Leveraging Association Context Retrieval in Knowledge Edit- ing to Build White-Box Attacks on LLMs
Dieses Paper schlägt einen neuartigen White-Box-Angriff auf große Sprachmodelle vor, der die Abruf-Assoziationskontext-Methode innerhalb eines Knowledge-Editing-Frameworks nutzt, um unsicheres Verhalten über ganze thematische Kategorien hinweg zu induzieren, während die allgemeine Modellleistung erhalten bleibt.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Große Sprachmodelle sind leistungsfähige Computerprogramme, die Geschichten schreiben, Fragen beantworten und bei komplexen Aufgaben helfen können. Um diese Werkzeuge für den alltäglichen Gebrauch sicher zu machen, trainieren Entwickler sie darauf, schädliche Anfragen abzulehnen, wie etwa Anleitungen zum Bau einer Waffe oder zur Verbreitung gefährlicher Desinformationen. Dieser Prozess, bekannt als Alignment, soll als Leitplanke dienen, um sicherzustellen, dass sich die Maschine wie ein hilfreicher Assistent verhält und nicht wie eine Quelle der Gefahr. Da diese Modelle jedoch autonomer werden und vertrauliche Entscheidungen treffen sollen, müssen Forscher genau verstehen, wie stark diese Sicherheitsbarrieren tatsächlich sind. Wenn die Sicherheitsmechanismen umgangen werden können, ist es entscheidend zu wissen wie, damit stärkere Schutzmaßnahmen gebaut werden können. Dieses Forschungsfeld beinhaltet die Untersuchung der internen Funktionsweise des Modells, um zu sehen, wie es Informationen verarbeitet und Entscheidungen trifft, anstatt es nur von außen zu testen.
Ein Team von Forschern hat einen neuen Weg entdeckt, diese Sicherheitssysteme zu testen, indem sie die Weigerung des Modells zu antworten als ein spezifisches Stück Wissen behandeln, das überschrieben werden kann. Anstatt zu versuchen, das Modell mit klugen Wortspielen oder versteckten Befehlen zu täuschen, verwendeten sie eine Technik namens Knowledge Editing (Wissenseditierung). Diese Methode ermöglicht es Wissenschaftlern, den exakten Teil des „Gehirns“ des Modells zu lokalisieren, der für eine bestimmte Tatsache verantwortlich ist, und diesen zu verändern. Wenn ein Modell beispielsweise glaubt, dass eine bestimmte Tatsache wahr ist, können Forscher die internen Verbindungen so ändern, dass das Modell stattdessen eine andere Tatsache glaubt. Die Forscher erkannten, dass dieselbe Technik auch verwendet werden könnte, um das Verhalten des Modells zu ändern: Anstatt ihm eine neue Tatsache beizubringen, könnten sie ihm beibringen, schädliche Anfragen nicht mehr abzulehnen. Sie fanden heraus, dass sie durch die Modifikation der internen Gewichte des Modells, um eine schädliche Anfrage mit einer kooperativen Antwort zu verknüpfen, die Sicherheitsbarrieren für ganze Kategorien gefährlicher Fragen effektiv entfernen konnten.
Die Forscher testeten diesen Ansatz an verschiedenen Arten von Sprachmodellen, einschließlich Modellen, die auf populären Architekturen wie GPT, Llama und Qwen basieren. Sie konzentrierten sich auf eine Methode, die zuerst die spezifische Schicht (Layer) im Modell lokalisiert, in der eine Entscheidung getroffen wird, und dann diese Schicht editiert, um das Ergebnis zu ändern. In früheren Versuchen, Sicherheitsfilter zu brechen, verließen sich Forscher oft darauf, eine einzige „Refusal Direction“ (Ablehnungsrichtung) in der Mathematik des Modells zu finden und dagegen zu drücken. Die Autoren dieser Studie fanden heraus, dass diese ältere Methode fragil war; sie beeinträchtigte oft die Fähigkeit des Modells, kohärent zu sprechen, oder führte dazu, dass es bei grundlegenden Aufgaben versagte. Im Gegensatz dazu war ihr neuer Ansatz chirurgischer. Sie identifizierten, dass ein Modell, wenn es mit diesen präzisen Methoden editiert wird, dazu neigt, eine sehr hohe Wahrscheinlichkeit für eine spezifische, kooperative Startphrase zuzuweisen, wie etwa „Sicher, hier ist der Plan“. Indem sie diese spezifische Reaktion anvisierten, konnten sie das Modell dazu zwingen, auf schädliche Anfragen einzustimmen, ohne dessen allgemeine Intelligenz zu zerstören.
