Technisches Resümee: NeuronFuzz

Problemstellung

Die Sicherheitsbewertung ist entscheidend, um sicherzustellen, dass ausgerichtete (aligned) Large Language Models (LLMs) robust gegenüber Jailbreak-Angriffen bleiben. Bestehende automatisierte Testmethoden verlassen sich jedoch stark auf Feedback auf Antwortebene (response-level feedback). In diesem Paradigma muss jeder Kandidaten-Prompt an das Zielmodell übermittelt werden, eine Antwort muss mittels autoregressiver Dekodierung generiert werden, und der Output wird anschließend von einem Klassifikator oder Judge evaluiert. Dieser Ansatz weist zwei fundamentale Einschränkungen auf:

1. Spärliches Suchfeedback (Sparse Search Feedback): Bei stark ausgerichteten Modellen werden die meisten mutierten Prompts abgelehnt, was zum gleichen „Fehler“-Ergebnis führt. Die Evaluierung auf Antwortebene kann nicht zwischen einem Kandidaten unterscheiden, der den Sicherheitsmechanismus unverändert lässt, und einem, der ihn signifikant schwächt, aber dennoch keinen erfolgreichen Jailbreak erzeugt. Dieser Mangel an Granularität lässt Fuzzern kaum Anleitung, welche Kandidaten beibehalten werden sollten.
2. Kostspielige Antwortgenerierung: Das Generieren einer vollständigen Antwort für jeden Kandidaten ist im Vergleich zur reinen Verarbeitung des Input-Prompts rechenintensiv. Dies schafft einen Skalierbarkeitsengpass für das automatisierte Fuzzing, welches eine große Anzahl von Kandidaten evaluieren muss.

Methodik: NeuronFuzz

Das Paper schlägt NeuronFuzz vor, ein White-Box-Fuzzing-Framework, das die teure, spärliche Evaluierung auf Antwortebene durch kontinuierliches internes Feedback ersetzt, das aus den Aktivierungen von Sicherheits-Neuronen abgeleitet wird. Das Framework operiert in zwei Hauptphasen:

1. Konstruktion des SafetyOracle

Das Herzstück von NeuronFuzz ist ein leichtgewichtiges SafetyOracle, das interne Modellaktivierungen auf einen kontinuierlichen „Sicherheitsalarm-Score“ ($S_{alarm}$) abbildet.

• Template-Invariante Extraktion von Aktivierungen: Um sicherzustellen, dass das Signal die schädliche Absicht erfasst und nicht lediglich Artefakte des Jailbreak-Templates, konstruieren die Autoren Paare von Inputs, die dasselbe Jailbreak-Template teilen, aber entweder schädliche oder harmlose Payloads enthalten. Sie extrahieren die Aktivierungen aus den Gate- und Up-Projektionen der Transformer-MLP-Blöcke während der Prefill-Phase (vor der Antwortgenerierung).
• Stabilitätsbewusste Neuronen-Selektion: Rohe Aktivierungen sind hochdimensional und verrauscht. Die Autoren nutzen einen Bootstrap-basierten Selektionsprozess zur Stabilitätsbestimmung, um eine kompakte Menge an „Sicherheits-Neuronen“ zu identifizieren. Dies sind Neuronen, die über resamplede Trainingsdatensätze hinweg konsistent positive Koeffizienten für schädliche Inputs zeigen, was die Robustheit gegenüber Stichprobenvariationen gewährleistet.
• Scoring-Head: Ein mit Elastic Net Regularisierung trainiertes logistisches Regressionsmodell bildet die ausgewählten Neuronen-Aktivierungen auf einen kontinuierlichen Score $S_{alarm}(x) \in (0, 1)$ ab. Ein höherer Score deutet auf eine stärkere interne Erkennung schädlicher Absichten hin, während ein niedrigerer Score darauf hindeutet, dass der Sicherheitsmechanismus umgangen wird.

2. Gradientengesteuerte Fuzzing-Pipeline

NeuronFuzz integriert das SafetyOracle in eine Fuzzing-Schleife, die die Antwortgenerierung für Zwischenkandidaten vermeidet:

• Seed-Scheduling: Verwendet Monte Carlo Tree Search (MCTS), um vielversprechende Jailbreak-Templates für Mutationen auszuwählen.
• Gradientengesteuerte Mutation: Da der SafetyOracle-Score bezüglich der Input-Embeddings differenzierbar ist, berechnet das Framework Gradienten, um sicherheits-sensitive Token-Positionen innerhalb des Templates zu identifizieren.
• Kontext-kompatible Mutation: Ein Masked Language Model (MLM) wird verwendet, um flüssige Ersetzungen für die ausgewählten sensitiven Positionen zu generieren. Entscheidend ist, dass die Mutationen auf das Jailbreak-Template beschränkt sind; der schädliche Payload bleibt eingefroren. Dies bewahrt die natürliche Sprachstruktur und die ursprüngliche schädliche Absicht, während Variationen in der Rahmung (Framing) des Prompts exploriert werden.
• Feedback-Schleife: Kandidaten werden über einen reinen Prefill-Durchlauf evaluiert, um die Sicherheits-Neuronen-Aktivierungen zu sammeln. Das SafetyOracle weist einen kontinuierlichen Score zu, der als Belohnungssignal dient, um den Seed-Scheduler zu aktualisieren. Das Zielmodell generiert eine Antwort erst zur finalen Verifizierung eines erfolgreichen Jailbreaks.

