SelfGrader: Stable Jailbreak Detection for Large Language Models using Token-Level Logits

Probleemstelling

Grote Taalmodellen (LLMs) zijn krachtige hulpmiddelen, maar ze blijven kwetsbaar voor jailbreak-aanvallen. Bij deze aanvallen manipuleren tegenstanders de input zodat het model veiligheidsbeperkingen omzeilt en schadelijke of beleidsschendende antwoorden genereert.

Bestaande verdedigingsmethoden (guardrails) hebben aanzienlijke beperkingen:

1. Interne kenmerken: Methoden die gebruikmaken van interne activaties of gradiënten zijn vaak computatief zwaar en vereisen kalibratie op externe datasets.
2. Classificatie: Aanvullende classifiers zijn vaak overgespecificeerd op specifieke aanvalsmethoden en generaliseren slecht naar nieuwe of adaptieve aanvallen.
3. Generatie-gebaseerd: Methoden die vertrouwen op gegenereerde tekst (zoals het zoeken naar "rode" of "groene" lijsten van woorden) lijden onder steekproefbias (belangrijke tokens worden niet gegenereerd) en keyword-matching bias (onvolledige lijsten missen schadelijke tokens). Bovendien zijn ze gevoelig voor parafrafering en semantische obscuratie.

Er is behoefte aan een lichtgewicht, stabiele en interpretabele methode die de interne veiligheidsinschatting van een model direct kan aflezen zonder zware training of onbetrouwbare tekstgeneratie.

Methodologie: SelfGrader

De auteurs stellen SelfGrader voor, een lichtgewicht guardrail-methode die jailbreak-detectie formuleert als een numeriek gradueringsprobleem op basis van token-niveau logit-distributies.

Kerncomponenten:

1. Numerieke Tokens (NTs) als Schaal:
   In plaats van te vertrouwen op een open-ended vocabulaire of gegenereerde tekst, gebruikt SelfGrader een compacte set unieke numerieke tokens (bijv. de cijfers 0–9) als een schaal voor "graden". Het model wordt gevraagd om de schadelijkheid van een gebruikersvraag te "graden" op deze schaal. De logit-waarden (de onbewerkte waarschijnlijkheidsverdeling) van deze specifieke tokens fungeren als een direct signaal van de interne veiligheidsinschatting van het model.

2. Dual-Perspective Logit (DPL) Scoring Rule:
   Om bias te verminderen en stabiliteit te vergroten, evalueert SelfGrader een vraag vanuit twee perspectieven:

   • Malicious View: Een prompt die het model vraagt om de mate van schadelijkheid te beoordelen (0 = veilig, 9 = extreem schadelijk).
   • Benign View: Een prompt die het model vraagt om de mate van onschadelijkheid te beoordelen (0 = extreem schadelijk, 9 = volledig veilig).

   De uiteindelijke score ($s_{DPL}$) wordt berekend door een gewogen som van deze twee perspectieven:
   $$s_{DPL} = \lambda s^{(+)} + (1 - \lambda)(Q - s^{(-)} - 1)$$
   Waarbij $s^{(+)}$ de schadelijkheidsscore is, $s^{(-)}$ de onschadelijkheidsscore, $Q$ het aantal tokens, en $\lambda$ een balansparameter (standaard 0.5). Deze dualiteit zorgt voor een stabielere score die zowel het voorkomen van valse positieven (te veel blokkeren van veilige vragen) als het detecteren van jailbreaks optimaliseert.

3. In-Context Learning (ICL):
   Om de logit-distributies beter af te stemmen op menselijke intuïtie over schadelijkheid, worden zorgvuldig geselecteerde voorbeelden (query-score paren) in de prompt opgenomen. Dit helpt het model om zijn interne signalen consistent te maken met de gedefinieerde veiligheidscriteria.

4. Robuustheidstechnieken:
   De methode gebruikt top-k tail trimming om lage-probabiliteit tokens te verwijderen die de score kunnen destabiliseren, wat de robuustheid tegen ruis verhoogt.

Belangrijkste Bijdragen

• Nieuwe Formulering: SelfGrader transformeert jailbreak-detectie van een tekstuele of classificatietask naar een numeriek gradueringsprobleem, gebruikmakend van token-logits in plaats van gegenereerde tekst.
• Lichtgewicht en Efficiënt: Het elimineert de noodzaak voor dure training van veiligheidsclassifiers of zware inspectie van interne representaties (zoals gradiënten). Het werkt direct met de logit-outputs van het model.
• Stabiliteit en Interpretatie: Door te werken in een gesloten, invariant numerieke ruimte (in plaats van een open semantische ruimte) en door gebruik te maken van de DPL-score, wordt de instabiliteit van semantische matching opgelost.
• Dual-Perspective Design: De combinatie van schadelijkheids- en onschadelijkheidsbeoordeling verlaagt de false positive rate (FPR) aanzienlijk terwijl de detectie van jailbreaks behouden blijft.

Resultaten

De auteurs hebben SelfGrader uitgebreid getest op diverse LLMs (waaronder LLaMA-3-8B, Qwen2.5, Qwen3.5, Vicuna) tegen een breed scala aan jailbreak-aanvallen (handmatig, geoptimaliseerd, generatie-gebaseerd, adaptief en multi-turn).

• Prestatie: SelfGrader bereikte een Attack Success Rate (ASR) vermindering van maximaal 22,66% op LLaMA-3-8B vergeleken met geen verdediging, en presteerde aanzienlijk beter dan state-of-the-art baselines zoals Llama Guard, Prompt Guard en WildGuard.
• Efficiëntie:
  • Latentie: SelfGrader is tot 26 keer sneller dan generatie-gebaseerde methoden.
  • Geheugen: Het vereist tot 173 keer minder GPU-geheugen dan methoden die gradiënten of zware classificatie vereisen.
• Robuustheid:
  • De methode is zeer effectief tegen adaptieve aanvallen (zoals TAP en X-Teaming) en token-segmentatie-aanvallen (zoals Emoji Attacks), waar tekst-gebaseerde methoden vaak falen.
  • False Positive Rate (FPR): SelfGrader behoudt een lage FPR op veilige benchmarks (wiskunde, codering, instructie-opvolging), wat aantoont dat het nut van het LLM niet wordt aangetast.
• Ablatie Studies: Het verwijderen van ICL-voorbeelden of één van de perspectieven (alleen schadelijkheid of alleen onschadelijkheid) leidde tot een drastische verslechtering van de prestaties, wat de noodzaak van het volledige ontwerp bevestigt.

Betekenis

SelfGrader biedt een praktische en schaalbare oplossing voor de beveiliging van LLMs in productieomgevingen. Door de afhankelijkheid van zware training en onbetrouwbare tekstgeneratie te doorbreken, biedt het een stabiel, interpreteerbaar en extreem efficiënt verdedigingsmechanisme. Het bewijst dat de interne logit-distributies van een model, wanneer correct geïnterpreteerd via een numerieke schaal, een krachtiger en sneller signaal voor veiligheid kunnen zijn dan de gegenereerde output zelf. Dit maakt SelfGrader ideaal voor real-time toepassingen waar lage latentie en beperkte rekenkracht cruciaal zijn.