu kombinieren sind. Beispielsweise könnten die Regeln besagen, dass das System die Antwort blockieren soll, wenn die Chance auf eine schädliche Anfrage hoch ist und die Chance auf eine schädliche Antwort ebenfalls hoch ist. Wenn die Anfrage jedoch wahrscheinlich harmlos ist, die KI aber die Antwort verweigert hat, könnte das System entscheiden, die Antwort durchzulassen. Dieser zweite Schritt ist rein logisch; er nimmt die unsicheren Vermutungen des ersten KI-Modells und wendet strikte Richtlinien an, um eine endgültliche Empfehlung auszusprechen, ob die Antwort beibehalten, geändert oder ganz blockiert werden soll.

Die Forscher testeten diese neue Methode gegen bestehende Sicherheitssysteme anhand eines Standard-Datensatzes von 450 Beispielen, die darauf ausgelegt sind, Sicherheitsfilter auszutricksen. Diese Beispiele enthielten sowohl sichere Prompts, die oft fälschlicherweise blockiert werden, als auch unsichere Prompts, die oft durch die Filter schlüpfen. Sie verglichen ihr neues System mit einer einfachen KI ohne Schutzgeländer, einem System, das lediglich einen Satz von Regeln in klarem Englisch liest, und einem System, bei dem eine KI als Richter fungiert, um die Arbeit einer anderen KI zu überprüfen. Die Ergebnisse zeigten einen klaren Kompromiss. Das neue System war außergewöhnlich gut darin, schädliches Verhalten zu stoppen, indem es die Rate der unsicheren Compliance von 22 Prozent beim Basismodell auf nur 0,5 Prozent senkte. Dies war besser als das Richter-basierte System, das immer noch 6 Prozent der unsicheren Antworten durchließ. Dieser zusätzliche Vorsicht ging jedoch mit einem Preis einher: Das neue System verweigerte harmlosen Fragen häufiger als das Richter-basierte System, mit einer Über-Ablehnungsrate von 14,4 Prozent gegenüber 5,2 Prozent.

Die Forscher argumentieren, dass dieser Kompromiss akzeptabel ist, da die Folgen der beiden Arten von Fehlern nicht gleich sind. Das Zulassen einer schädlichen Antwort kann realen Schaden anrichten, während das Verweigern einer harmlosen Anfrage lediglich den Nutzer verärgert. Durch die Sichtbarmachung des Entscheidungsprozesses ermöglicht das neue System den Entwicklern zu sehen, warum eine Entscheidung getroffen wurde. Sie können die Wahrscheinlichkeitswerte und die logischen Regeln betrachten, um zu verstehen, ob das System zu streng war oder ob es eine subtile Gefahr übersehen hat. Diese Transparenz ist ein entscheidender Vorteil gegenüber aktuellen Methoden, bei denen die Argumentation oft in einem einzigen, komplexen Modell verborgen ist, das schwer zu inspizieren und zu korrigieren ist. Die Studie legt nahe, dass, obwohl kein System perfekt ist, die Trennung des Verstehens von Sprache vom Anwenden von Regeln ein Sicherheitsnetz schafft, das sowohl zuverlässiger als auch leichter zu prüfen ist. Die Forscher fanden heraus, dass das detailliertere Gestalten der Regeln die Leistung des Systems bis zu einem gewissen Punkt verbesserte, das Hinzufügen von zu viel Detail jedoch schließlich nicht mehr half, was darauf hindeutet, dass es einen optimalen Punkt für die Komplexität dieser Sicherheitsregeln gibt.

Letztendlich zeigt die Arbeit, dass wir uns nicht auf eine einzige, undurchsichtige Intelligenz verlassen müssen, um KI sicher zu halten. Indem wir das Problem in kleinere, handhabbare Schritte zerlegen – zuerst die Fakten schätzen, dann logische Regeln auf diese Fakten anwenden –, können Entwickler Schutzgeländer schaffen, die sowohl effektiv als auch verständlich sind. Das System eliminiert nicht die schwierigen Entscheidungen zwischen Sicherheit und Hilfsbereitschaft, aber es bringt diese Entscheidungen ans Licht und ermöglicht es Menschen, die Logik hinter jeder Entscheidung zu sehen und die Regeln bei Bedarf anzupassen. Dieser Ansatz bietet einen vielversprechenden Weg für den Bau von KI-Systemen, die nicht nur sicher, sondern auch vertrauenswürdig sind, weil ihre Logik von den Menschen, die sie nutzen, untersucht und verstanden werden kann.