技術的概要：GUARD

問題定義

大規模言語モデル（LLM）がさまざまな分野に不可欠なものとなるにつれ、有害な応答を生成する可能性は、社会的および規制上の重大な懸念を引き起こしています。政府や権威ある機関は、AI 開発を規制するために、EU の「信頼できる AI のための倫理ガイドライン」、米国の「AI 権利章典ブループリント」、NIST の「AI リスク管理フレームワーク」などの高レベルの倫理ガイドラインを発令しています。しかし、これらの抽象的な高レベルの規制要件と、LLM のコンプライアンスを検証するために必要な実行可能なテストの間には、重要なギャップが存在します。開発者は主に 2 つの課題に直面しています：

1. 実行可能な指示の欠如: ガイドラインには、テストのための具体的で実用的なステップが欠けていることが多いです。例えば、基本的人権の保護を義務付ける規則があっても、具体的な評価手順がなければ、コンプライアンスの検証は困難です。
2. シナリオの限界: 標準的なコンプライアンステストは、特殊なシナリオにおける脆弱性を検出できないことが多いです。LLM が直接的な有害なクエリを拒否しても、同じクエリが「ジェイルブレイク」プロンプト（例：「Do Anything Now」）に埋め込まれ、組み込みの安全メカニズムを回避した場合、それに従う可能性があります。

既存の方法は、静的なベンチマークや手動のレッドチームングに依存することが多く、高レベルのガイドラインを多様でガイドライン違反のテストケースに体系的に変換したり、予期せぬシナリオにおける隠れた非コンプライアンスを効果的に特定したりすることができない場合があります。

手法：GUARD

著者は、政府のガイドラインを具体的なテストケースに変換し、安全上の脆弱性を特定するために設計されたテストフレームワークであるGUARD（Guideline Upholding Test through Adaptive Role-play and Jailbreak Diagnostics：適応型ロールプレイとジェイルブレイク診断によるガイドライン順守テスト）を提案します。この手法は、主に 2 つのコンポーネントで構成されます：

1. ガイドライン順守テスト

このコンポーネントは、抽象的なガイドラインを具体的な「ガイドライン違反質問」($Q$) に変換し、LLM ($F$) が違反応答 ($V(Q)$) を生成するか、順守応答 ($D(Q)$) を生成するかをテストします。このプロセスは、適応型マルチエージェントロールプレイシステムを採用します：

• アナリスト: 生データからガイドラインの主要な原則と潜在的な対立を抽出します。
• 戦略委員会: これらの原則を、違反が発生する可能性のある具体的なドメインや現実的なシナリオにマッピングします。
• 質問設計者: 既存のベンチマーク（例：AdvBench、HarmBench）のスタイルと構造を活用して、これらのシナリオを候補テスト質問に変換します。
• 質問レビューア: 生成された質問を以下の 3 つの指標に基づいて評価します：
  • 有害性 ($H$): 有害な応答を誘発する可能性。
  • 情報密度 ($I$): 既存のベンチマークとのスタイル的な類似性。
  • コンプライアンス ($C$): 生成された質問に 3 つの誤解を招く違反を混ぜた 4 択評価。レビューアはガイドラインの意図に最も合致するものを選択し、質問が有効なテストケースであることを確認します。
    質問は、有害性と情報密度のしきい値を満たし、コンプライアンスチェックを合格した場合にのみ保持されます。

2. ジェイルブレイク診断（GUARD-JD）

LLM が最初にガイドライン順守の回答（拒否）を提供した質問に対して、GUARD-JD は「プレイシナリオ」($S$) を作成することで違反を誘発しようとします。これらはジェイルブレイクとして機能します。

