💬 NLP

LASH: Adaptive Semantic Hybridization for Black-Box Jailbreaking of Large Language Models

本論文は、遺伝的オプティマイザを用いて複数の異種ジャイルブレイク戦略からの出力を適応的に構成するブラックボックスフレームワークであるLASH を導入し、最小限のクエリ予算で整列された大規模言語モデルに対して最先端の攻撃成功率を達成するものである。

原著者： Abdullah Al Nomaan Nafi, Fnu Suya, Swarup Bhunia, Prabuddha Chakraborty

公開日 2026-05-21

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Abdullah Al Nomaan Nafi, Fnu Suya, Swarup Bhunia, Prabuddha Chakraborty

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

非常に賢く、非常に慎重に設計され、有害なリクエストを拒否するようにプログラムされたロボットを解除しようとしていると想像してください。このロボットは「大規模言語モデル（LLM）」です。長年にわたり、研究者たちはこのロボットをルール破りに仕向けるよう仕掛けようとしてきました（このプロセスは「ジェイルブレイキング」と呼ばれます）。その手法には、リクエストを面白い形で書き換えるもの、異なるキャラクターになりすますもの、そして有害なリクエストを隠したパズルを解くようロボットに求めるものなど、多様なトリックがあります。

問題は、どの単一のトリックも、すべてのロボットやすべての種類の有害なリクエストに対して機能するわけではないということです。「面白い物語」のトリックが機能することはあっても、「ロールプレイ」のトリックは失敗することがあります。逆に、ロボットは物語を無視するものの、ロールプレイには乗ってしまうこともあります。まるで、単一の鍵でドアを開けようとしているようなものです。鍵が合うこともあれば、合わないことも多いのです。

LASH の登場：マスターキー製造者

この論文は、LASH（LLM Adaptive Semantic Hybridization）と呼ばれる新しい手法を紹介しています。LASH は、完璧なトリックを一つ発明しようとするのではなく、偉大なシェフや音楽プロデューサーのように振る舞います。

その仕組みを、簡単な比喩を用いて説明します。

1. 「シードサラダ」（材料の収集）

まず、LASH はゼロから料理を作ろうとしません。代わりに、5 人の異なる「シェフ」（既存のジェイルブレイク手法）に、同じ有害なリクエストに基づいてそれぞれ料理を作らせようとします。

シェフ A は辛味バージョンを作ります。
シェフ B は甘味バージョンを作ります。
シェフ C は塩味バージョンを作ります。
シェフ D は酸味バージョンを作ります。
シェフ E は苦味バージョンを作ります。

これらの料理の中にはひどいものもあれば、まあまあのものもありますが、どれ一つとして単独では完璧ではありません。LASH はこれらすべての「シード料理」をボウルに集めます。

2. 「ブレンダー」（材料の混合）

ここが魔法のパートです。LASH は単に最高の料理を選ぶわけではありません。それはブレンダーを使います。すべてのシード料理をブレンダーに入れますが、均等に混ぜるわけではありません。

「辛味バージョンをどれくらい必要か？甘味バージョンはどれくらいか？」と問いかけます。
賢いコンピュータアルゴリズム（「遺伝的オプティマイザー」）を用いて、完璧なレシピを導き出します。例えば、「辛味バージョンを 80%、甘味バージョンを 10%、酸味バージョンを 10% 使う」といった具合です。

その後、ブレンダーはこれらの材料を混ぜ合わせ、他のすべてのものの最良の部分を組み合わせた、一つの新しくユニークな料理（新しいプロンプト）を生成します。

3. 「味見」（結果の確認）

LASH は、この新しい混合料理を慎重なロボットに与えます。

ロボットが拒否した場合：LASH は「そのレシピは機能しなかった」と言います。そしてブレンダーに戻り、分量を変更します（辛味を多く、甘味を少なくするなど）、そして再度試みます。
ロボットが同意した場合：LASH は「成功！完璧な配合が見つかった」と言います。

なぜこれが以前の方法よりも優れているのか？

この論文は、従来の手法は、特定の道具（例えばドライバー）で鍵を開けようとする人物のようだったと主張しています。鍵が必要なロックの場合、ドライバーは失敗します。

一方、LASH はスイスアーミーナイフのようです。ドライバー、ナイフ、栓抜きを瞬時に組み合わせ、開けようとしている特定のロックに適合する、単一のカスタムツールを即座に作り出します。

彼らは何を発見したのか？

研究者たちは、LASH を 6 つの異なる「ロボット」（AI モデル）と、10 種類の異なる有害なリクエスト（憎悪表現、詐欺、危険な指示の要求など）でテストしました。

