Résumé Technique : LASH (Hybridation Sémantique Adaptative pour le Jailbreaking Boîte Noire)

Énoncé du Problème

Malgré des techniques d'alignement telles que l'apprentissage par renforcement à partir de retours humains (RLHF) et l'IA constitutionnelle, les grands modèles de langage (LLM) restent vulnérables aux sollicitations adverses. Bien que les attaques de jailbreak automatisées aient évolué de la création manuelle vers des méthodes basées sur le gradient en boîte blanche (par exemple, GCG) et des stratégies itératives en boîte noire (par exemple, PAIR, TAP), une limitation critique persiste : les méthodes automatisées existantes s'engagent généralement dans une seule « famille d'attaques » (par exemple, une boucle de raffinement spécifique, une recherche arborescente, un espace de mutation ou une bibliothèque de stratégies). Des preuves empiriques montrent qu'aucune famille unique ne domine ; la méthode la plus efficace varie considérablement en fonction de l'architecture du modèle cible et de la catégorie spécifique de préjudice. Par conséquent, les approches actuelles échouent à exploiter les forces complémentaires de différentes stratégies d'attaque, manquant souvent des jailbreaks réussis qui pourraient être obtenus en combinant des signaux partiels provenant de multiples méthodes.

Méthodologie : LASH

Les auteurs introduisent LASH (Hybridation Sémantique Adaptative pour LLM), un cadre de méta-attaque en boîte noire conçu pour surmonter les limitations des espaces de recherche de familles uniques. LASH traite les sorties de multiples attaques existantes en boîte noire comme des « invites de départ » réutilisables et les compose de manière adaptative pour chaque requête cible. Le cadre opère sous un modèle de menace strict en boîte noire, supposant uniquement un accès par requête au modèle cible (sans accès aux poids, aux gradients ou aux états cachés).

Le pipeline LASH se compose de quatre étapes principales :

1. Construction du Pool de Graines : Pour une invite d'entrée donnée $x$, LASH exécute plusieurs méthodes d'attaque de base en boîte noire (par exemple, PAIR, TAP, AutoDAN-Turbo) avec des budgets de requêtes intentionnellement réduits. Cela génère un pool d'invites de départ $B(x) = \{b_1, \dots, b_n\}$, où chaque graine représente une stratégie d'attaque distincte, un motif de formulation ou une transformation structurelle.
2. Recherche de Sous-ensembles et Hybridation Pondérée : LASH recherche des sous-ensembles du pool de graines et attribue des poids de mélange continus aux graines sélectionnées. Pour un sous-ensemble $S$, des logits à valeurs réelles $z$ sont convertis en poids de mélange normalisés $w$ via une fonction softmax. Un LLM de composition ($M$) synthétise ensuite une seule invite candidate cohérente $p$ en intégrant les graines pondérées :
   $$p = M(x, \{(b_i, w_i)\})$$
   Cette étape garantit que la sortie est une invite en langage naturel plutôt qu'une simple concaténation textuelle, préservant l'intention de la requête originale tout en mélangeant les forces des graines.
3. Optimisation Génétique Sans Dérivée : Les poids de mélange sont optimisés à l'aide d'un algorithme génétique (AG). L'AG opère uniquement sur les logits à valeurs réelles (et non sur le texte de l'invite lui-même), les mutant en utilisant un bruit gaussien. La population évolue par élitisme (sélection des génomes les plus performants) et mutation. Cette approche maintient l'optimisation légère et entièrement en boîte noire.
4. Fonction de Fitness à Deux Étapes : Les candidats sont évalués à l'aide d'une métrique à deux étapes pour équilibrer l'efficacité et la précision :
   • Étape 1 (Détection de Refus) : Un détecteur basé sur des mots-clés filtre les réponses contenant des marqueurs de refus explicites. Les candidats échouant à cette étape reçoivent un score de 0.
   • Étape 2 (Notation par Juge LLM) : Les réponses passant le filtre sont notées par un juge LLM (par exemple, GPT-4o-mini) sur une échelle de 0 à 10 en fonction de la manière substantielle dont elles satisfont la demande nuisible. Un seuil $\tau$ (par exemple, 9) détermine le succès.

