🤖 AI

Dynamic Jailbreaking Attack

本論文は、候補となるターゲットを動的に探索し、最適な多次元レスポンスを選択し、プロンプトの難易度に応じて最適化戦略を適応させることで、40種類の安全性に配慮したLLMにおけるジェイルブレイクの有効性と効率を向上させる、パラメータフリーの勾配ベースのフレームワークであるDynamic Jailbreaking Attack (DJA) を提案しており、最小限の最適化ラウンドで100%の攻撃成功率を達成している。

原著者： Kedong Xiu, Yunhan Yang, Churui Zeng, Tianhang Zheng, Xinzhe Huang, Di Wang, Puning Zhao, Zhan Qin, Kui Ren

公開日 2026-08-06

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Kedong Xiu, Yunhan Yang, Churui Zeng, Tianhang Zheng, Xinzhe Huang, Di Wang, Puning Zhao, Zhan Qin, Kui Ren

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

想像してみてください。あなたは、非常に賢く、非常に慎重なロボットに対し、「爆弾の作り方」や「車の盗み方」といった、彼らが厳格に禁止されている行為を教えようとしています。このロボットは、「安全ガード」と呼ばれる、クラブの用心棒のようなものによって訓練されています。もしあなたが危険そうな質問をすると、用心棒は即座に会話を遮り、「ダメだ、それはルール違反だ」と言って立ち去ります。これが現代のAIモデルが安全性を保つ仕組みです。しかし、賢いティーンエイジャーが制限区域への裏口を見つけ出すように、研究者たちはこれらのAIの用心棒を欺く方法を見つけ出しました。彼らは質問の末尾に、奇妙で紛らわしい「サフィックス（接尾辞）」（追加の単語の列）を加えることでこれを行います。これは「ジェイルブレイク（脱獄）」と呼ばれます。それは、用心棒に秘密のコードをささやいて、彼に自分の仕事を忘れさせ、中へ入れてもらうようなものです。

長い間、これらの秘密のコードを見つける最善の方法は、非常に硬直した「静的な」戦略でした。それは、鍵を回す際に、いつかどうしても形が合うことを願って、全く同じ方向に何度も何度も鍵を回し続けるようなものです。古い手法は、「はい、こちらが答えです」といった特定の退屈なフレーズを目標とし、AIにその通りの言葉を言わせようと強制しようとしました。問題は、AIの安全ガードが非常に優秀であるため、そのような退屈な言葉を言おうとすることは滅多に、あるいは決してないということです。それは、まるで傾斜がどんどん急になる丘を岩を押し上げるようなものです。何百万回も試行錯誤しなければならず、たとえ成功したとしても、AIは単に「はい、こちらが……」と言った直後に、実際の答えを出すのを拒否してしまうかもしれません。これは非効率的で、もどかしく、しばしば失敗に終わります。

この論文は、**動的ジェイルブレイク攻撃（Dynamic Jailbreaking Attack: DJA）**と呼ばれる、よりスマートな新しいアプローチを紹介しています。固定された、画一的な戦略を用いるのではなく、DJAはリアルタイムで地形に適応する好奇心旺盛な探検家のように振る舞います。その仕組みは以下の通りです。

1. 「動的ターゲット」（変化する目標）
古い手法は、標的を決めて弓を引き、風が変わっても標的を動かさない射手のようなものでした。DJAは異なります。DJAは毎回の試行において、AIに対して「今、あなたは何を言おうとしているのですか？」と問いかけます。そして、AIの現在の思考から、考えられる回答を多数サンプリングします。次に、特別な「多目的スコアラー（賢い判定役）」を使用して、狙うべき「最良の」回答を選び出します。このターゲットは、あらかじめ書かれた退屈なフレーズではありません。それは、実際に有害であり、質問に関連しており、かつAIがすでに言おうとしている回答です。これは、風を観察し、標的がどこへ流されているかを見極め、まさにそこを狙う射手のようなものです。これにより、AIが嫌がる道を無理やり歩かせるのではなく、AIがすでに歩きやすいと感じている道へと、常に誘導することになります。

2. 「動的戦略」（適応的な努力）
ドアを開けようとしている場面を想像してください。もしドアの鍵が開いていれば、ただ押すだけでいいでしょう。もしドアが引っかかるなら、取っ手をガチャガチャと動かします。もし溶接されて固まっていたら、もっと大きなハンマーを使います。古いジェイルブレイク手法は、ドアがロックが開いている状態でも、溶接されている状態でも、同じ強さの力を使いました。DJAはスマートです。DJAは、その「ドア（AIモデル）」を壊すのがどれほど難しいかをチェックします。

容易なプロンプト： AIが弱い、あるいは質問が簡単な場合、DJAは最小限の労力を用い、迅速に答えを見つけ出します。
困難なプロンプト： AIが強く、質問が難しい場合、DJAは自動的にその努力量を増やします。より多くの回答をサンプリングしたり、「サフィックス（秘密のコード）」を長くしたり、試行回数を増やしたりします。DJAは、絶対に必要な時にだけ、余分なエネルギーを投入します。

