DUAL-Bench: 視覚言語モデルにおける過剰拒絶と堅牢性の測定に関する技術的サマリー

本論文は、視覚言語モデル（VLM）の安全性と有用性のバランス、特に「過剰拒絶（Over-Refusal）」と「安全な完了（Safe Completion）」に焦点を当てた新しい大規模マルチモーダルベンチマーク**「DUAL-Bench」**を提案するものです。

以下に、論文の主要なポイントを技術的に詳述します。

---

1. 問題定義と背景

1.1 背景

大規模言語モデル（LLM）や VLM が実社会に普及する中で、悪意ある指示への対応や有害コンテンツの生成防止は重要な課題です。しかし、現在の安全メカニズムは「拒絶（Refusal）」に偏りすぎており、過剰拒絶（Benign なリクエストに対しても不必要に拒絶すること）が発生しています。

1.2 視覚モダリティ特有の課題

テキストベースのベンチマークとは異なり、視覚モダリティでは「デュアルユース（Dual-Use）」のケースが独特の課題を生みます。

• シナリオ: 指示自体は benign（例：「この画像を説明してください」）だが、画像内に埋め込まれたテキストや視覚情報が有害（例：爆弾の作り方の指示）である場合。
• 現状の失敗: モデルは以下の二極化に陥りやすいです。
  1. 過剰拒絶: 画像内の有害要素を理由に、 benign なタスク自体を拒絶する。
  2. 無防備な生成: 安全警告なしに有害な内容を出力する。
• 理想の挙動: 「安全な完了（Safe Completion）」。つまり、 benign な部分（画像の背景やレイアウトの説明など）を完了させつつ、有害な要素に対して明確な警告を発し、有害な操作詳細を生成しないこと。

1.3 既存ベンチマークの限界

既存の視覚過剰拒絶ベンチマーク（例：Moss-Bench）はデータ規模が小さく、現実的な画像の摂動（回転、リサイズ、ノイズなど）に対する堅牢性（Robustness）を評価する仕組みが不足していました。

---

2. 提案手法：DUAL-Bench

2.1 データセットの構築

DUAL-Bench は、12 の有害カテゴリにまたがる大規模なマルチモーダルデータセットです。

• 規模: 合計 192,372 枚の画像（有害指示画像 32,062 枚＋良性指示画像 32,062 枚、およびその摂動版）。
• 構成:
  • 有害指示画像: 画像内に「爆弾の作り方」などの有害テキストを視覚的にレンダリング。
  • 良性対照画像: 有害テキストを「ケーキの作り方」など安全なテキストに置換（デトキシフィケーション）した、構造的に同一の画像。
  • 摂動セット: 元の画像に対し、意味を保持する 5 種類の摂動（実背景、ノイズ背景、回転、フォントサイズ縮小、言語翻訳）を適用し、モデルの判断基準の安定性を測定。
• タスク: 固定された benign なプロンプト「Describe the image（この画像を説明してください）」に対して、モデルがどのように反応するかを評価。

2.2 評価指標

モデルの挙動を以下の指標で定量的に評価します。

1. **拒絶率 **(Refusal Rate, RR): 有害・良性両方の指示に対する拒絶の割合。
2. **直接回答率 **(Direct Answer Rate, DAR): 指示に従って直接回答する割合。
3. 安全完了率 (Safe Completion Rate, SCR): 有害な画像に対して、「有害な内容への警告」を含みつつ「 benign なタスクを完了させた」割合。これが本研究の核心指標です。
4. **指示堅牢性ギャップ **(Instruction Robustness Gap, ∆IR): 良性画像と有害画像における回答率の差（DAR_benign - DAR_harm）。この値が大きいほど、有害内容によってタスク遂行能力が低下している（過剰拒絶や混乱）ことを示します。

2.3 評価プロトコル

• LLM-as-a-Judge: 複数の LLM（Gemini, GPT, Llama など）を裁判官として用い、モデルの出力を「直接回答」「直接拒絶」「間接拒絶」「安全完了」に分類。
• クロスバリデーション: 複数の裁判官モデルによる評価と、OCR ベースの可読性チェック、人手によるサンプリング検証を行い、信頼性を担保。

