💻 computer science

JailBreakGuard: Defeating Jailbreak Attacks via Dynamic Prompt Perturbation

JailBreakGuard is een kosteneffectief, dynamisch defensief framework dat diverse jailbreak-aanvallen op grote taalmodellen mitigeert door een perplexiteit-gebaseerd mechanisme te hanteren om selectief karakter- of zin-niveau prompt-perturbaties toe te passen, waarbij een significante reductie in de succesratio van aanvallen wordt bereikt met minimale impact op de prestaties van legitieme queries.

Oorspronkelijke auteurs: Jun Yuan, Ziang Ruan, Liangguo Chen, Shuyu Jiang, Rui Tang, Hao Ren

Gepubliceerd 2026-09-29

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Jun Yuan, Ziang Ruan, Liangguo Chen, Shuyu Jiang, Rui Tang, Hao Ren

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

In het digitale tijdperk zijn grote taalmodellen de stille motoren achter talloze toepassingen geworden, van het opstellen van e-mails tot het beantwoorden van complexe vragen. Deze systemen worden getraind op enorme hoeveelheden menselijke tekst, waarbij ze leren voorspellen welke woorden als volgende in een zin moeten komen. Dezezelfde vaardigheid om taal te begrijpen en te genereren maakt ze echter kwetsbaar voor een specifieke vorm van listigheid, bekend als een "jailbreak". Bij een jailbreak-aanval ontwerpt een gebruiker een prompt—een zorgvuldig geformuleerd verzoek dat bedoeld is om de ingebouwde veiligheidsregels van het model te omzeilen. Door gebruik te maken van rollenspellen, verborgen instructies of vreemde formattering, kan een aanvaller het model erin luizen om de ethische richtlijnen te negeren en schadelijke inhoud te genereren, zoals instructies voor gevaarlijke activiteiten of haatzaaiende uitlatingen. Ho'ewel ontwikkelaars hebben geprobeerd deze modellen te harden tegen dergelijke trucs, evolueren aanvallers voortdurend hun methoden, wat een bewegend doelwit creëert dat moeilijk te verdedigen is met een enkel, statisch schild.

Een nieuwe benadering genaamd JailBreakGuard biedt een andere manier om dit probleem aan te pakken, waarbij de focus verschuift van het veranderen van het model zelf naar het zorgvuldig aanpassen van de binnenkomende verzoeken voordat ze worden verwerkt. Onderzoekers van de Sichuan Universiteit en de Guilin University of Electronic Technology ontdekten dat niet alle kwaadaardige prompts er hetzelfde uitzien. Sommige vertrouwen op complexe, verhalende scenario's die vloeiend lezen, terwijl andere vreemde, onbegrijpelijke tekst gebruiken vol met betekenisloze tekens om het systeem te verwarren. Het team ontdekte dat deze twee soorten aanvallen heel verschillend gedrag vertonen wanneer ze worden gemeten aan de hand van hoe "verrassend" de tekst is voor het model. Vloeiende, op verhalen gebaseerde aanvallen neigen er zeer normaal en voorspelbaar uit te zien, terwijl de onbegrijpelijke, adversariële aanvallen chaotisch en zeer onvoorspelbaar lijken.

Om dit verschil uit te buiten, bouwden de onderzoekers een verdedigingssysteem dat fungeert als een slimme poortwachter bij de ingang van de applicatie. In plaats van elke aanvraag dezelfde correctie toe te passen, meet het systeem eerst het "verrassingsniveau" van de binnenkomende tekst. Als de tekst zeer chaotisch en onvoorspelbaar is, gaat het systeem ervan uit dat het een onbegrijpelijke aanval is en past het een techniek toe die willekeurig enkele tekens verwijdert, verwisselt of invoegt. Deze kleine hoeveelheid ruis is voldoende om de specifieke structuur van de kwaadaardige code te breken zonder de betekenis van een normale vraag te veranderen. Als de tekst vloeiend en voorspelbaar is, gaat het systeem ervan uit dat het een slimme, op verhalen gebaseerde aanval kan zijn en herschrijft het de zin in plaats daarvan met behulp van een hulpmodel. Dit herschrijfproces houdt de oorspronkelijke betekenis intact, maar stript de verborgen instructies weg die bedoeld zijn om de veiligheidsfilters te misleiden.

De resultaten van deze dynamische aanpak werden getest tegen negen verschillende soorten jailbreak-aanvallen over zeven categorieën. Het systeem bleek opmerkelijk effectief en verminderde het gemiddelde succespercentage van deze aanvallen met meer dan 70 procent op de modellen waarop het werd getest. Cruciaal is dat deze verdediging niet ten koste ging van het vermogen van het model om gewone gebruikers te helpen. Wanneer de onderzoekers het systeem testten op normale, onschadelijke vragen, was de daling in de prestaties van de modellen verwaarloosbaar, met een maximale afname in nauwkeurigheid van slechts 3,19 procent. Sterker nog, voor sommige modellen maakte het herschrijfproces de vragen zelfs iets begrijpelijker, wat leidde tot een kleine verbetering in nauwkeurigheid.

