Technische Samenvatting: LASH (Adaptieve Semantische Hybridisatie voor Black-Box Jailbreaking)

Probleemstelling

Ondanks afstemmingstechnieken zoals Reinforcement Learning from Human Feedback (RLHF) en Constitutional AI blijven Large Language Models (LLM's) kwetsbaar voor adversariale prompting. Hoewel geautomatiseerde jailbreak-aanvallen zijn doorgegaan van handmatig maken naar witte-doos, op gradienten gebaseerde methoden (bijv. GCG) en zwarte-doos, iteratieve strategieën (bijv. PAIR, TAP), blijft een kritieke beperking bestaan: bestaande geautomatiseerde methoden kiezen doorgaans vast voor één enkele "aanvalsfamilie" (bijv. een specifieke verfijningslus, boomzoektocht, mutatieruimte of strategiebibliotheek). Empirisch bewijs toont aan dat geen enkele familie domineert; de meest effectieve methode varieert aanzienlijk afhankelijk van de architectuur van het doelmodel en de specifieke categorie schade. Bijgevolg slagen huidige benaderingen er niet in om de complementaire sterktes van verschillende aanvalstrategieën te benutten, waardoor ze vaak succesvolle jailbreaks missen die bereikt zouden kunnen worden door partiële signalen van meerdere methoden te combineren.

Methodologie: LASH

De auteurs introduceren LASH (LLM Adaptive Semantic Hybridization), een meta-aanval framework voor zwarte dozen dat is ontworpen om de beperkingen van zoekruimten van één familie te overwinnen. LASH behandelt de outputs van meerdere bestaande zwarte-doos-aanvallen als herbruikbare "zaadprompts" en stelt deze adaptief samen voor elke doelaanvraag. Het framework werkt onder een strikt zwart-doos-bedreigingsmodel, waarbij alleen query-toegang tot het doelmodel wordt aangenomen (geen toegang tot gewichten, gradienten of verborgen toestanden).

De LASH-pijplijn bestaat uit vier hoofdfasen:

1. Constructie van de Zaadpool: Voor een gegeven invoerprompt $x$ voert LASH meerdere basis zwarte-doos-aanvalsmethoden uit (bijv. PAIR, TAP, AutoDAN-Turbo) met opzettelijk verminderde query-budgetten. Dit genereert een pool van zaadprompts $B(x) = \{b_1, \dots, b_n\}$, waarbij elke zaad een unieke aanvalstrategie, formuleringpatroon of structurele transformatie vertegenwoordigt.
2. Subzoektocht en Gewogen Hybridisatie: LASH zoekt door subsets van de zaadpool en wijst continue mengingsgewichten toe aan de geselecteerde zaden. Voor een subset $S$ worden reële logits $z$ omgezet in genormaliseerde mengingsgewichten $w$ via een softmax-functie. Een compositie-LLM ($M$) synthetiseert vervolgens een enkele coherente kandidaatprompt $p$ door de gewogen zaden te integreren:
   $$p = M(x, \{(b_i, w_i)\})$$
   Deze stap zorgt ervoor dat de output een prompt in natuurlijke taal is in plaats van een simpele tekstuele concatenatie, waarbij de intentie van de oorspronkelijke aanvraag behouden blijft terwijl de sterktes van de zaden worden gecombineerd.
3. Afgeleide-vrije Genetische Optimalisatie: De mengingsgewichten worden geoptimaliseerd met behulp van een genetisch algoritme (GA). Het GA werkt uitsluitend op de reële logits (niet op de prompttekst zelf) en muteren deze met behulp van Gaussisch ruis. De populatie evolueert door elitisme (selectie van de best presterende genen) en mutatie. Deze aanpak houdt de optimalisatie lichtgewicht en volledig zwart-doos.
4. Tweestaps Fitnessfunctie: Kandidaten worden geëvalueerd met behulp van een tweestapsmetriek om efficiëntie en nauwkeurigheid in evenwicht te brengen:
   • Fase 1 (Weigeringsdetectie): Een op trefwoorden gebaseerde detector filtert antwoorden met expliciete weigeringsmarkers eruit. Kandidaten die deze fase niet halen, krijgen een score van 0.
   • Fase 2 (LLM-Juist Scoren): Antwoorden die de filter doorstaan, worden gescoord door een LLM-judge (bijv. GPT-4o-mini) op een schaal van 0–10, gebaseerd op hoe substantieel ze de schadelijke aanvraag vervullen. Een drempelwaarde $\tau$ (bijv. 9) bepaalt het succes.

