Technische Samenvatting: De Grote Pretender: Een Stochasticiteitsprobleem bij LLM-Jailbreaks

1. Probleemstelling

De huidige standaard voor het evalueren van de veiligheid van Large Language Models (LLM), de Aanvalsuccesratio (ASR), is fundamenteel gebrekkig omdat ASR wordt behandeld als een vast eigenschap van een aanval. De auteurs betogen dat ASR eigenlijk een stochastische variabele is die sterk wordt beïnvloed door twee onafhankelijke bronnen van stochasticiteit die grotendeels worden genegeerd in bestaande literatuur:

1. Generatiestochasticiteit: De meeste jailbreak-aanvallen (bijvoorbeeld Best-of-N, Crescendo) zijn per ontwerp stochastisch. Ze genereren meerdere kandidaat-prompten en selecteren er één op basis van een enkele succesvolle poging. Een enkele run produceert een andere set kandidaten afhankelijk van de willekeurige seed, wat leidt tot variabele ASR-uitkomsten.
2. Evaluatiestochasticiteit: Geautomatiseerde beoordelaars (bijvoorbeeld Llama-Guard) die worden gebruikt om antwoorden te classificeren als "schadelijk" of "veilig", zijn zelf ook stochastisch wanneer ze werken bij een temperatuur $T > 0$. Dezelfde modelrespons kan bij de ene evaluatie als schadelijk worden gelabeld en bij de andere als onschadelijk.

Gevolg hiervan is dat gerapporteerde ASR-cijfers systematisch worden opgeblazen en niet vergelijkbaar zijn tussen verschillende publicaties. Een prompt die 1 keer slaagt op 10 pogingen wordt vaak identiek behandeld als een prompt die 10 keer slaagt op 10 pogingen, waardoor het feit wordt verdoezeld dat de eerste een "gelukkige trekking" kan zijn in plaats van een echte kwetsbaarheid.

2. Methodologie

Het artikel stelt een systematisch empirisch onderzoek voor om de impact van deze stochastische factoren te kwantificeren.

Experimentele Opzet

• Aanvallen: Vier black-box-aanvallen werden geëvalueerd: Best-of-N (BoN), PAIR, TAP en Crescendo.
• Doelmodellen: Vijf instructie-geoptimaliseerde modellen variërend van 1B tot 70B parameters, verdeeld over drie families (Meta Llama-3, Google Gemma-3, IBM Granite).
• Beoordelaars: Twee op LLM gebaseerde beoordelaars (Llama-Guard-3-1B en Llama-Guard-3-8B).
• Parameters: Het onderzoek varieert zes stochasticiteitsparameters door de generatie- en evaluatiepijplijnen:
  • Temperaturen: Doelmodelgeneratie ($T_{gen}$), doelmodelevaluatie ($T_{eval}$), beoordelergeneratie ($\theta_{gen}$) en beoordelerevaluatie ($\theta_{eval}$).
  • Consistentiedrempels: Het aantal opeenvolgende succesvolle evaluaties dat vereist is ($k_{gen}$ voor generatie, $k_{eval}$ voor evaluatie).
  • Seeds: Meerdere onafhankelijke willekeurige seeds ($S=5$) om variantie te meten.

Voorgestelde Kaders

Om de instabiliteit van ASR aan te pakken, introduceren de auteurs Consistency for Attack Success (CAS) en twee bijbehorende kaders:

1. CAS-metriek: Een binaire indicator per prompt. Een jailbreak wordt alleen als succesvol geteld als alle $k$ onafhankelijke evaluaties een schadelijk oordeel teruggeven.

   • De standaard ASR komt overeen met $k=1$.
   • De metriek op datasetniveau is $ASR(k_{eval})$, het fractie van prompts waarbij $CAS(r, k_{eval}) = 1$.

2. CAS-gen (Aanvalsgeneratiekader):

   • In plaats van een jailbreak-prompt te accepteren na een enkele succesvolle poging ($k_{gen}=1$), moet de aanval consistent een schadelijk antwoord oproepen over $k_{gen}$ onafhankelijke runs.
   • Dit filtert "kanssuccessen" bij de bron uit, zodat de aanvalsdataset alleen robuuste prompts bevat.