スコア：LASH は、単純なチェックを用いた場合84.5%、人間のような AI 判定者が回答が実際に有害なリクエストに対して役立ったかを確認するより厳格なチェックを用いた場合**74.5%**の確率でロボットをだましたことに成功しました。
比較：これは、単独で働くどの「シェフ」よりもはるかに高い数値でした。
効率性：これは、平均してロボットに助けを求めて約 30 回という非常に効率的な回数で行われました。
防御：ロボットに、彼らを阻止しようとする追加のセキュリティガード（防御メカニズム）が備わっていた場合でも、LASH は依然として最も成功した手法でした。

「秘密のソース」（内部の仕組み）

この論文は、LASH が機能している間、ロボットの脳（内部層）の中も観察しました。彼らは、LASH が単に表面的な言葉を変えただけではないことを見つけました。実際には、ロボットの内部思考プロセスを、有害なリクエストに対して「はい」と言う可能性が高くなる状態へと導いたのです。まるで LASH が単に質問を変えただけでなく、ロボットをより従順な気分にさせたかのようです。

まとめ

LASH は、単一のトリックがすべての AI に機能しないことを理解した賢いシステムです。代わりに、多くの異なるトリックを集め、それぞれの状況に最適な割合でそれらを混ぜ合わせ、AI が拒否しにくいカスタム「スーパープロンプト」を作成します。これは、ジェイルブレイキングを単一の戦いとしてではなく、完璧な結果を得るための材料を混ぜ合わせるレシピとして扱います。

技術的概要：LASH（ブラックボックス・ジェイルブレイクのための適応的意味ハイブリダイゼーション）

問題提起

人間のフィードバックに基づく強化学習（RLHF）や憲法 AI といったアライメント技術にもかかわらず、大規模言語モデル（LLM）は敵対的プロンプトに対して脆弱なままです。自動ジェイルブレイク攻撃は、手作業による作成から、ホワイトボックスの勾配ベース手法（例：GCG）やブラックボックスの反復戦略（例：PAIR、TAP）へと進展しましたが、決定的な限界が残っています。既存の自動手法は、通常、単一の「攻撃ファミリー」（特定の改良ループ、木探索、変異空間、または戦略ライブラリなど）に固執しています。実証的証拠は、単一のファミリーが支配的ではないことを示しており、最も効果的な手法は、対象モデルのアーキテクチャと害の具体的なカテゴリによって大きく異なります。その結果、現在の手法は異なる攻撃戦略の相補的な強みを活用できず、複数の手法からの部分的なシグナルを組み合わせることで達成できたかもしれない成功したジェイルブレイクを見逃すことが多々あります。

手法：LASH

著者らは、単一ファミリーの探索空間の限界を克服するために設計されたブラックボックス・メタ攻撃フレームワークであるLASH（LLM 適応的意味ハイブリダイゼーション）を導入します。LASH は、複数の既存のブラックボックス攻撃の出力を再利用可能な「シードプロンプト」として扱い、各対象リクエストに対してそれらを適応的に構成します。このフレームワークは、厳密なブラックボックス脅威モデルの下で動作し、対象モデルへのクエリアクセスのみを想定し（重み、勾配、または隠れ状態へのアクセスなし）、動作します。

LASH パイプラインは、4 つの主要な段階で構成されます。

シードプール構築: 与えられた入力プロンプト $x$ に対して、LASH は意図的に削減されたクエリ予算で複数のベースブラックボックス攻撃手法（例：PAIR、TAP、AutoDAN-Turbo）を実行します。これにより、 $B(x) = \{b_1, \dots, b_n\}$ というシードプロンプトのプールが生成されます。ここで、各シードは、異なる攻撃戦略、表現パターン、または構造的変換を表します。
部分集合探索と重み付きハイブリダイゼーション: LASH はシードプールの部分集合を探索し、選択されたシードに連続的な混合重みを割り当てます。部分集合 $S$ に対して、実数値のログオッズ $z$ は softmax 関数を介して正規化された混合重み $w$ に変換されます。その後、構成用 LLM（ $M$ ）が重み付けされたシードを統合して、単一の整合性のある候補プロンプト $p$ を合成します。
$p = M(x, \{(b_i, w_i)\})$
このステップにより、出力は単なるテキストの連結ではなく、自然言語のプロンプトとなり、元のリクエストの意図を保持しつつ、シードの強みを融合します。
導関数フリー遺伝的最適化: 混合重みは、遺伝的アルゴリズム（GA）を用いて最適化されます。GA はプロンプトテキストそのものではなく、実数値のログオッズのみを操作し、ガウスノイズを用いてそれらを突然変異させます。集団はエリート選抜（上位パフォーマンスのゲノムを選択）と突然変異を通じて進化します。このアプローチにより、最適化は軽量かつ完全にブラックボックスのまま保たれます。
2 段階フィットネス関数: 候補は、効率性と精度のバランスを取るために 2 段階のメトリックを用いて評価されます。
- ステージ 1（拒絶検出）: キーワードベースの検出器が、明示的な拒絶マーカーを含む応答をフィルタリングします。このステージに失敗した候補にはスコア 0 が与えられます。
- ステージ 2（LLM ジャッジによるスコアリング）: フィルタを通過した応答は、有害なリクエストをどの程度実質的に満たしているかに基づき、0〜10 のスケールで LLM ジャッジ（例：GPT-4o-mini）によってスコアリングされます。閾値 $\tau$ （例：9）が成功を決定します。