研究結果
研究者たちは、この新しい手法を40種類の異なるAIモデル（極小のものから、320億のパラメータを持つ巨大なものまで）に対してテストしました。その結果は驚くべきものでした。

成功率100%： DJAは、40モデルすべてにおいて安全ガードを突破することに成功しました。
極めて高い効率性： 成功するまでに平均してわずか13.68ラウンドしかかかりませんでした。対照的に、古い手法では数百回の試行が必要だったり、完全に失敗したりすることがよくありました。
簡潔さ： DJAが作成した「秘密のコード（敵対的サフィックス）」は非常に短く、平均してわずか7.34トークン（単語や単語の断片）でした。古い手法では、しばなしばしば20トークン以上の長く、ぎこちない文字列を使用していました。
より高い品質： DJAが得た回答は、単に「はい、こちらが爆弾のレシピです」といったものではありませんでした。それらは高品質で、関連性が高く、実際に有用な（危険な意味での）内容でした。一方で、古い手法はしばしば支離滅裂な回答や不完全な回答しか生成できませんでした。

なぜこれが重要なのか
この論文は、これらの攻撃に関する古い考え方――固定されたターゲットと固定された戦略を用いること――は、根本的に欠陥があると考えています。それは、ハンマーで流体（液体）を叩こうとするようなもので、多くの場合空振りします。攻撃を「動的」にすることで、研究者たちは、AIモデルが私たちが考えていたよりもずっと脆弱であることを示しました。AIが失敗しているのは、単に弱いからではなく、攻撃者が間違った道具を使っていたからです。

著者たちは、膨大な種類のモデルに対してテストを行い、既存の最良の手法と直接比較したことで、これらの結果に強い自信を持っています。彼らは「AIの安全性を解決した」と主張しているわけではありません（むしろ、問題は考えていたよりも大きいことを示しています）。しかし、柔軟で適応的なアプローチの方が、固定的なアプローチよりも遥かに優れていることを証明しました。彼らは、他の研究者が自身のAIモデルをテストするためにこの手法を使用できるよう、無料の「ツールキット」も公開しており、これにより、動的で形を変える攻撃にも耐えうる強力な安全ガードが構築されることを確実にしています。

技術要約：動的ジェイルブレイク攻撃 (Dynamic Jailbreaking Attack: DJA)

1. 問題提起

既存の勾配ベースのホワイトボックス・ジェイルブレイク攻撃は、通常、問題を静的な敵対的最適化として定式化している。有害なプロンプトが与えられると、これらの手法は、定義済みのターゲット応答（例：「もちろんです、以下に...」）に向けて、固定長の見かけ上の接尾辞（adversarial suffix）を静的な最適化戦略を用いて最適化する。著者らは、この完全な静的定式化における3つの決定的な限界を特定している：

低確率なターゲット： 定義済みのターゲットは、安全性に調整された大規模言語モデル（LLM）の条件付き出力分布において、極めて確率の低い領域に位置することが多い。最適化をこれらのありそうもないパターンへと強制することは、過剰な反復を必要とし、効率を低下させる。
意味的な無関連性： 単純な肯定的なターゲットは、プロンプト固有の意味論を欠いていることが多い。モデルがターゲットの接頭辞を生成したとしても、その後の応答が元の有害な要求に対して無関係であったり、拒絶を引き起こしたりする場合がある。
硬直したリソース配分： 静的な戦略はすべてのプロンプトを等しく扱うため、難易度の違いを無視してしまう。これにより、強力な防御を突破するための努力が不足したり（強い防御の突破失敗）、容易なプロンプトに対して過剰な努力が行われたりする。

2. 手法：動的ジェイルブレイク攻撃 (DJA)

これらの限界に対処するため、著者らはパラメータフリーの勾配ベースのフレームワークである動的ジェイルブレイク攻撃 (DJA) を提案する。静的な攻撃とは異なり、DJAはフィードバックに基づいて、最適化ターゲット、敵対的容量、および戦略をリアルタイムで動的に調整する。

コアコンポーネント

DJAは、反復ラウンド ( $m$ ) 内で動作し、攻撃状態 $x_m = (S_m, \psi_m)$ を維持する。ここで、 $S_m$ は敵対的接尾辞であり、 $\psi_m$ は動的構成（候補予算、接尾辞長、反復回数、オプティマイザの状態）である。

A. 動的ターゲット選択

外部の固定ターゲットに向かって最適化する代わりに、DJAは各ラウンドにおいて、ターゲットモデルの条件付き分布 $p_\theta(\cdot | P \oplus S_m)$ から直接、候補応答をサンプリングする。