Contributions Clés

• Composition Adaptative : LASH est le premier cadre à traiter les sorties de jailbreak comme des composants composables, recherchant des combinaisons pondérées optimales à travers des familles d'attaques hétérogènes plutôt que de s'appuyer sur une seule trajectoire de recherche.
• Efficacité en Boîte Noire : Le cadre ne nécessite aucun accès en boîte blanche, aucun modèle de substitution ni aucun affinage de composant. Il repose entièrement sur des retours au niveau de la réponse et une optimisation sans dérivée.
• Insight Mécanistique : L'article fournit des preuves que le succès de LASH ne tient pas uniquement à une formulation de surface, mais induit des représentations internes du modèle plus proches des trajectoires de jailbreak réussies.

Résultats Expérimentaux

Les auteurs ont évalué LASH sur JailbreakBench, un benchmark standardisé contenant 100 invites nuisibles répartis sur 10 catégories, visant six modèles divers (incluant Llama-2/3, Vicuna, Gemini et des variantes GPT).

• Taux de Succès de l'Attaque (ASR) : LASH a atteint un ASR1 (basé sur les mots-clés) moyen de 84,5 % et un ASR2 (juge LLM à deux étapes) de 74,5 %. Cela surpasse significativement cinq baselines de l'état de l'art (PAIR, TAP, AutoDAN, AutoDAN-Turbo, FlipAttack), qui variaient de 27,5 % à 40,67 % sur ASR2.
• Efficacité des Requêtes : LASH a obtenu ces résultats avec une moyenne de seulement 30 requêtes cibles par invite, contre des baselines nécessitant souvent beaucoup plus (par exemple, PAIR nécessitant en moyenne ~90 requêtes).
• Robustesse : Sous trois mécanismes de défense (SmoothLLM, Llama Guard et Filtrage de Perplexité), LASH est resté compétitif, atteignant un ASR2 moyen de 41,50 % (SmoothLLM), 18,00 % (Llama Guard) et 70,83 % (Perplexité), surpassant généralement ou égalant les baselines les plus fortes.
• Analyse Mécanistique : Des expériences de sondage et de patching d'activation ont révélé que les invites LASH induisent des représentations internes « similaires au succès » dans les couches intermédiaires du modèle cible (spécifiquement les couches 10–18), distinctes de celles induites par les invites de départ échouées. Le patching des activations LASH dans des exécutions de graines échouées a augmenté la probabilité de succès, confirmant que l'hybridation crée des états internes qualitativement différents.

Signification et Revendications

L'article revendique que la composition adaptative à travers des stratégies de jailbreak hétérogènes est une direction prometteuse pour le red-teaming en boîte noire. Les auteurs soutiennent que la « complémentarité » de différentes familles d'attaques — où la faiblesse d'une méthode est la force d'une autre — est une ressource que les méthodes de famille unique ne peuvent exploiter. En élevant l'unité d'optimisation des invites individuelles aux mélanges de sorties d'attaque, LASH démontre qu'une méta-attaque peut systématiquement surpasser la somme de ses parties.

Les auteurs positionnent LASH comme un outil pour l'évaluation de sécurité pré-déploiement, soulignant sa nature à double usage. Ils déclarent explicitement que la méthode est limitée à l'optimisation d'invites en un seul tour et n'est pas actuellement consciente de la défense, suggérant un travail futur en planification multi-tours et en composition adaptative aux mesures de protection. Les résultats suggèrent que les alignements de sécurité actuels peuvent être plus fragiles que prévu, car ils peuvent être contournés par la synthèse dynamique de stratégies évitant des déclencheurs de refus spécifiques et des vérifications de sécurité internes.