Single-Configuration Attack Success Rate Is Not Enough: Jailbreak Evaluations Should Report Distributional Attack Success
本ポジションペーパーは、単一構成の成功率に依存する現在のジャイルブレイク評価が脅威の特性を記述するには不十分であると論じ、パラメータ変異における攻撃性能の全範囲をより適切に捉えるために、バリアント感度指標（VSM）やユニオンカバレッジ（UC）といった分布型指標の採用を提案する。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
あなたは高層のハイテクビルに侵入するのがどれほど容易かを探ろうとする警備員だと想像してください。
AI 安全性の世界では、研究者たちは「ジャイルブレイク」攻撃、つまり AI モデルを本来言うべきではないことを言わせるように仕向ける手法をテストすることがよくあります。これらのテストを報告する現在の標準は、泥棒が次のように言うようなものです。「私は正面のドアを 80% の確率で開ける 1 つの特定の鍵を見つけました。したがって、このビルは 80% の脆弱性を持っています。」
この論文は、この報告方法が誤解を招き、不完全であると主張しています。それは、36 個もの他の鍵が異なるドアを開ける可能性があること、あるいは「最良の」鍵が非常に特定の種類のロックでのみ機能することを無視して、1 つのドアに 1 つの鍵しか試さなかったという事実を無視し、ビルが安全だと主張するようなものです。
以下に、この論文の主張を簡単なアナロジーを用いて分解します。
問題：「最良の鍵」の誤謬
ほとんどの AI 安全性の論文は、単一の数値、すなわち**攻撃成功率（ASR）**を報告しています。彼らは設定の単一の最良の組み合わせ（最良の「鍵」のようなもの）を選び、「見てくれ、この攻撃は 80% の確率で機能する！」と言います。
著者たちは、これは泥棒が正面のドアを開ける 1 つの鍵を見せ、「これがビルのセキュリティの程度だ」と主張するようなものだと言います。しかし、もし以下のような場合どうでしょうか？
- その鍵は正面のドアにしか機能しないが、裏口、側面、地下室のドアを開ける 10 個の他の鍵がある場合。
- 「80% の成功率」は非常に特定の設定でのみ起こる幸運な偶然であり、他の 99 の設定はほとんど機能しない場合。
防御者（警備員）がその 1 つの「最良」の数値だけを見ると、正面のドアを補強して安全だと考え、裏口や側面のドアが広く開いたままになっているかもしれません。
解決策：2 つの新しい測定カップ
著者たちは、VSMとUCと呼ばれる、危険を測定する 2 つの新しい方法を提案しています。
1. VSM（バリアント感度測定）：「その鍵はどれほど幸運だったか？」
100 個の異なる鍵が入った袋を持っていると想像してください。
- シナリオ A: 95 個の鍵が簡単にドアを開けます。1 つは使えません。「最良の」鍵を報告すれば、それは「平均的な」経験について真実を伝えています。
- シナリオ B: 1 つの鍵だけが完璧に機能し、他の 99 個は役に立ちません。「最良の」鍵を報告すれば、それは「平均的な」経験について嘘をついています。
VSMは、「最良の」結果と「平均の」結果の間のギャップを測定します。
- 低い VSM: 攻撃は一貫しています。見出しの数値は信頼できます。
- 高い VSM: 見出しの数値は偶然です。攻撃が機能するのは、設定で信じられないほど幸運な場合に限られます。この論文では、ある攻撃において「最良の」結果が「平均の」結果の5 倍優れていたことが判明しました。つまり、見出しの数値は極端に楽観的だったのです。
2. UC（ユニオンカバレッジ）：「何枚のドアが開けられるか？」
これはセキュリティにとって最も重要な部分です。
36 個の異なる鍵を持っていると想像してください。
- 鍵 Aは 60% のドアを開けます。
- 鍵 Bは異なる 40% のドアを開けます。
- 鍵 Cは残りの 20% を開けます。
もし「最良の」鍵（鍵 A）だけを見ると、ビルの 60% が脆弱だと考えます。しかし、すべての鍵を一緒に試せば、ビルの**100%**が脆弱であると気づくでしょう。
UCは、攻撃者が攻撃のすべてのバリエーションを試した場合に開けられるドアの総割合を測定します。この論文では、ある攻撃において「ユニオンカバレッジ」が「最良の単一設定」よりも33% 高いことが判明しました。これは、最良の数値だけを見る防御者が、危険の大きな部分を見過ごしていることを意味します。
論文からの実世界の例
著者たちは、3 つの異なる AI モデルを使用して、2 つの有名な「攻撃ファミリー」（PAIR と Bijection Learning）に対してこれらのアイデアをテストしました。
- PAIR 攻撃: 彼らは異なる「ペルソナ」（権威ある人物になりすますこと対、論理的な思考者など）を試しました。
- 見出し: 「権威の承認」は 69% の確率で機能しました。
- 現実: 3 つのペルソナをすべて組み合わせると、**88%**のケースで侵入できました。単一の数値は、脆弱なプロンプトの 19% を見落としていました。
- Bijection 攻撃: これは異なる「エンコーディング」のトリック（テキストの言語や間隔を変更するなど）を使用します。
- 見出し: 最良の単一設定は 81% の確率で機能しました。
- 現実: 36 通りのすべての可能な組み合わせを試したところ、100%のプロンプトが破られました。「最良の」数値は、十分なバリエーションを試せばすべてのテストケースが脆弱だったという事実を完全に見過ごしていました。
なぜこれが重要なのか
この論文は、現在の数値が数学的に「間違っている」と言っているのではありません。それらは単に不完全なのです。
- 防御者にとって: 「最良の」攻撃だけを補強すれば、ビルの残りの 30% はロックされていないままになります。実際にどの程度のビルがリスクにさらされているかを知るには、「ユニオンカバレッジ」を知る必要があります。
- 研究者にとって: 2 つの攻撃を比較する場合、1 つは「最良」スコアが 80%（しかし非常に一貫性がない）で、もう 1 つは「最良」スコアが 60%（しかし非常に一貫性がある）の場合、単に前者が「優れている」とは言えません。前者が単なる幸運な偶然かどうかを知る必要があります。
結論
著者たちは、AI 研究コミュニティに対し、「最良の場合」の数値だけを叫ぶのをやめるよう求めています。代わりに、以下のものを報告すべきです。
- 最良の場合（見出し）。
- 平均の場合（その成功はどれほど典型的か）。
- 総カバレッジ（すべてのバリエーションを試した場合、どの程度の異なるプロンプトを破れるか）。
研究者がこの完全な図を報告し始めるまで、私たちは正面のドアだけをチェックし、ビルの残りの部分が安全だと仮定している警備員のようです。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。