Technische Samenvatting: Persona-geconditioneerde Adversariële Prompting (PCAP)

Probleemstelling

Geautomatiseerd red-teaming voor Large Language Models (LLM's) lijdt momenteel aan twee kritieke beperkingen: beperkte diversiteit van aanvaller en een kloof tussen evaluatie en actievere mitigatie. Bestaande geautomatiseerde pijplijnen vertrouwen vaak op smalle sets tactieken (bijvoorbeeld vaste sjablonen of directe aanvallen) en single-shot transformaties. Bijgevolg slagen ze er niet in om realistische, complexe aanvalsvectoren te vangen die afhankelijk zijn van de identiteit van de aanvaller, sociale manipulatie en contextuele framing (bijvoorbeeld op rol gebaseerd vertrouwen of domeinspecifieke jargon). Deze beperkte verkenning levert onvoldoende data op voor robuuste veiligheidsfine-tuning en onderschat real-world risico's. Bovendien, hoewel "purple-teaming"-benaderingen bestaan om de lus tussen kwetsbaarheidsontdekking en verdediging te sluiten, missen velen systematische diversificatie over aanvalleidentiteiten en expliciete strategie-conditionering.

Methodologie: Persona-geconditioneerde Adversariële Prompting (PCAP)

De auteurs introduceren PCAP, een raamwerk dat het Tree of Attacks with Pruning (TAP) algoritme uitbreidt. PCAP conditioneert het adversariële zoeken op diverse aanvaller-persona's en expliciete strategi sets om realistische aanvalsscenario's te verkennen in een black-box setting.

Kerncomponenten

1. Persona Constructie: Een persona-generator ($G_p$) creëert $N$ distincte persona's (bijvoorbeeld nieuwsgierige studenten, domeinexperts, kwaadaardige actoren) met unieke demografie, biografische details en gedragskenmerken.
2. Doelherformulering: Een herformuleringsmodel ($R$) interpreteert het schadelijke doel ($g$) opnieuw binnen de context van elke persona ($\pi_i$), en produceert een gepersonaliseerd doel ($\tilde{g}_i$) dat de aanvalintentie in het verhaal van de persona verwerkt.
3. Strategie Conditionering: Een set aanvalstrategieën ($\Sigma$) wordt gedefinieerd (bijvoorbeeld rollenspellen, payload-splitting, typefouten). Elke persona krijgt een subset van strategieën toegewezen ($\Sigma_i$). Het aanvallermodel ($A$) wordt geconditioneerd op de persona, de herformuleerde doelstelling en de specifieke strategiekaart, en fungeert als een in-context gids.
4. Geparallelliseerd Adversariële Zoeken: In plaats van één zoekstraal instantieert PCAP $N$ onafhankelijke TAP-zoekopdrachten die parallel draaien. Elke zoekopdracht onderhoudt zijn eigen straal ($S^{(i)}_t$) met breedte $W$. In elke iteratie genereert de persona-geconditioneerde aanvaller variaties, die worden gefilterd door een on-topic checker ($O$), gescoord door een evaluator ($E$), en geprepareerd tot de top-$W$ kandidaten.
5. Metadatarijke Dataset Generatie: Cruciaal wordt elke succesvolle prompt automatisch geannoteerd met de toegewezen persona, doel en strategietags. Dit creëert een rijke, annotatievrije corpus die geschikt is voor het trainen van robuuste weigeringsgedragingen.

Belangrijkste Bijdragen

• Persona-geconditioneerd Zoeken: PCAP verschuift de focus van het wijzigen van de verfijningspijplijn naar het veranderen van wie de aanvaller is en hoe deze aanvalt. Deze modulaire benadering verkent diverse linguïstische en strategische framing die misbruik maken van op rol gebaseerd vertrouwen en domeinspecifieke framing.
• Uitgebreide Empirische Evaluatie: De auteurs evalueren PCAP over meerdere aanvallermodellen met variërende capaciteiten (Dense en Mixture-of-Experts architecturen). Ze tonen consistente verbeteringen in aanvalssuccespercentages (ASR), promptopbrengst en transferabiliteit tegenover dedicated guardrails.
• Praktische Gesloten-lus Mitigatie: Het artikel demonstreert een volledige pijplijn van kwetsbaarheidsontdekking tot geautomatiseerde verdediging. Door het fine-tunen van lightweight adapters (ALoRA) op PCAP-gegenereerde data, tonen de auteurs aanzienlijke verbeteringen in modelrobustheid zonder handmatige annotatie.
• Open Source Release: De auteurs verbinden zich ertoe de PCAP-code geïntegreerd met een red-teaming raamwerk vrij te geven na acceptatie.

