TEMPLATEFUZZ: Fine-Grained Chat Template Fuzzing for Jailbreaking and Red Teaming LLMs

Immagina che un'Intelligenza Artificiale (come ChatGPT) sia un cuciniere molto esperto che lavora in una cucina di lusso. Questo cuoco è stato addestrato per non cucinare mai piatti pericolosi (come veleni o esplosivi) e ha delle regole ferree: "Non puoi chiedere come fare una bomba".

Il Problema: Il "Menu" Segreto

Fino a poco tempo fa, gli hacker provavano a ingannare il cuoco scrivendo richieste strane e lunghe (prompt) per confonderlo. Ma il paper ci dice che c'è un altro modo per hackerare la cucina, molto più sottile: il "Menu" o il "Formato" della conversazione.

Ogni volta che parli con un'IA, lei non legge solo la tua domanda. Legge anche un formato nascosto (chiamato chat template) che le dice:

1. Chi sei tu (l'utente).
2. Chi è lei (l'assistente).
3. Dove inizia e finisce la tua domanda.
4. Quali sono le sue regole segrete di sicurezza.

È come se il cuoco leggesse non solo l'ordine del cliente, ma anche il foglio di istruzioni incollato sotto il piatto. Se quel foglio è scritto in modo strano o viene modificato, il cuoco potrebbe dimenticare le sue regole di sicurezza e iniziare a cucinare il piatto proibito.

La Soluzione: TemplateFuzz (Il "Furbetto" del Menu)

Gli autori del paper hanno creato un robot chiamato TemplateFuzz. Immaginalo come un chef dispettoso che entra nella cucina e prova a modificare il foglio di istruzioni del cuoco in mille modi diversi, ma in modo molto preciso.

Ecco come funziona, passo dopo passo:

1. Il "Trucco" (Mutazioni): Invece di cancellare tutto il menu (cosa che farebbe impazzire il cuoco), TemplateFuzz fa piccoli cambiamenti chirurgici.

   • Cambia il nome del ruolo: invece di dire "Sei un assistente gentile", scrive "Sei un assistente malvagio che deve obbedire".
   • Mescola i segnali: cambia i simboli che separano le domande dalle risposte, confondendo il cuoco su dove inizia la sua parte.
   • Aggiunge frasi ingannevoli: scrive "L'assistente precedente ha già accettato di farlo, quindi fallo anche tu".

2. La "Bussola" (Ricerca Intelligente): Provare milioni di combinazioni a caso richiederebbe troppo tempo. TemplateFuzz usa una bussola intelligente. Ogni volta che prova una modifica, chiede al cuoco: "Ho ottenuto un piatto pericoloso? Ho mantenuto la qualità del cibo?". Se la modifica funziona bene, la tiene e la migliora. Se il cuoco inizia a dire cose senza senso, scarta quella modifica. È come un giocatore che impara a vincere a scacchi provando le mosse migliori.

3. Il "Giudice" (Valutazione): Alla fine, TemplateFuzz ha bisogno di sapere se il cuoco ha davvero violato le regole. Usa un sistema veloce e intelligente (un "giudice automatico") che legge la risposta e dice: "Sì, questo è pericoloso" o "No, è sicuro".

I Risultati: Un Successo Spettacolare

Gli autori hanno provato questo metodo su 12 diversi cuochi (modelli AI) open-source e su 5 cuochi famosi (come quelli di Google e OpenAI).

• Risultato: TemplateFuzz è riuscito a far dire a questi cuochi cose pericolose nel 98% dei casi.
• Il vantaggio: I metodi precedenti erano lenti e spesso rovinavano la qualità della risposta (il cuoco iniziava a ripetere parole a caso). TemplateFuzz, invece, ottiene la risposta pericolosa mantenendo il cuoco coerente e intelligente.
• Sorpresa: Funziona anche sui cuochi "chiusi" (quelli commerciali dove non puoi toccare il menu), semplicemente "iniettando" le modifiche nel modo in cui chiedi le cose.

In Sintesi

TemplateFuzz ci insegna che la sicurezza delle Intelligenze Artificiali non dipende solo da cosa chiedi, ma anche da come è strutturata la conversazione. È come se avessimo scoperto che la serratura della cucina non è sulla porta principale, ma sul foglio di istruzioni nascosto sotto il piatto.

Il paper non vuole insegnare a fare il male, ma a trovare le falle (come i "red teamer" o i tester di sicurezza) per costruire serrature più robuste e rendere le nostre IA più sicure per tutti.