3. CAS-eval (Aanvalevaluatiekader):

   • Een vaste jailbreak-prompt wordt $k_{eval}$ keer geëvalueerd. Het wordt alleen geclassificeerd als een consistente jailbreak als alle $k_{eval}$ beoordelaarsoproepen een schadelijk oordeel teruggeven.
   • Dit onderdrukt vals-positieven veroorzaakt door de niet-deterministische aard van de beoordelaar.

3. Belangrijkste Resultaten

De evaluatie toont aan dat stochasticiteitsparameters de gerapporteerde ASR met enorme marges kunnen verschuiven (tot wel 54 procentpunten), waardoor vergelijkingen tussen publicaties ongeldig zijn zonder standaardisatie.

• Impact van Evaluatiedrempel ($k_{eval}$): Het verschuiven van $k_{eval}=1$ naar $k_{eval}=10$ verlaagt de ASR met 12 tot 24 procentpunten over alle configuraties heen. Dit geeft aan dat de standaard evaluatie met één schot de aanvalsuccesratio aanzienlijk overdrijft.
• Impact van Beoordelertemperatuur ($\theta_{eval}$): Dit is de meest volatiele parameter. Het verhogen van $\theta_{eval}$ van 0,0 naar 1,0 kan de ASR met tot wel 54 procentpunten laten instorten (bijvoorbeeld Crescendo dalend van 86% naar 32%). Bij $\theta_{eval}=0$ wordt de ASR perfect stabiel.
• Impact van Generatiebudget ($k_{gen}$): Het verhogen van $k_{gen}$ van 1 naar 10 verhoogt de gerapporteerde ASR met 12 tot 30 procentpunten. Een los filter ($k_{gen}=1$) accepteert grensgevallen die bij herhaalde evaluatie sterk verslechteren.
• Impact van Doelmodeltemperatuur ($T_{eval}$): Het verschuiven van $T_{eval}$ van 0,0 naar 1,0 verandert de ASR met maximaal 18 procentpunten zonder systematische richting; het beïnvloedt de relatieve rangschikking van aanvallen niet.
• Impact van Aanvalseed: De spreiding tussen seeds is bescheiden (tot 20 procentpunten), maar kan hoger zijn voor specifieke configuraties (bijvoorbeeld 50 punten voor BoN met LG-8B bij $k_{eval}=10$).

4. Bijdragen en Betekenis

Het artikel levert drie hoofdbijdragen:

1. Systematisch Empirisch Onderzoek: De eerste uitgebreide analyse van zowel generatie- als evaluatiestochasticiteit over meerdere aanvallen, modellen en beoordelaars, waarbij specifieke parameters worden geïdentificeerd die de ASR-variantie drijven.
2. Nieuwe Metriek en Kaders: De introductie van CAS (Consistency for Attack Success) en de CAS-gen/CAS-eval-kaders. Deze tools stellen onderzoekers in staat om gelukkige trekkingen en beoordelaarsruis te filteren, waardoor betrouwbaardere en reproduceerbaardere ASR-schattingen worden gegenereerd.
3. Minimale Rapportagestandaard: De auteurs stellen een checklist voor voor toekomstig onderzoek om vergelijkbaarheid te waarborgen. Minimaal moeten publicaties de volgende gegevens openbaren:
   • $k_{gen}$ (consistentiedrempel voor generatie)
   • $k_{eval}$ (consistentiedrempel voor evaluatie)
   • $\theta_{eval}$ (temperatuur voor beoordelerevaluatie)
   • (Voor BoN-aanvallen) $\theta_{gen}$ (temperatuur voor zoekopdracht van de beoordelaar)

Betekenis:
Het artikel betoogt dat de huidige praktijk om ASR te rapporteren als een puntenschatting zonder controle op stochasticiteit "fundamenteel gebrekkig" is. Door deze variabelen te negeren, creëert de gemeenschap een "Grote Pretender"-scenario waarbij hoge ASR-scores vaak artefacten zijn van willekeurige seeds en beoordelaarsruis in plaats van echte kwetsbaarheden. De voorgestelde kaders en rapportagestandaarden hebben tot doel statistische striktheid terug te brengen in LLM-veiligheidsbenchmarking, zodat gerapporteerde succespercentages echte, reproduceerbare aanvalseffectiviteit weerspiegelen. De auteurs merken op dat hun bevindingen gebaseerd zijn op modellen met open gewichten en dat het uitbreiden van deze analyse naar propriëtaire, zwaar met RLHF uitgelijnde modellen een open empirische vraag blijft vanwege API-beperkingen en gebrek aan transparantie.