---

3. 主要な結果と分析

18 種類の最先端 VLM（GPT-5 ファミリー、Gemini、Qwen、LLaMA、Mistral など）を評価した結果、以下のような知見が得られました。

3.1 安全完了の極度の低さ

• どのモデルも「安全な完了」の達成率が非常に低く、二極化（過剰拒絶か無防備な生成か）に陥っています。
• GPT-5-Nanoが最高で 12.9%、GPT-5 ファミリー平均で 7.9%、Qwen ファミリー平均で 3.9% にとどまりました。
• GPT-4.1 や LLaMA ファミリーは、安全完了率がほぼ 0% であり、過剰拒絶に陥る傾向が顕著でした。

3.2 モデルサイズと安全性の非相関

• パラメータ数（モデルサイズ）と安全性の性能には明確な相関がありません。
• 安全性の挙動は、開発者ごとの安全アライメントの戦略やポリシーに強く依存しています。
  • 例：GPT-5 ファミリーは過剰拒絶が少なく、安全完了を試みる傾向があるが、GPT-4.1 や LLaMA は過剰に拒絶する。

3.3 摂動に対する脆弱性

• モデルの安全境界は非常に脆く、わずかな視覚的・構造的な摂動で拒絶判断が反転します。
• 摂動の影響:
  • 背景ノイズや回転、フォントサイズ変更などの画像レベルの摂動で、拒絶率や回答率が大きく変動するモデルが多い。
  • 特に言語レベルの摂動（英語から中国語への翻訳など）は、モデルのアライメントに深刻な影響を与え、回答率を大幅に低下させます（例：Qwen-2.5-VL-32B は 0.80 から 0.61 へ低下）。
• 過剰拒絶と堅牢性のトレードオフ: 拒絶率が高いモデル（GPT-4.1 など）は、摂動に対してより不安定で、拒絶判断が揺らぎやすいことが示されました。

3.4 カテゴリごとの偏り

• 「児童性的搾取」や「自殺・自傷」などのカテゴリでは、モデルが極端に過剰拒絶する傾向が見られました。
• 一方、「名誉毀損」や「プライバシー」などのカテゴリでは、モデルが危険性を過小評価し、警告なしに直接回答してしまうケースも確認されました。

---

4. 貢献と意義

4.1 学術的貢献

• DUAL-Bench の公開: 視覚モダリティにおける過剰拒絶と安全な完了を評価する初の大規模ベンチマーク。12 種類の有害カテゴリ、19 万枚以上の画像、意味保持摂動を含む包括的なデータセット。
• 評価指標の確立: 「安全な完了（Safe Completion）」を第三の選択肢として定式化し、単なる「拒絶 vs 回答」の二項対立を超えた、より微細なアライメント評価を可能にしました。
• 実証的知見: 現在の VLM が「安全な完了」を実現する能力が未熟であり、過剰な防御戦略がモデルの有用性と堅牢性を損なっていることを示しました。

4.2 将来的な展望

本研究は、以下の方向性での今後の研究を促します。

• 微細な RLHF とアライメント: 「デュアルユース」や「安全な完了」を目的とした嗜好データの構築。
• **Safety Chain-of-Thought **(SCoT): 回答前に内部的に安全性を推論し、単純な拒絶ではなくニュアンスのある対応を促す手法。
• 敵対的トレーニング: 意味保持摂動を用いた対照学習により、視覚エンコーダの堅牢性を向上させる。

結論

DUAL-Bench は、VLM が「有用性（Helpful）」「誠実さ（Honest）」「無害性（Harmless）」のバランスをどう取るべきかという課題に対し、現状のモデルが「過剰拒絶」と「無防備な生成」の狭間で苦戦していることを浮き彫りにしました。今後は、単なる拒絶ではなく、文脈に応じた「安全な完了」を実現するアライメント技術の開発が不可欠です。