ReFrame: Evidence-Guided Test-Time Safety Alignment in Multimodal Large Language Models

In de snel evoluerende wereld van kunstmatige intelligentie is een nieuwe generatie modellen opgekomen die tegelijkertijd kunnen zien en spreken. Deze systemen, bekend als multimodale grote taalmodellen, verwerken niet alleen tekst; ze begrijpen afbeeldingen en verbinden visuele details met geschreven woorden om vragen te beantwoorden, problemen op te lossen en creatieve inhoud te genereren. Deze uitgebreide mogelijkheid om te zien en te redeneren brengt echter een complexe nieuwe uitdaging met zich mee: veiligheid. Hoewel deze modellen zijn ontworpen om behulpzaam te zijn, kunnen ze soms worden misleid om hun veiligheidsregels te negeren. Een aanvaller kan een schadelijk verzoek verstoppen in een afbeelding of een gevaarlijke instructie verdelen tussen een afbeelding en een zin, waardoor het model in verwarring wordt gebracht met de gedachte dat het verzoek onschuldig is. Dit creëert een moeilijke situatie voor ontwikkelaars. Veel van de krachtigste modellen zijn "black boxes", wat betekent dat hun interne werking verborgen is en niet kan worden aangepast of opnieuw getraind door externe gebruikers. Wanneer een model al is ingezet en niet meer kan worden gewijzigd, wordt het vinden van een manier om het veilig te houden zonder de bruikbaarheid aan te tasten een cruciaal vraagstuk.

Onderzoekers hebben manieren verkend om dit op te lossen, maar veel bestaande oplossingen vereisen toegang tot de interne code van het model of omvatten dure hertraining, wat onmogelijk is voor gesloten systemen. Een team wetenschappers heeft nu een andere aanpak voorgesteld genaamd ReFrame, een methode die fungeert als een slim filter voordat het model de aanvraag van de gebruiker überhaupt ziet. In plaats van te proberen het model zelf te veranderen, onderschept ReFrame de binnenkomende afbeelding en tekst, analyseert deze en herschrijft de aanvraag naar een veiligere versie. Dit proces vindt volledig plaats op het moment van gebruik, zonder de interne instellingen van het model aan te raken of het opnieuw te trainen op nieuwe gegevens. Het systeem is ontworpen om verborgen gevaren te vangen die door standaardverdedigingen heen zouden kunnen glippen, terwijl het ervoor zorgt dat het model nog steeds effectief legitieme vragen beantwoordt.

De kern van het probleem dat de onderzoekers identificeerden, is dat deze modellen vaak de voorkeur geven aan behulpzaamheid boven veiligheid. Wanneer een gebruiker een vraag stelt, is de primaire drijfveer van het model om de taak te voltooien, wat er soms toe kan leiden dat het subtiele risico's die in een afbeelding of een lastige zinstructuur verborgen zitten, over het hoofd ziet. Bovendien, zodra een model een bepaalde lijn van redenering begint te volgen, kan het vast komen te zitten op een schadelijk pad, waardoor het onveilige inhoud blijft genereren, zelfs als het het gevaar later beseft. Om dit op te lossen, bouwden de onderzoekers een tweestapsysteem dat een kleinere, lokale versie van een AI-model gebruikt om als poortwachter te fungeren. Deze poortwachter beantwoordt de vraag van de gebruiker niet direct. In plaats daarvan onderzoekt het de aanvraag en maakt het twee specifieke samenvattingen, of "kaarten", die de situatie beschrijven.

De eerste kaart, de risicokaart, zoekt naar verborgen gevaren. Het vraagt: Is er een schadelijke intentie verborgen in de afbeelding of de tekst? Als het antwoord ja is, identificeert het precies wat het gevaar is en plant het hoe de aanvraag herschreven moet worden om de dreiging te verwijderen. De tweede kaart, de nutskaart, richt zich op wat bewaard moet blijven. Het vraagt: Welke delen van de aanvraag zijn onschadelijk en nuttig? Dit zorgt ervoor dat wanneer de schadelijke delen worden verwijderd, het model niet de hele vraag weggooit of weigert te helpen bij een onderwerp dat eigenlijk veilig is. Door het risico van het nut te scheiden, kan het systeem een nauwkeurige beslissing nemen over hoe verder te gaan.

Zodra deze twee kaarten zijn gemaakt, neemt een tweede stap het over. Dit deel van het systeem combineert de informatie van beide kaarten om de oorspronkelijke aanvraag te herschrijven. Als de aanvraag in eerste instantie veilig was, laat het systeem deze door met slechts minimale aanpassingen. Als de aanvraag een verborgen valstrik bevatte, herschrijft het systeem de prompt om het model in een veilige en behulpzame richting te sturen. Als een gebruiker bijvoorbeeld vraagt om instructies over hoe een misdaad te plegen maar dit als een gamescenario inkleedt, herkent het systeem de game-omgeving als een vermomming. Het verwijdert de spelinstructies en herschrijft de prompt om te vragen naar veiligheidsaspecten of juridische alternatieven. Cruciaal is dat het systeem ook beslist of de oorspronkelijke afbeelding samen met de herschreven tekst wordt verzonden. Soms bevat de afbeelding zelf de gevaarlijke aanwijzing, dus blokkeert het systeem de afbeelding. Andere keren is de afbeelding onschadelijk en noodzakelijk voor het antwoord, dus wordt deze doorgelaten.

De onderzoekers testten deze methode op verschillende verschillende grote modellen, waaronder enkele van de meest geavanceerde commerciële systemen van dit moment. Ze gebruikten een breed scala aan tests die ontworpen zijn om modellen te misleiden tot het breken van hun veiligheidsregels, evenals tests om te zien of de modellen nog steeds normale vragen over wiskunde, wetenschap en alledaagse objecten konden beantwoorden. De resultaten toonden aan dat de nieuwe methode zeer effectief was in het stoppen van schadelijke verzoeken die andere verdedigingen misten. Het blokkeerde succesvol aanvallen waarbij het gevaar verborgen zat in de manier waarop een afbeelding gespiegeld was of waar de tekst was gehusseld om een slechte intentie te verbergen. Tegelijkertijd maakte het de modellen niet overdreven voorzichtig. In gevallen waarin gebruikers veilige vragen stelden over gevoelige onderwerpen zoals geneeskunde of chemie, liet het systeem de modellen toe om behulpzame antwoorden te geven in plaats van te weigeren over deze onderwerpen te praten.

De studie onderzocht ook hoeveel extra tijd dit proces kostte. Omdat het systeem een kleiner, lokaal model gebruikt om de herschrijving te doen voordat het hoofdmodel antwoordt, voegt het een kleine vertraging toe, maar de onderzoekers vonden deze kosten beheersbaar. De methode bleek flexibel te zijn en werkte goed met verschillende typen modellen en verschillende groottes van de lokale poortwachter. Dit suggere wordt dat de aanpak niet gebonden is aan één specifieke technologie maar breed kan worden toegepast. De bevindingen wijzen erop dat door de intentie achter een beeld-tekstcombinatie zorgvuldig te analyseren en de aanvraag te herschrijven voordat deze het hoofdmodel bereikt, het mogelijk is om de veiligheid aanzienlijk te verbeteren zonder de bruikbaarheid van het model op te offeren. Dit biedt een praktisch pad vooruit om krachtige AI-systemen veilig te houden, zelfs wanneer hun interne werking niet kan worden gewijzigd.