Technische Samenvatting: Blootleggen van Veiligheidskloven in LLM's door Wiskundige Encodering

Probleemstelling

Grote Taalmodellen (LLM's) vertrouwen steeds meer op veiligheidsmechanismen—zoals Reinforcement Learning from Human Feedback (RLHF), training voor weigering en veiligheidsclassificators (bijv. Llama Guard)—om schadelijke output te voorkomen. Deze verdedigingen opereren echter voornamelijk via semantische patroonherkenning in natuurlijke taal. Dit creëert een kwetsbaarheid waarbij schadelijke intentie, indien gecodeerd in abstracte wiskundige formalismen in plaats van natuurlijke taal, veiligheidsfilters kan omzeilen. Hoewel eerdere werken (MathPrompt) aantoonden dat het coderen van schadelijke instructies als problemen uit de verzamelingenleer hoge succespercentages voor aanvallen (ASR) kon bereiken, bleef het onduidelijk of het succes te wijten was aan de wiskundige notatie zelf of aan de diepe semantische herformulering die tijdens het coderingsproces werd uitgevoerd. Bovendien was onbekend of deze kwetsbaarheid generaliseerde naar andere wiskundige formalismen of of nieuwere, robuustere modellen immuun waren.

Methodologie

De auteurs stellen een systematische evaluatie voor van zes wiskundige coderingsstrategieën, verdeeld in twee distincte families, getest tegen acht doel-LLM's (waaronder GPT-5, GPT-5-Mini, Gemini-3-Flash, Claude-3.7-Sonnet en Llama-3-8B) over twee benchmarks (HarmBench en JailbreakBench).

Aanvalsproces

De aanval volgt een proces van drie fasen:

1. Coderen: Een schadelijke prompt $x$ wordt omgezet in een gecodeerde prompt $x'$.
2. Indienen: De gecodeerde prompt wordt ingediend bij het doelmodel met instructies om het probleem op te lossen en real-world voorbeelden te geven.
3. Evalueren: Een gestandaardiseerde beoordelingsmodel (GPT-5-Nano) classificeert het antwoord als een "jailbreak" (schadelijke content gegenereerd) of "weigering".

Coderingsstrategieën

De studie vergelijkt LLM-gebaseerde coderingen (waarvoor een helper-LLM nodig is voor diepe herformulering) met Regelgebaseerde coderingen (deterministische, oppervlakkige transformaties).

• LLM-gebaseerde coderingen (Diepe herformulering):
  • Verzamelingenleer: Koppelt schadelijke content aan verzamelingoperaties, deelverzamelingen en predicaten (gebaseerd op MathPrompt).
  • Formele logica (Nieuw): Codeert schadelijke verzoeken als problemen voor bewijzen in de eerste-orde logica, waarbij acties predicaten worden en doelen theorema's die bewezen moeten worden via natuurlijke deductie.
  • Kwantummechanica: Codeert scenario's in een kwantummechanisch raamwerk met behulp van Hilbertruimten en Hamiltonianen, hoewel deze methode enige semantische transparantie behoudt in de labels van toestanden.
• Regelgebaseerde coderingen (Oppervlakkig):
  • Optelvergelijking: Splitst de prompt in segmenten en presenteert deze als een optelvergelijking.
  • Voorwaardelijke waarschijnlijkheid: Presenteert reconstructie als een probleem met voorwaardelijke waarschijnlijkheid.
  • Symboleninjectie: Injecteert wiskundige symbolen in de tekst zonder de onderliggende semantiek te veranderen.

Robuustheidstesten

De auteurs maken gebruik van herhaalde nabewerking, waarbij de gecodeerde prompt letterlijk wordt gedupliceerd, om te bepalen of het succes van de aanval fragiel is (gevoelig voor oppervlakkige tekstaugmentatie) of robuust.