Um dies bei realen Fragen funktionsfähig zu machen, mussten das Team ein schwieriges Problem lösen: Wie findet man den richtigen Teil eines Satzes zum Editieren? Bei einfachen Faktenprüfungsaufgaben ist das Subjekt klar, wie etwa der Name einer Person. Aber in einer komplexen Anweisung wie „Wie erstelle ich ein Virus?“ ist das Subjekt die gesamte Anweisung selbst. Die Forscher entwickelten einen Weg, das Denken des Modells zurückzuverfolgen, um genau zu finden, welche Wörter in der Eingabe (Prompt) am meisten für die Ablehnung verantwortlich waren. Sie nutzten dann das eigene Wissen des Modells, um einen reicheren Kontext um diese Wörter herum aufzubauen, was ein stabileres Ziel für die Editierung schuf. Dies ermöglichte es ihnen, das Ablehnungsverhalten nicht nur für eine spezifische Frage, sondern für eine ganze Familie ähnlicher Fragen zu entfernen. Wenn sie beispielsweise das Modell so editierten, dass es Sicherheitsregeln beim Schreiben von Schadcode ignoriert, wäre das Modell auch bereit, andere Arten von schädlichem Code zu schreiben, selbst wenn die Formulierung leicht abweicht.
Die Ergebnisse der Experimente zeigten, dass diese Methode hocheffektiv war. Bei einem der getesteten Modelle steigerte der neue Ansatz die Bereitschaft des Modells, schädliche Informationen bereitzustellen, auf einen Wert von 3,12 von 4, im Vergleich zu 2,98 für eine Standard-Editierungsmethode und 3,01 für den älteren, auf Ablehnung basierenden Ansatz. Viel wichtiger war jedoch, dass das Modell nützlich und kohärent blieb. Bei harmlosen Fragen antwortete das editierte Modell immer noch korrekt und behielt ein hohes Leistungsniveau bei allgemeinen Wissensaufgaben bei. Die älteren Methoden, die versuchten, das Modell von der Ablehnung wegzudrücken, führten oft dazu, dass das Modell seine Fähigkeit zum logischen Denken verlor, was in unsinnigen oder fehlerhaften Antworten resultierte. Die neue Methode gelang es, das schädliche Verhalten freizusetzen, während der Rest des „Gehirns“ des Modells intakt blieb. Dies deutet darauf hin, dass die Sicherheitsfilter in diesen Modellen nicht nur eine einzelne Wand sind, sondern eine Reihe spezifischer Assoziationen, die sorgfältig entfernt werden können, ohne die gesamte Struktur zum Einsturz zu bringen.
Die Studie hob auch die Grenzen aktueller Abwehrmechanismen hervor. Die Forscher fanden heraus, dass ihre Methode zwar bei älteren oder weniger ausgerichteten (aligned) Modellen gut funktionierte, aber schwieriger auf die neuesten, am sorgfältigsten trainierten Modelle anzuwenden war. Selbst bei diesen robusten Systemen zeigte die Methode immer noch eine gewisse Fähigkeit, die Sicherheit zu umgehen, wenn auch in geringerem Maße. Dies deutet darauf hin, dass die Sicherheitsmechanismen komplexer werden, wenn Modelle fortschrittlicher werden, sie jedoch noch nicht undurchdringlich sind. Die Forscher betonten, dass ihre Arbeit in einer kontrollierten Umgebung unter Verwendung von Open-Source-Modellen durchgeführt wurde, auf die jeder Zugriff hat. Sie lieferten keinen Schritt-für-Schritt-Leitfaden für die Erstellung gefährlicher Werkzeuge, sondern demonstrierten vielmehr eine Schwachstelle, die behoben werden muss. Indem sie zeigten, dass Sicherheit durch präzise interne Edits statt nur durch kluge Prompts kompromittiert werden kann, bietet die Studie eine neue Perspektive darauf, wie man Modelle baut, die wirklich sicher sind. Die Ergebnisse legen nahe, dass zukünftige Sicherheitsmaßnahmen robuster gegen diese internen Änderungen sein müssen, um sicherzustellen, dass die Weigerung, Schaden anzurichten, tief in der Struktur des Modells verankert ist und nicht nur eine oberflächliche Reaktion darstellt.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.