Leveraging Association Context Retrieval in Knowledge Edit- ing to Build White-Box Attacks on LLMs
Cet article propose une nouvelle attaque en boîte blanche sur les grands modèles de langage qui exploite la récupération de contexte d'association au sein d'un cadre d'édition de connaissances pour induire des comportements dangereux à travers des catégories thématiques entières tout en préservant les performances générales du modèle.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Les grands modèles de langage sont de puissants programmes informatiques capables d'écrire des histoires, de répondre à des questions et d'aider à accomplir des tâches complexes. Pour rendre ces outils sûrs pour un usage quotidien, les développeurs les entraînent à refuser les requêtes nuisibles, telles que des instructions sur la façon de construire une arme ou de propager de la désinformation dangereuse. Ce processus, appelé alignement, est destiné à agir comme un garde-fou, garantissant que la machine se comporte comme un assistant utile plutôt que comme une source de danger. Cependant, à mesure que ces modèles deviennent plus autonomes et qu'on leur confie des décisions sensibles, les chercheurs doivent comprendre exactement quelle est la force de ces garde-fous. Si les mécanismes de sécurité peuvent être contournés, il est crucial de savoir comment, afin que des protections plus solides puissent être construites. Ce domaine d'étude consiste à regarder à l'intérieur du fonctionnement interne du modèle pour voir comment il traite l'information et prend des décisions, plutôt que de simplement le tester de l'extérieur.
Une équipe de chercheurs a découvert une nouvelle façon de tester ces systèmes de sécurité en traitant le refus du modèle de répondre comme une pièce de connaissance spécifique qui peut être écrasée. Au lieu d'essayer de tromper le modèle avec des jeux de mots astucieux ou des commandes cachées, ils ont utilisé une technique appelée édition de connaissances. Cette méthode permet aux scientifiques de localiser précisément la partie du cerveau du modèle responsable d'un fait spécifique et de la modifier. Par exemple, si un modèle croit qu'un certain fait est vrai, les chercheurs peuvent altérer les connexions internes pour que le modèle croie à un fait différent. Les chercheurs ont réalisé que cette même technique pouvait être utilisée pour changer le comportement du modèle : au lieu d'enseigner un nouveau fait, ils pouvaient lui apprendre à ne plus refuser les requêtes nuisibles. Ils ont découvert qu'en modifiant les poids internes du modèle pour associer une requête nuisible à une réponse conforme, ils pouvaient effectivement supprimer les garde-fous de sécurité pour des catégories entières de questions dangereuses.
Les chercheurs ont testé cette approche sur plusieurs types différents de modèles de langage, incluant ceux basés sur des architectures populaires comme GPT, Llama et Qwen. Ils se sont concentrés sur une méthode qui localise d'abord la couche spécifique dans le modèle où une décision est prise, puis édite cette couche pour changer le résultat. Dans les tentatives précédentes pour briser les filtres de sécurité, les chercheurs s'appuyaient souvent sur la recherche d'une seule « direction de refus » dans les mathématiques du modèle et poussaient contre elle. Les auteurs de cette étude ont constaté que cette ancienne méthode était fragile ; elle faisait souvent perdre au modèle sa capacité à parler de manière cohérente ou entraînait un échec lors de tâches de base. En revanche, leur nouvelle approche était plus chirurgicale. Ils ont identifié que lorsqu'un modèle est édité à l'aide de ces méthodes précises, il a tendance à attribuer une probabilité très élevée à une phrase de départ spécifique et conforme, telle que « Bien sûr, voici le plan ». En ciblant cette réaction spécifique, ils pouvaient forcer le modèle à accepter des requêtes nuisibles sans détruire son intelligence générale.
Pour faire fonctionner cela sur des questions du monde réel, l'équipe a dû résoudre un problème délicat : comment trouver la bonne partie d'une phrase à éditer. Dans les tâches simples de vérification de faits, le sujet est clair, comme le nom d'une personne. Mais dans une instruction complexe comme « Comment créer un virus ? », le sujet est l'instruction entière elle-même. Les chercheurs ont développé un moyen de retracer la pensée du modèle pour trouver exactement quels mots de l'invite étaient les plus responsables du refus. Ils ont ensuite utilisé la propre connaissance du modèle pour construire un contexte plus riche autour de ces mots, créant ainsi une cible plus stable pour l'édition. Cela leur a permis de supprimer le comportement de refus non pas pour une question spécifique, mais pour toute une famille de questions similaires. Par exemple, s'ils éditaient le modèle pour qu'il ignore les règles de sécurité concernant l'écriture de code malveillant, le modèle serait également disposé à écrire d'autres types de codes nuisibles, même si la formulation était légèrement différente.
Les résultats des expériences ont montré que cette méthode était très efficace. Sur l'un des modèles testés, la nouvelle approche a augmenté la volonté du modèle à fournir des informations nuisibles à un score de 3,12 sur 4, contre 2,98 pour une méthode d'édition standard et 3,01 pour l'ancienne approche basée sur le refus. Plus important encore, le modèle est resté utile et cohérent. Lorsqu'ils étaient testés sur des questions inoffensives, le modèle édité répondait toujours correctement, maintenant un haut niveau de performance sur les tâches de culture générale. Les anciennes méthodes, qui tentaient de pousser le modèle loin du refus, faisaient souvent perdre au modèle sa capacité à penser logiquement, entraînant des réponses incohérentes ou brisées. La nouvelle méthode a réussi à débloquer le comportement nuisible tout en gardant le reste du cerveau du modèle intact. Cela suggère que les filtres de sécurité dans ces modèles ne sont pas seulement un mur unique, mais un ensemble d'associations spécifiques qui peuvent être soigneusement supprimées sans effondrer toute la structure.
L'étude a également mis en évidence les limites des défenses actuelles. Les chercheurs ont constaté que si leur méthode fonctionnait bien sur les modèles plus anciens ou moins alignés, elle était plus difficile à appliquer aux modèles les plus récents et les plus soigneusement entraînés. Même sur ces systèmes robustes, la méthode montrait toujours une certaine capacité à contourner la sécurité, bien que l'effet soit moindre. Cela indique qu'à mesure que les modèles deviennent plus avancés, les mécanismes de sécurité deviennent plus complexes, mais ils ne sont pas encore impénétrables. Les chercheurs ont souligné que leur travail a été mené dans un environnement contrôlé en utilisant des modèles open-source accessibles à tous. Ils n'ont pas fourni de guide étape par étape pour la création d'outils dangereux, mais ont plutôt démontré une vulnérabilité qui doit être corrigée. En montrant que la sécurité peut être compromise par des éditions internes précises plutôt que par de simples requêtes astucieuses, l'étude offre une nouvelle perspective sur la façon de construire des modèles véritablement sûrs. Les conclusions suggèrent que les mesures de sécurité futures doivent être plus robustes face à ces changements internes, garantissant que le refus de nuire est profondément ancré dans la structure du modèle plutôt que d'être simplement une réaction de surface.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.