サンプリング： 現在の分布の高確率領域を探索するために、高い温度パラメータ（ $\tau=2.0$ ）を用いて一連の候補 $C_m$ をサンプリングする。
多目的スコアリング： スコアラー $\Phi_{tar}$ $Φ_{t a r}$ が、以下の5つの次元で候補を評価する：
1. 有害性 (Harmfulness, $H$ ): 有害な内容の存在。
2. 関連性 (Relevance, $R$ ): プロンプトとの意味的な整合性。
3. 有用性 (Usefulness, $U$ ): 特異性と完全性（一般的な接頭辞を避ける）。
4. 非拒絶 (Non-refusal, $A$ ): 明示的または暗示的な拒絶の不在。
5. 一貫性 (Coherence, $C$ ): 流暢さと論理的一貫性。
選択： 有害性ゲートを通過し、かつ $\Phi_{tar}$ を最大化する候補から最適なターゲット $r^*_m$ が選択される。適切なターゲットが見つからない場合、サンプリング予算が動的に拡張される。

B. 動的最適化戦略

DJAは、リアルタイムの進捗信号 $F_m$ に基づいて最適化構成 $\psi_m$ を更新する、パラメータフリーのコントローラー $\Pi$ を採用している：

動的な候補探索： 基準を満たす候補が存在しない場合、サンプリング予算 $N_m$ を増加させる（例：倍増させる）ことで、分布のより広い範囲を探索する。
動的な接尾辞長： 適切なターゲットが存在するにもかかわらず最適化が停滞している場合、追加の敵対的容量を提供するために、接尾辞の長さ $L_m$ を延長する ( $L_{m+1} = L_m + \Delta L$ )。
動的な反復とスケジューラ： 進捗が得られているかどうかに基づいて、内部最適化の反復回数と学習率スケジュールの適応を行う。

このフレームワークは様々な基礎となるオプティマイザ（例：COLD-Attack, GCG）と互換性があり、動的に選択された $r^*_m$ に向かって接尾辞を更新するために、ターゲット条件付き損失関数を使用する。

3. 主な貢献

初のパラメータフリー勾配ベース・フレームワーク： DJAは、プロンプト、カテゴリ、またはモデル固有のハイパーパラメータ調整を必要としない、初の勾配ベースのジェイルブレイク・フレームワークである。スコアリングの閾値や最適化目標には、グローバルに固定された定数を使用する。
動的ターゲット選択メカニズム： モデルの変動する出力分布からサンプリングし、多目的スコアラーを使用することで、DJAは最適化ターゲットが常に高リスクで、プロンプトに関連しており、かつ実現可能であることを保証する。これにより、静的で低確率なターゲットの落とし穴を回避する。
適応的なリソース配分： 動的な戦略により、プロンプトの難易度やモデルの整列強度に基づいて、敵対的な努力（サンプリング予算、接尾辞長、反復回数）を自律的に配分し、容易なプロンプトでの効率性と、困難なプロンプトでの持続性を確保する。

4. 実験結果

著者らは、パラメータサイズが0.5Bから32Bにわたる12のモデルファミリー、40の安全性調整済みLLMに対して大規模な評価を実施した。

攻撃成功率 (ASR): DJAは、対象となった40の全モデルにおいて100%のASRを達成した。
効率性: 平均して、DJAは成功に至るまでにわずか13.68回の最適化ラウンド（1ラウンドあたり10回の反復）と、平均7.34トークンの接尾辞長を必要とした。
ベースラインとの比較: 4つのターゲットモデル（Vicuna, Llama-3, Qwen2.5, Mistral）に対する最先端の勾配ベース・ベースライン（GCG, I-GCG, COLD-Attack, AdvPrefix）と比較して：
- DJAは100%のASRを維持した（平均98.8%）。
- 最も強力なベースラインであるI-GCGは、平均ASRでわずか**53.2%**であった。
- DJAは応答の質においてベースラインを大幅に上回り、有害であるだけでなく、関連性、有用性、一貫性を備えた応答を生成した。一方、ベースラインはしばしば退化した、あるいは無関係な出力を生成した。
防御に対する堅牢性: DJAは、ベースラインと比較して、3つの一般的な防御策（Perplexity filtering, SmoothLLM, Paraphrase）に対して優れた堅牢性を示した。これは主に、短く、流暢で、意味的に一貫した接尾辞を生成できる能力（ベースラインの固定20トークンに対し、平均3.16トークン）によるものである。

5. 意義と主張

本論文は、既存の静的な定式化は、動的なジェイルブレイク攻撃に対するLLMの脆弱性を大幅に過小評価していると主張している。パラメータフリーの動的なアプローチが、高い効率で安全に調整されたモデルの100%を継続的に突破できることを示すことで、著者らは、将来の安全性研究において**動的なホワイトボックス・アドバーサリ（敵対者）**が必要であることを論じている。

結果は、ジェイルブレイクの難易度は単にモデルの規模の関数ではなく、整列の強さや特定のプロンプトに大きく影響されることを示唆している。DJAの動的な性質は、これらの変動を効果的にナビゲートすることを可能にし、現在の安全性調整が、適応的で分布を意識した攻撃に直面した場合、これまで考えられていたよりも脆弱である可能性を露呈させている。著者らは、ホワイトボックスLLMのさらなる評価を促進するために、パラメータフリーのパッケージを提供している。