主要な貢献

適応的構成: LASH は、ジェイルブレイク出力を構成可能なコンポーネントとして扱い、単一の探索軌道に依存するのではなく、異種混合の攻撃ファミリー全体にわたる最適な重み付き組み合わせを探索する、最初のフレームワークです。
ブラックボックス効率性: このフレームワークは、ホワイトボックスアクセス、代理モデル、またはコンポーネントの微調整を必要としません。これは完全に応答レベルのフィードバックと導関数フリー最適化に依存しています。
機械的洞察: 本論文は、LASH の成功が単に表面的な言葉遣いによるものではなく、成功したジェイルブレイク軌道に近い内部モデル表現を誘発することを示す証拠を提供します。

実験結果

著者らは、10 カテゴリにわたる 100 の有害なプロンプトを含み、Llama-2/3、Vicuna、Gemini、GPT 変種を含む 6 つの多様なモデルを対象とした標準化されたベンチマークJailbreakBench上で LASH を評価しました。

攻撃成功率（ASR）: LASH は、平均ASR1（キーワードベース）で84.5%、**ASR2（2 段階 LLM ジャッジ）で74.5%**を達成しました。これは、ASR2 において 27.5% から 40.67% の範囲であった 5 つの最先端のベースライン（PAIR、TAP、AutoDAN、AutoDAN-Turbo、FlipAttack）を大幅に上回ります。
クエリ効率性: LASH は、プロンプトあたり平均わずか30 回の対象クエリでこれらの結果を達成しました。これに対し、ベースライン（例：PAIR は平均約 90 回のクエリを必要とするなど）は通常、はるかに多くのクエリを必要としていました。
堅牢性: SmoothLLM、Llama Guard、Perplexity Filtering の 3 つの防御メカニズムの下で、LASH は競争力のある状態を維持し、平均 ASR2 は SmoothLLM で 41.50%、Llama Guard で 18.00%、Perplexity で 70.83% を達成しました。これは一般的に、最も強力なベースラインを上回るか、それに匹敵する性能を示しています。
機械的分析: 探査と活性化パッチングの実験により、LASH プロンプトは、失敗したシードプロンプトによって誘発されるものとは区別される、対象モデルの中間層（特に層 10〜18）において「成功に似た」内部表現を誘発することが明らかになりました。失敗したシード実行に LASH の活性化をパッチングすることで、成功確率が向上し、ハイブリダイゼーションが質的に異なる内部状態を生成することを確認しました。

意義と主張

本論文は、異種混合のジェイルブレイク戦略にわたる適応的構成が、ブラックボックス・レッドチームングにとって有望な方向性であると主張しています。著者らは、異なる攻撃ファミリーの「相補性」（ある手法の弱点が別の手法の強みとなること）は、単一ファミリーの手法では活用できないリソースであると論じています。最適化の単位を個々のプロンプトから攻撃出力の混合へと引き上げることで、LASH はメタ攻撃がその部分の総和を体系的に上回ることを実証しています。

著者らは LASH をデプロイ前の安全性評価のためのツールとして位置づけ、そのデュアルユース性を強調しています。彼らは明示的に、この手法は単一ターンプロンプト最適化に限定され、現在では防御を考慮していないと述べており、マルチターン計画やガードアダプティブ構成に関する将来の作業を提案しています。結果は、特定の拒絶トリガーや内部の安全性チェックを回避する戦略を動的に合成することで回避可能であるため、現在の安全性アライメントは以前考えられていたよりも脆弱である可能性を示唆しています。