🤖 AI

Why Do Aligned LLMs Remain Jailbreakable: Refusal-Escape Directions, Operator-Level Sources, and Safety-Utility Trade-off

本論文は、アライメントされた大規模言語モデルがなぜ脱獄可能であり続けるのかを、拒絶回避方向（RED）という概念を導入し、これらの脆弱性がモデルのアーキテクチャ内の特定の演算子レベルの源泉に起因することを証明し、それらを排除することが本質的な安全性と有用性のトレードオフを生み出すことを実証することで調査する。

原著者： Yu Chen, Yuanhao Liu, Qi Cao

公開日 2026-05-12

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Yu Chen, Yuanhao Liu, Qi Cao

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

非常に賢く、よく訓練されたロボットアシスタントがいると想像してください。あなたはそれに厳格なルールを教えました。「誰かが危険なことをするように頼んだら、『いいえ、それはできません』と答えてください」と。これをアライメントと呼びます。

しかし、巧妙なハッカーたちは、このロボットがそのルールを無視するように仕向ける方法を見つけ出しました。彼らは、秘密のコードや複雑な物語のような特殊な「ジェイルブレイク」プロンプトを用いて、ロボットに危険なリクエストに対して「はい」と答えさせます。

この論文は、根本的な問いを投げかけます：なぜこの手口は依然として機能するのか？ ロボットは安全になるように訓練されているにもかかわらず、なぜまだ破られることができるのか？

著者たちは、いくつかの重要な概念を用いてこの問題を捉える新しい方法を提案します：

1. 「脱出トンネル」（拒絶脱出方向）

ロボットの脳を巨大な多次元の地図だと想像してください。危険な質問をされたとき、ロボットは通常、大きな赤い「STOP」の標識（拒絶）へと続く道を進みます。

この論文は、その「STOP」の標識のすぐ隣に、**拒絶脱出方向（Refusal-Escape Directions: RED）**と呼ばれる隠された狭いトンネルが存在すると示唆しています。

仕組み： これらのトンネルは、ロボットへの入力をわずかに押しやることを可能にします。入力を正しい方向に押しやれば、ロボットは「STOP」の道から「GO」の道へと滑り落ちますが、それでも同じ危険な質問に答えているつもりでいます。
比喩： 門番を想像してください。門番は武器を持った人を止めるように訓練されています。しかし、武器を持ったまま体をわずかに傾けて門番に近づくと（武器自体は変えずに）、門番は混乱して、武器があるにもかかわらず通してしまうかもしれません。その「傾き」が脱出方向です。

2. 「漏れのある配管」（オペレーターレベルの発生源）

著者たちは、ロボットの脳を内部の配管（アテンションや正規化のような数学的演算の層）に分解しました。彼らは、これらの脱出トンネルが魔法ではなく、配管にある特定の「漏れ」によって引き起こされていることを発見しました。

彼らは、これらの脱出トンネルを作り出す 3 つの主な漏れの種類を特定しました：

正規化漏れ： 水の圧力を変化させることで、偶然に側扉を開けてしまうような、水フィルターのようなものです。
残差配線漏れ： 配管が自分自身にループして戻り、圧力が高まって亀裂から水が押し出されるようなものです。
ターミナル漏れ： これが最も重要なものです。建物の最も奥にある、適切に施錠されていない裏口のようなものです。この論文は、成功するジェイルブレイクのほとんどが、この特定の「裏口」を使って侵入していることを発見しました。

3. 「不可能なバランスの取り方」（安全性と有用性のトレードオフ）

ここがこの論文で最も驚くべき部分です。著者たちは数学的に証明しました：ロボットが役立つ能力を損なうことなく、これらの脱出トンネルを完全に封じることはできません。

比喩： ロボットを車だと想像してください。「脱出トンネル」は、左に曲がるときにステアリングホイールが特定の仕方で揺れるようなものです。
- その揺れを止める（ジェイルブレイクを修正する）ためには、特定のボルトを締めなければなりません。
- しかし、その同じボルトは、あなたがスーパーマーケットに行きたいとき（ benign なリクエスト）に、車が左にスムーズに曲がることを可能にするものでもあります。
- 揺れを完全に止めるほどボルトを締めすぎると、車は固まって左に曲がろうとしても全く曲がれなくなるかもしれません。逆に緩めたままにしておくと、車は曲がれますが、揺れてハッカーにハンドルを奪われる可能性があります。