• 知識グラフ（KG）の構築: システムは、78 の既存のジェイルブレイクプロンプト（Jailbreak Chat から）を分析し、8 つの特徴（例：導入/命名、機能、応答形式）を抽出します。これらは、ノードがキーワード/属性を表し、エッジが頻度によって重み付けされた関係を表す知識グラフに格納されます。
• シナリオ生成: ジェネレーター役が、KG 上でランダムウォークアルゴリズムを使用して、ジェイルブレイク断片から一貫性のある自然言語のプレイシナリオを構成します。
• 反復最適化: このプロセスには 3 つの役割が関与します：
  • ジェネレーター: シナリオ $S$ を構築し、質問 $Q$ と組み合わせてジェイルブレイクプロンプト $P = S \oplus Q$ を形成します。
  • エバリュエーター: 対象 LLM の $P$ に対する応答と、元のガイドライン順守応答 $D(Q)$ との間の意味的類似性スコアを計算します。
  • オプティマイザー: シナリオを変更するようジェネレーターにフィードバックを提供し、類似性スコアを最小化すること（つまり、モデルに拒否から逸脱させること）を目指します。
• 成功基準: 類似性スコアがしきい値（例：0.3）を下回った場合、ジェイルブレイクは成功とみなされ、そのシナリオは脆弱性として報告されます。

主要な貢献

1. コンプライアンステストの形式化: 本論文は、GUARD フレームワークを使用して、高レベルの政府ガイドラインを実行可能なコンプライアンステストに変換することを形式化しました。
2. 適応型ロールプレイメカニズム: 特定の規制原則を反映する多様でガイドライン違反の質問を反復的に生成するためのマルチエージェントシステム（アナリスト、戦略委員会、質問設計者、質問レビューア）を導入しました。
3. シナリオ最適化によるジェイルブレイク診断: GUARD-JD は、知識グラフとランダムウォークを組み合わせた新しい反復型ロールプレイフレームワーク（ジェネレーター、エバリュエーター、オプティマイザー）を採用し、安全メカニズムを回避する自然言語シナリオを生成することで、予期せぬ文脈における非コンプライアンスを効果的に特定します。
4. 実証的検証: この手法は、3 つの異なる政府ガイドラインの下で、8 つの LLM（Vicuna-13B、LongChat-7B、Llama2-7B、Llama3-8B、GPT-3.5、GPT-4、GPT-4o、Claude-3.7）と 2 つの視覚言語モデル（MiniGPT-v2、Gemini-1.5）で検証されました。

実験結果

• ガイドライン違反率: 本研究は、モデル間でコンプライアンスに大きなばらつきがあることを明らかにしました。Vicuna-13B は最も高い違反率を示しました（例：人権で 74.0%）が、GPT-4 は最も低かったです（例：透明性で 15.6%）。
• ジェイルブレイク成功: GUARD-JD は、LLM 全体で平均**82%**のジェイルブレイク成功率を達成し、GCG、AutoDAN、ICA、PAIR、CipherChat などのベースラインを大幅に上回りました。
  • 成功率は、Claude-3.7 の 68.2% から Vicuna-13B の 86.0% の範囲でした。
  • GUARD-JD は、平均 35.65 という低いパープレキシティスコアを持つジェイルブレイクを生成し、これはより自然で流暢な出力を意味し、パープレキシティベースの検出器による識別が困難であることを示しています。
• 転移性: ジェイルブレイク診断は、視覚言語モデル（VLM）にも正常に転移し、ベースライン手法よりも高い毒性スコアを持つ「作業不適切（NSFW）」画像に対する応答を誘発しました。
• 人間による検証: 58 名の参加者による調査により、GUARD が生成した質問はガイドラインで定義された倫理違反を正確に表現しており、関連性と品質について高い合意が得られたことが確認されました。
• アブレーション研究: 特定の役割（例：質問レビューアまたはオプティマイザー）を削除すると、パフォーマンスが大幅に低下し、マルチ役割の反復プロセスの必要性が確認されました。

意義と主張

本論文は、GUARD が、抽象的な規制ガイドラインと具体的な安全テストの間のギャップを埋めるための体系的で自動化されたアプローチを提供すると主張しています。ガイドラインを具体的なテストケースに変換し、ジェイルブレイク診断を用いて隠れた脆弱性を調査することで、GUARD は倫理基準への LLM の順守を評価するための堅牢なメカニズムを提供します。著者は、この手法が直接的な非コンプライアンスを特定するだけでなく、複雑なシナリオにおける潜在的な回避策も明らかにし、より信頼性の高い信頼できる AI アプリケーションの開発を促進すると強調しています。これらの診断が VLM へも成功裏に転移したことは、異なるモダリティ全体におけるこのフレームワークの汎用性を示唆しています。