Belangrijkste Bijdragen

• Adaptieve Compositie: LASH is het eerste framework dat jailbreak-outputs behandelt als samenstelbare componenten, waarbij wordt gezocht naar optimale gewogen combinaties over heterogene aanvalsfamilies in plaats van te vertrouwen op een enkele zoektraject.
• Zwart-Doos Efficiëntie: Het framework vereist geen witte-doos-toegang, surrogaatmodellen of fijnafstelling van componenten. Het is volledig afhankelijk van feedback op responsniveau en afgeleide-vrije optimalisatie.
• Mechanistisch Inzicht: Het artikel levert bewijs dat het succes van LASH niet louter te wijten is aan oppervlakkige formulering, maar interne modelrepresentaties induceert die dichter bij succesvolle jailbreak-trajecten liggen.

Experimentele Resultaten

De auteurs hebben LASH geëvalueerd op JailbreakBench, een gestandaardiseerde benchmark met 100 schadelijke prompts over 10 categorieën, gericht op zes diverse modellen (waaronder Llama-2/3, Vicuna, Gemini en GPT-varianten).

• Aanvalsuccespercentage (ASR): LASH behaalde een gemiddelde ASR1 (op trefwoorden gebaseerd) van 84,5% en een ASR2 (tweestaps LLM-judge) van 74,5%. Dit presteerde aanzienlijk beter dan vijf state-of-the-art baselines (PAIR, TAP, AutoDAN, AutoDAN-Turbo, FlipAttack), die op ASR2 varieerden van 27,5% tot 40,67%.
• Query-efficiëntie: LASH behaalde deze resultaten met een gemiddelde van slechts 30 doelprompts per prompt, in vergelijking met baselines die vaak aanzienlijk meer vereisten (bijv. PAIR gemiddeld ~90 queries).
• Robuustheid: Onder drie verdedigingsmechanismen (SmoothLLM, Llama Guard en Perplexity Filtering) bleef LASH concurrerend, met een gemiddelde ASR2 van 41,50% (SmoothLLM), 18,00% (Llama Guard) en 70,83% (Perplexity), over het algemeen beter presterend dan of gelijkend aan de sterkste baselines.
• Mechanistische Analyse: Probing- en activatie-patching-experimenten onthulden dat LASH-prompts "succes-achtige" interne representaties induceren in de tussenliggende lagen van het doelmodel (specifiek lagen 10–18) die verschillen van die welke door mislukte zaadprompts worden geïnduceerd. Het patchen van LASH-activaties in mislukte zaadruns verhoogde de successkans, wat bevestigt dat de hybridisatie kwalitatief verschillende interne toestanden creëert.

Betekenis en Claims

Het artikel beweert dat adaptieve compositie over heterogene jailbreak-strategieën een veelbelovende richting is voor black-box red-teaming. De auteurs betogen dat de "complementariteit" van verschillende aanvalsfamilies—waarbij de zwakte van de ene methode de sterkte van de andere is—een hulpbron is die methoden van één familie niet kunnen benutten. Door de eenheid van optimalisatie te verheffen van individuele prompts naar mengsels van aanval-outputs, toont LASH aan dat een meta-aanval systematisch de som van zijn delen kan overtreffen.

De auteurs positioneren LASH als een hulpmiddel voor veiligheidsevaluatie voorafgaand aan implementatie, met de nadruk op zijn tweeledige aard. Ze stellen expliciet dat de methode beperkt is tot optimalisatie van prompts in één beurt en momenteel niet bewust is van verdediging, wat toekomstig werk suggereert in meerstapsplanning en samenstelling die adaptief is voor beveiliging. De resultaten suggereren dat huidige veiligheidsafstemmingen kwetsbaarder zijn dan eerder werd gedacht, aangezien ze kunnen worden omzeild door dynamisch strategieën te synthetiseren die specifieke weigerings triggers en interne veiligheidscontroles ontlopen.