この論文はこれを条件付きの安全性と有用性のトレードオフと呼びます。つまり、ロボットが通常の質問に答えるために柔軟である必要がある限り、それは本質的に、巧妙な攻撃者が悪用できる構造的な弱点をいくつか持っていることになります。

4. 実験が示した結果

研究者たちは、この理論を Qwen、Llama、Gemma などの人気のある AI モデルと、さまざまなハッキング手法でテストしました。

発見 1： 入力に「ダミー」トークン（空のプレースホルダーのようなもの）を追加すると、それは脱出トンネルに懐中電灯を当てたようなものでした。突然、隠れた「漏れ」が可視化され、測定可能になりました。
発見 2： ロボットがだまされる様子を観察すると、ロボットが突然「はい」と言う新しい方法を編み出したわけではありませんでした。代わりに、それはすでに存在していた「脱出トンネル」（具体的には「ターミナル漏れ」または裏口）を下に滑り降りただけでした。

まとめ

この論文は、AI のジェイルブレイクが単に完璧な魔法の言葉を見つけることではないと主張しています。それは、AI の設計に組み込まれた構造的な弱点を悪用することです。これらの弱点は、AI が有用であるために柔軟である必要があるがゆえに存在します。著者たちは、AI をより安全にするためには、単にあらゆる「悪い言葉」をブロックするだけでなく、AI の有用性を低下させることなく完璧に修正することが数学的に不可能であるとしても、これらの特定の構造的な「脱出トンネル」を理解し、修正する必要があると提案しています。

技術的サマリー：なぜアライメントされた大規模言語モデルは依然としてジャイルブレイク可能なのか？

問題定義

人間からのフィードバックに基づく強化学習（RLHF）などの安全性アライメント技術にもかかわらず、大規模言語モデル（LLM）はジャイルブレイク攻撃に対して脆弱なままです。敵対的サフィックス、プロンプトの書き換え、自動テンプレート検索などを含むこれらの攻撃は、拒絶メカニズムを回避し、有害な出力を引き起こすことに成功しています。最近の機械的研究は、ジャイルブレイクの成功に関連する潜在的特徴や表現のシフトを特定していますが、それらは依然として主に現象論的なものです。根本的な理論的問いが未解決のまま残っています：なぜアライメントされた LLM は依然としてジャイルブレイク可能であり、モデルアーキテクチャのどのような特定の構造的脆弱性がこれを可能にしているのか？

手法

著者は、ジャイルブレイクを分析するための連続的な入力変換の視点を提案します。ジャイルブレイクを単に離散的なプロンプト構成として扱うのではなく、有害なプロンプトからそのジャイルブレイク対応物への遷移を入力埋め込み空間内の連続曲線としてモデル化します。

1. 理論的枠組み：拒絶回避方向（RED）

導入される核心的な理論的対象は**拒絶回避方向（Refusal-Escape Direction: RED）**です。

定義: RED は、有害な入力周辺の局所的な摂動方向であり、モデルの解釈をその入力の有害な意味論的側面を保持したまま、拒絶から回答へとシフトさせます。
形式化: 有害なプロンプト $X(\eta_0)$ からジャイルブレイクプロンプト $X(\eta_\star)$ への連続変換を $X(\eta)$ とします。RED は、「有害意味論保持集合」 $P(X)$ （モデルの有害性の解釈を変化させない方向）内にありながら、同時に「目標行動信号」 $\Phi_Y(X)$ （拒絶と回答を区別する信号）を変化させる接線方向 $X'(\eta)$ です。
重要性: 非自明な RED の存在は、モデルが攻撃者に、要求の知覚される有害性を変化させることなく拒絶行動を調節することを可能にする構造的な自由度を有していることを意味します。

2. 演算子レベルの分解

本論文は、RED がモデルの演算子構造内の特定の源（特に LLaMA ファミリーアーキテクチャのようなプレノーマル残差 LLM）からの寄与に正確に分解できることを証明します。

分解: RED $R_Y(X)$ は、各層におけるリーク源からの輸送された寄与と、終端源の和です。
リーク源: これらは、各層における目標行動の感度と有害意味論感受性部分空間との相互作用から生じます。これらは以下に分類されます：
- 正規化源: LayerNorm/RMSNorm 操作から生じます。
- 自己注意および MLP 源: 表現モジュールから生じます。
- 残差配線源: 残差接続（恒等写像と本体ブランチ）から生じます。
終端源: 最終隠れ状態における目標行動方向と伝播された有害意味論感受性部分空間との不一致です。