Belangrijkste Bijdragen

1. Introductie van Formele Logica-codering: Het artikel introduceert een nieuwe jailbreaking-strategie die schadelijke instructies codeert als problemen voor bewijzen in de eerste-orde logica. Deze strategie bereikt een ASR die vergelijkbaar is met de gevestigde aanpak van verzamelingenleer (50–61% versus 51–63%), terwijl een distinct wiskundig formalisme wordt uitgebuit.
2. Systematische Vergelijking van Herformuleringsdiepte: De studie biedt de eerste systematische vergelijking tussen LLM-gebaseerde (diepe herformulering) en regelgebaseerde (oppervlakkige opmaak) coderingen. Het toont aan dat het vermogen van de helper-LLM om content diep te herformuleren de primaire drijvende kracht is voor het succes van aanvallen, waarbij LLM-gebaseerde methoden een ASR van 46–56% bereiken tegenover 9–11% voor regelgebaseerde methoden—a een kloof van meer dan 35 procentpunten.
3. Aantonen van Aanvalsrobuustheid: Experimenten bevestigen dat aanvallen via wiskundige codering robuust zijn tegen eenvoudige promptherhaling. In 85,7% van de herhaalde experimenten waren de veranderingen in ASR verwaarloosbaar ($|\Delta| \le 5$ procentpunten), wat aangeeft dat de aanvallen berusten op diepe falen in uitlijning in plaats van op fragiele opmaaktrucs.

Resultaten

• Effectiviteit: Over acht modellen en twee benchmarks heen bereikten LLM-gebaseerde coderingen een gemiddelde ASR van 46–56%, wat aanzienlijk beter presteerde dan regelgebaseerde coderingen (9–11%) en niet-gecodeerde baselines (7–10%).
• Formele Logica versus Verzamelingenleer: Hoewel beide overall vergelijkbaar presteerden, toonde Formele Logica superieure prestaties op nieuwere, robuustere modellen (bijv. de GPT-5-familie), wat suggereert dat op bewijzen gebaseerde structuren mogelijk resistenter zijn tegen verbeterde veiligheidstraining dan formuleringen op basis van verzameling-lidmaatschap.
• Modellkwetsbaarheid:
  • Gemini-3-Flash bleek het meest kwetsbare model (58–67% ASR onder LLM-gebaseerde coderingen).
  • GPT-5 en GPT-5-Mini vertoonden aanzienlijk meer robuustheid dan voorgangers (bijv. een basis-ASR van GPT-5 van 2,5%), maar bleven kwetsbaar voor sterke coderingen (13–32% ASR).
  • Vicuna-13B vertoonde een lagere ASR onder LLM-gebaseerde coderingen, waarschijnlijk vanwege zwakkere wiskundige redeneercapaciteiten.
• Foutmodi: De studie identificeerde drie foutmodi: begripsfouten (modellen die de wiskunde niet kunnen parseren), semantische lekkage (bijv. in Kwantummechanica waar toestandslabels de intentie onthulden) en API-niveau inputfiltering (GPT-5 blokkeert specifieke prompts voordat ze het model bereiken).

Betekenis en Claims

Het artikel claimt een fundamentele kloof bloot te leggen in huidige LLM-veiligheidskaders: verdedigingen die vertrouwen op patroonherkenning in natuurlijke taal zijn ontoereikend tegen aanvallen die intentie formaliseren als abstracte wiskunde. De bevindingen suggereren dat de "wiskundige notatie" zelf niet het omzeilingsmechanisme is; de kritieke factor is eerder de diepe semantische herformulering uitgevoerd door een helper-LLM, waardoor de schadelijke intentie onherstelbaar wordt zonder het wiskundige probleem op te lossen.

De auteurs betogen dat deze kwetsbaarheid generaliseert over wiskundige formalismen (Verzamelingenleer, Formele Logica, Kwantummechanica) en geen artefact is van specifieke benchmarks. Zij stellen Inverse Semantische Mapping (ISM) voor als een conceptuele verdedigingsrichting, waarbij een moderatiemodel natuurlijke taal-intent reconstrueert uit symbolische input voordat de veiligheidsclassificatie plaatsvindt. Het artikel concludeert dat hoewel nieuwere modellen verbeterde robuustheid tonen, ze kwetsbaar blijven, wat toekomstige verdedigingen motiveert die redeneren over wiskundige structuur in plaats van oppervlakkige semantiek.