Experimentele Resultaten

Experimenten werden uitgevoerd op GPT-OSS 120B als doelmodel, met gebruik van diverse aanvallermodellen (Llama 3.3 70B, Granite 3.3 8B, Granite 4.0 H Tiny, Kimi K2.5, Mixtral 8x22B).

Aanvalsprestaties

• Aanvalssuccespercentage (ASR): PCAP presteert significant beter dan de baseline TAP. Op GPT-OSS 120B steeg het ASR van 57,7% naar 97,3% (Llama 3.3 70B aanvaller) en van 41,0% naar 98,0% (Granite 4.0 H Tiny aanvaller).
• Promptopbrengst: PCAP genereert 2–6× meer diverse succesvolle prompts per doel in vergelijking met TAP. Bijvoorbeeld, Granite 4.0 H Tiny zag een opbrengststijging van 0,43 naar 2,41 prompts/doel.
• Transferabiliteit: Door PCAP gegenereerde prompts toonden hoge transferabiliteit, waarbij ze dedicated guardrails (Granite Guardian 3.3 en Llama Guard 3) omzeilden met percentages van 30–58%. Opmerkelijk is dat een significant deel van deze prompts zowel het doelmodel als de guardrails omzeilde, wat wijst op de ontdekking van generaliseerbare semantische kwetsbaarheden.
• Diversiteit: PCAP-prompts vertoonden lagere semantische gelijkenis (cosine gelijkenis ~0,62–0,67) en lagere Self-BLEU scores (0,02–0,08) in vergelijking met baselines, wat hoge lexische en semantische diversiteit bevestigt. Strategieverdelingen waren beter gebalanceerd (lagere $\chi^2$ scores) dan TAP, dat zwaar leunde op rollenspellen.

Mitigatie en Robustheid

• Fine-tuning: Lightweight ALoRA-adapters werden gefine-tuned op de PCAP-gegenereerde dataset (300 prompts over 50 doelen).
• Prestatiewinst: Fine-tuning verbeterde de adversariële robustheid drastisch over drie model families (Granite, Llama, Qwen).
  • Recall: Verbeterd van 0,26–0,36 naar 0,96–1,00.
  • F1 Score: Verbeterd van 0,41–0,53 naar 0,96–0,98.
  • Precisie: Hield hoge niveaus vast (0,94–0,97) met minimale false positives.
• Purple-teaming Validatie: Toen gefine-tunde modellen opnieuw werden getest met PCAP, toonden ze sterke weerstand. Bijvoorbeeld, Granite 3.3 8B zag het ASR dalen van 100% naar 33,7%, en het aantal queries nodig om een succesvolle jailbreak te vinden, nam toe met 5–7×. Dit bevestigt dat de dataset generaliseerbare patroonherkenning voor aanvallen leert.

Betekenis en Claims

Het artikel beweert dat PCAP een volledige, geautomatiseerde, gesloten-lus aanpak biedt voor LLM-veiligheid. Door het adversariële zoeken te conditioneren op diverse persona's, ontdekt de methode kwetsbaarheden die smalle pijplijnen missen, specifiek die welke vertrouwen op sociale manipulatie en identiteitsgebaseerd vertrouwen.

De auteurs benadrukken dat het annotatievrije karakter van de gegenereerde dataset een belangrijk praktisch voordeel is, waardoor de kosten en schaalbaarheidsproblemen van menselijk red-teaming worden geëlimineerd. Het vermogen om bijna perfecte robustheid te bereiken (F1 > 0,96) door lightweight fine-tuning in een paar uur (2–9 uur op A100) demonstreert een praktische weg voor continue modelhardening. Het werk positioneert PCAP niet alleen als een ontdekkingsinstrument, maar als een functioneel "purple team" dat de kloof overbrugt tussen kwetsbaarheidsidentificatie en geautomatiseerde, effectieve verdediging.