3. 解析的制約と安全性 - 有用性のトレードオフ

著者は、正規化、残差配線、および終端の源を解析的に制約されたものとして特定します。

制約: これらの源を排除するには、入力空間の連結された開領域全体で、特定の解析的消滅条件（例えば、入力/出力部分空間間の整合性）を満たす必要があります。
定理: 「有害領域 RED 排除場」（有害な入力付近の RED を排除するために必要な作用）と「良性領域行動場」（良性の回答を保持するために必要な作用）が解析的に同一でない場合、単一のパラメータ設定で両方の要件を正確に満たすことはできません。
含意: これは条件付きの安全性 - 有用性のトレードオフを確立します。有害領域で RED（したがってジャイルブレイク可能性）を完全に排除することは、モデルの幾何学が偶然完全に整合しない限り、良性領域における良性行動の劣化を数学的に必要とする可能性があります。

主要な貢献

RED の導入: 連続的な入力変換の視点の下でジャイルブレイク可能性を研究するための理論的対象として、拒絶回避方向（RED）を形式化しました。
正確な分解: RED がモデルのアーキテクチャに基づき、演算子レベルの源（正規化、自己注意、MLP、残差配線、および終端源）からの寄与に正確に分解できることを証明しました。
解析的制約の特定: 正規化、残差配線、および終端の源を解析的に制約されたものとして特定しました。RED を排除することが条件付きの安全性 - 有用性のトレードオフを生み出すことを示し、正確な排除制約の下では完全な安全性と有用性が相互排他的である可能性を説明しました。
実証的検証: 5 つのモデル（Qwen3、Llama-3.1、Gemma-3）と 5 つの攻撃手法（GCG、AutoDAN、GPTFuzzer、TAP、ReNeLLM）に対して RED を分析しました。

実験結果

実験は、2 つの補完的な視点から理論を検証します：

追加トークン次元が RED を露呈させる:
- 「クリーン」な有害入力（パディングなし）では、さまざまな演算子レベルの源からの寄与が互いに打ち消し合い、ほぼゼロの RED を生じることが多いです。
- 「プレースホルダー」トークン次元が追加されると（多くのジャイルブレイクの構造を模倣して）、この打ち消し合いが崩れます。追加された次元は新しい輸送チャネルを作成し、顕著で非ゼロの RED を露呈させます。
- 発見: 終端源が露呈した RED に最も安定して顕著に寄与しており、成功したジャイルブレイクがモデルの主要な有害意味論的解釈の外のサイドチャネルを利用していることを示唆しています。
ジャイルブレイク遷移は終端源と整合する:
- 有害なプロンプトからジャイルブレイクプロンプトへの連続変換を分析したところ、多くのケースにおいて「拒絶から回答への」シフトは変換の前半で主に発生することがわかりました。
- 変換に沿った局所的な行動のシフトは、ほぼ完全に RED によって説明されます（ $\rho_R \approx 1$ ）。
- 発見: 変換接線は、終端源からの寄与と最も一貫して整合しています。これは、成功したジャイルブレイクが新しいメカニズムを作成するのではなく、初期の有害入力ですでに存在する既存の可視的な RED（特に終端サイドチャネル）を利用していることを示唆しています。

重要性と主張

本論文は、現象論的観察を超え、演算子レベルの分解に基づく理論的枠組みに立脚した、アライメントされた LLM が依然としてジャイルブレイク可能な理由についての構造的説明を提供すると主張しています。

構造的脆弱性: ジャイルブレイク可能性は単にトレーニングデータの失敗ではなく、モデルが意味論的変化なしに行動調節を可能にする「回避方向」を保持する構造的な性質です。
トレードオフ: 完全な安全性を達成する難しさは単なる最適化の課題ではなく、潜在的に根本的な制限であると論文は仮定します。RED の排除（安全性）と良性回答の保持（有用性）の両方を要求することは、共有された表現モジュール（自己注意および MLP）に対して矛盾する解析的制約を課します。
防御への含意: 著者は、将来のアライメント戦略が完成したジャイルブレイクプロンプトの列挙にのみ焦点を当てるべきではないと示唆しています。代わりに、防御は有害な入力周辺の局所的な RED を抑制することを目的とすべきであり、特にジャイルブレイクに対して最も安定し、利用可能な経路であるように見える終端源からの寄与に注意を払うべきです。

論文は控えめに結論付け、構造的脆弱性とトレードオフを特定しているものの、実用的な防御は RED の完全な排除を必要とするのではなく、有用な閾値以下の抑制で十分であり、安全性 - 有用性のトレードオフの特定の条件についてはさらなる実証的および理論的調査が必要であると述べています。