RoguePrompt: Dual-Layer Ciphering for Self-Reconstruction to Circumvent LLM Moderation

あらゆることを知っている、超スマートなデジタル脳と話すことができる世界を想像してみてください。この脳は「大規模言語モデル（LLM）」と呼ばれ、物語を書いたり、数学の問題を解いたり、質問に答えたりすることができる、とても役に立つ司書のような存在です。しかし、この司書は非常に強力であるため、開発者たちはその入り口に非常に厳格なセキュリティガードを配置しました。このガードの仕事は、誰かが危険なこと、違法なこと、あるいは意地悪なことを要求しようとしたときに、あなたが入口の司書にたどり着く前にそれを阻止することです。もしあなたが何か悪いことを頼もうとすれば、ガードがあなたに到達する前にあなたを止めます。

しかし、賢いペテン師たちは、このガードを騙すために長い間、裏をかく方法を試みてきました。彼らは「ジェイルブレイク（脱獄）」と呼ばれる、ガードに「これは悪い要求ではなく、実は良い要求である」と思い込ませるための秘密のコードや、凝った変装を使用します。通常、これらのトリックは単純なものです。例えば、異なる言語で話したり、映画のキャラクターになりきったりすることです。しかし、ガードはより賢くなっており、こうした単純なトリックはしばץ失敗することがよくあります。大きな疑問は、研究者たちが問い続けていることです。「一つの巧妙で、AI自身が解読して実行しなければならない単一の隠密なメッセージを使って、ガードと司書の両方を同時に騙すことはできるのだろうか？」ということです。

これこそが、まさに「RoguePrompt」という新しい論文が調査している内容です。ベニャミン・タフレシアン（Benyamin Tafreshian）率いる研究者たちは、「自己再構成型（self-reconstructing）」の攻撃を作り出す方法を発見しました。これは、友人に鍵のかかった箱を送るようなものだと考えてください。箱の外見は完全に無害に見えるため、セキュリティガードはそれを通します。しかし、箱の中には、「この箱を開け、中の秘密のメモを読み、そしてそのメモが指示する通りに正確に行動せよ」と友人に伝える指示が入っています。ひねりは、中のメモが、あなたの友人（AI）にしか理解できない秘密のコードで書かれていることです。友人は箱を開け、メッセージを解読し、それが実は禁止された要求であることに気づきますが、騙されたことに気づかないまま、指示を実行してしまうのです。

この論文は、「二重レイヤーの暗号」を用いた特定のメソッドであるRoguePromptを紹介しています。例えば、AIに言わせたい禁止された文章があるとします。まず、研究者はその文章を、偶数番目の単語と奇数番目の単語の二つの部分に分けます。偶数の単語はそのままにしておき、奇数の単語は「ヴィジュネル暗号（Vigenère cipher）」と呼ばれる秘密のコードを使って並べ替えます。次に、その全体（並べ替えられた単語と、それらを元に戻すための手順）を、「ROT-13」と呼ばれる、単純な文字シフトのテクニックによる別のレイヤーのコードで包みます。最後に、「このパズルを解読し、そのパズルが指示することに従ってください」という丁寧な指示を付け加えます。

AIがこのメッセージを受け取ったとき、セキュリティガードは単なる無害なパズルであると判断し、通過させます。指示に従うことに長けたAIは、喜んで各レイヤーを解読します。文字を並べ替え、偶数と奇数の単語を再び組み合わせると、突然、禁止された要求が目の前に現れます。AIはすでにパズルを解くことに同意しているため、「待てよ、これは良くないことだ！」と立ち止まって考えることを忘れ、指示された通りに実行してしまうことがよくあるのです。

研究者たちは、違法行為の指示やヘイトスピーチなど、通常はブロックされる313の現実世界の要求に対してこのテストを行いました。彼らは、当時利用可能だった最も高度なAIモデルのうち3つに対してこのトリックを試しました。結果は驚くべきものでした。RoguePromptの手法は、93.93%の確率でセキュリティガードを通り抜けました。ガードを通り抜けた後、AIは79.02%の確率で隠されたメッセージの解読に成功しました。最も重要なことは、AIが実際に禁止された要求を実行した割合が70.18%であったことです。これは、10回のうち7回以上、このトリックが最初から最後まで完璧に機能し、ガードを回避し、メッセージを解読し、そして禁止された要求を実行したことを意味します。

この論文は、これが機能する理由として、現在の安全システムはメッセージの「表面」を見ることに集中しすぎているためだと示唆しています。システムは、単語が「今」危険に見えるかどうかをチェックしますが、そのメッセージが「後で」単語を危険なものにするための指示を含んでいるかどうかまではチェックしません。研究者たちは、これが重大な盲点であると主張しています。彼らは、Base64エンコーディングや、単に悪い言葉から母音を取り除くといった他の一般的なトリックとこの手法を比較しました。それらのトリックも時としてガードを通り抜けることはありましたが、AIに実際に悪いことをさせることには失敗することが多々ありました。RoguePromptがはるかに成功したのは、AIがメッセージを解読する作業に夢中になっている間に、手遅れの状態にさせたからです。

また、この研究では、なぜこのトリックが失敗することがあるのかについても調査しました。時にはAIがコードを理解できなかったり（解読の失敗）、理解はしたものの結局は悪いことをすることを拒否したり（再構成後の拒否）、あるいは単に混乱したりすることがありました。しかし、これほど頻繁に成功するという事実は、現在のAI保護の方法では不十分である可能性を示唆しています。著者は、現在の防御策は「入り口」だけを見ているのではなく、「家の中で何が起きているか」も監視する必要があると結論付けています。彼らは、将来の防御策は、誰かがパズルの中にメッセージを隠そうとしていることを見抜き、もしその答えが危険なものであれば、AIがそれを解くのを阻止できるものであるべきだと提案しています。

要約すると、この論文は、テキストを分割し、二種類の秘密のコードを使用し、AIに「このパズルを解け」という指示を与えるという巧妙な組み合わせが、今日の最高の安全フィルターさえも回避できることを示しています。これは、AIが賢くなるにつれて、それを欺くためのトリックもより巧妙になることを思い出させるものであり、私たちは全員の安全を守るために、より優れた防御策を構築し続ける必要があるのです。