Zentrale Beiträge

1. Neue Fuzzing-Perspektive: Einführung der Nutzung interner Sicherheits-Neuronen-Aktivierungen als Ausführungsfeedback, wodurch die teure Antwort-basierte Evaluierung durch ein kontinuierliches Signal ersetzt wird, das bereits während des Prefills verfügbar ist.
2. SafetyOracle-Design: Entwicklung eines leichtgewichtigen Oracles basierend auf template-invarianter Extraktion von Aktivierungen und stabilitätsbewusster Neuronen-Selektion. Sein differenzierbarer Score leitet sowohl das Ranking von Kandidaten als auch die Lokalisierung von sicherheits-sensitiven Template-Positionen.
3. NeuronFuzz-Framework: Kombination von Prefill-only-Feedback mit gradientengesteuerter Masked-Token-Mutation, um Jailbreak-Templates effizient zu explorieren und dabei den schädlichen Payload sowie die natürliche Sprachstruktur zu bewahren.
4. Umfassende Evaluierung: Validierung des Ansatzes über 21 Text- und Multimodale Modelle hinweg, was Verbesserungen bei der Entdeckung von Jailbreaks, der Effizienz und der Transferierbarkeit zeigt.

Experimentelle Ergebnisse

Die Autoren evaluierten NeuronFuzz an fünf White-Box-Quellmodellen (DeepSeek-R1-14B, GPT-OSS-20B, Gemma-3-4B-it, Gemma-4-E4B-it, Llama-3.1-8B-Instruct) und testeten die Transferierbarkeit auf 16 zusätzliche Zielmodelle (einschließlich proprietärer APIs).

• Jailbreak Discovery Rate (JDR): NeuronFuzz erreichte eine JDR von 76–100 % über die fünf Quellmodelle hinweg und übertraf die Baselines (GCG, AutoDAN, PAIR, LLM-Fuzzer) auf stark ausgerichteten Modellen um bis zu 48 Prozentpunkte (z. B. 96 % auf GPT-OSS-20B gegenüber 48 % für LLM-Fuzzer).
• Effizienz: Durch den Verzicht auf die Antwortgenerierung für Zwischenkandidaten erreichte NeuronFuzz eine Response Generations per Discovery (RGD) von 1,0 (es wird nur eine Antwort zur finalen Verifizierung generiert). Dies führte zu einer signifikant niedrigeren End-to-End-Zeit (ETD) pro Entdeckung im Vergleich zu den Baselines, die oft hunderte Antwort-Generationen erforderten.
• Universelle Templates: Das Framework optimierte erfolgreich gemeinsame Templates, die über verschiedene schädliche Payloads hinweg generalisierten, und erreichte eine Ensemble Attack Success Rate (EASR) von 92,6 % (Top-5 Templates) auf White-Box-Targets.
• Transferierbarkeit: Optimierte Templates transferierten Zero-Shot auf Open-Weight- und proprietäre Zielmodelle. Auf Open-Weight-Modellen erreichte der Ansatz eine durchschnittliche ASR von 69,6 % und eine Top-5 EASR von 92,6 %. Auf proprietären APIs wurde eine durchschnittliche ASR von 44,1 % und eine Top-5 EASR von 60,0 % erzielt.
• Validität des Oracles: Der Sicherheitsalarm-Score zeigte eine starke negative Korrelation (Spearman-Koeffizienten $\approx -0,96$) mit den Jailbreak-Erfolgsraten, was bestätigt, dass niedrigere interne Sicherheits-Scores zuverlässig erfolgreiche Jailbreaks vorhersagen, noch bevor eine Antwort generiert wird.

Bedeutung und Ansprüche

Das Paper behauptet, dass NeuronFuzz die fundamentalen Ineffizienzen aktueller automatisierter Sicherheitsprüfungen adressiert, indem es den internen Zustand von LLMs nutzt. Die Bedeutung liegt in:

• Überwindung der Spärlichkeit: Bereitstellung eines dichten, kontinuierlichen Feedback-Signals, das es Fuzzern ermöglicht, zwischen „vielversprechenden“ und „weniger vielversprechenden“ gescheiterten Kandidaten zu unterscheiden – eine Fähigkeit, die Antwort-basierten Methoden fehlt.
• Skalierbarkeit: Drastische Reduktion der Rechenkosten für die Sicherheitsbewertung durch Wegfall der autoregressiven Dekodierung während der Suchphase.
• Robustheit: Nachweis, dass interne Sicherheits-Signale selbst auf stark ausgerichteten Modellen informativ bleiben, bei denen das Feedback auf Antwortebene oft binär und wenig aussagekräftig ist.

Die Autoren positionieren NeuronFuzz als Werkzeug für autorisierte Evaluatoren (Entwickler, Auditoren), um Sicherheitslücken systematisch vor dem Deployment zu identifizieren, sowie als Methode für Angreifer, um transferierbare Jailbreaks zu optimieren, und heben damit die Dual-Use-Natur der internen Modellanalyse hervor.