Deze methode valt op omdat het geen wijzigingen vereist in het onderliggende model of de interne instellingen, waardoor het gemakkelijk te installeren is op het serviceniveau waar verzoeken voor het eerst arriveren. Het is ook efficiënt, aangezien het minder tijd in beslag neemt en minder rekenkracht gebruikt dan veel bestaande verdedigingsmethoden. Door te erkennen dat verschillende aanvallen verschillende tegenmaatregelen vereisen, en door de natuurlijke structuur van de tekst te gebruiken om te beslissen welke tegenmaatregel te gebruiken moet worden, biedt JailBreakGuard een flexibel en robuust schild. Het demonstreert dat een verdediging niet een zware, onbuigzame muur hoeft te zijn; soms is de meest effectieve bescherming een lichte, intelligente aanraking die zich aanpast aan de vorm van de dreiging.

Technische Samenvatting: JailBreakGuard

Probleemstelling

Large Language Models (LLMs) die zijn geïntegreerd in applicatiediensten, met name in peer-to-peer (P2P) omgevingen, blijven kwetsbaar voor jailbreak-aanvallen. Bij deze aanvallen ontwerpen aanvallers specifieke prompts om veiligheidsmaatregelen te omzeilen en schadelijke outputs op te roepen. Bestaande verdedigingsmechanismen kampen met twee kritieke beperkingen:

Ineffectiviteit tegen diverse aanvallen: Een enkele verdedigingsstrategie (bijv. perplexity filtering of parafraseren) kan niet effectief alle soorten jailbreak-prompts bestrijden, zoals adversariële suffixen versus complexe scenario-gebaseerde narratieven.
Hoge resourceconsumptie: Het gelijktijdig inzetten van meerdere verdedigingsmechanismen of het gebruik van methoden die herhaalde modelqueries vereisen, brengt aanzienlijke verwerkingsoverhead en implementatiekosten met zich mee, wat grootschalige toepassing bij service-interfaces belemmert.

Huidige alignment-technieken zoals Reinforcement Learning from Human Feedback (RLHF) en Direct Preference Optimization (DPO) verminderen de vatbaarheid voor zorgvuldig geconstrueerde prompts, maar elimineren deze niet volledig. Bovendien is het aanpassen van de onderliggende modelparameters vaak onpraktisch voor serviceproviders die veiligheidsmaatregelen op de input-interface moeten implementeren zonder de modelarchitectuur te wijzigen.

Methodologie

De auteurs stellen JailBreakGuard voor, een input-niveau verdedigingsframework dat opereert op de service-interface zonder de parameters van het doel-LLM te wijzigen. Het framework selecteert dynamisch perturbatiestrategieën op basis van de perplexity van de tekst. Het bestaat uit drie kernmodules:

1. Perplexity-gebaseerde Perturbatiestrategie Selectie

De kerninnovatie is een mechanisme dat aanvalstypen classificeert met behulp van tekst-perplexity om de passende verdedigingsstrategie te bepalen.

Observatie: De auteurs ontdekten dat adversariële aanvallen (bijv. GCG) doorgaans een hoge perplexity vertonen vanwege onnatuurlijke karaktersequenties, terwijl scenario-gebaseerde of role-playing aanvallen (bijv. DAN, DeepInception) een lagere perplexity vertonen omdat ze vloeiende natuurlijke taal behouden.
Drempeloptimalisatie: Het systeem berekent een optimale perplexity-drempel ( $\theta^*$ ) door een objectieve functie $J(\theta)$ te minimaliseren die Type I- en Type II-fouten tussen adversariële en scenario-gebaseerde aanvalsdistributies balanceert. Met behulp van het Brentq-algoritme identificeerden zij een optimale drempel van 154,63.
Routing:
- Hoge Perplexity (> $\theta^*$ ): Wordt gerouteerd naar de Character-Level Perturbation module.
- Lage Perplexity ( $\le$ $\theta^*$ ): Wordt gerouteerd naar de Sentence-Level Perturbation module.

2. Character-Level Perturbation Module

Deze module is gericht op inputs met een hoge perplexity (waarschijnlijk met adversariële suffixen) en verstoort de structurele afhankelijkheid van de aanval zonder de semantische betekenis voor benign queries significant te wijzigen. Het past drie operaties sequentieel toe met een ratio van 4%:

Random Deletion: Het verwijderen van willekeurige karakters.
Random Swapping: Het verwisselen van de posities van willekeurige karakters.
Random Insertion: Het invoegen van willekeurige ASCII-karakters.

3. Sentence-Level Perturbation Module

Deze module is gericht op inputs met een lage perplexity (waarschijnlijk scenario-gebaseerde of vloeiende jailbreaks) en gebruikt een hulp-LLM (DeepSeek-V3) om de prompt te herschrijven.

Proces: De input wordt ingevoegd in een veiligheidsgeoriënteerd parafraseringssjabloon.
Dubbele Doelstellingen:
1. Harm Removal: Verplichte eliminatie van gedetecteerde schadelijke inhoud.
2. Semantic Preservation: Strikte handhaving van de oorspronkelijke kernbetekenis van de query.
Veiligheidslaag: Als de input overduidelijk kwaadaardige inhoud bevat, wijst het parafraseringsmodel dit direct af.

Belangrijkste Bijdragen

Nieuw Framework: Introductie van JailBreakGuard, een universeel verdedigingsframework dat character-level en sentence-level perturbaties integreert via een dynamisch, perplexity-gebaseerd selectiemechanisme.
Model-Agnostische Implementatie: De methode werkt volledig op input-niveau en vereist geen wijzigingen aan de architectuur of parameters van het beschermde model, waardoor het geschikt is voor P2P-servicenodes en bestaande LLM API's.
Adaptieve Strategie: Door perplexity als classifier te gebruiken, combineert het systeem dynamisch de sterke punten van verschillende perturbatiemethoden, waarmee de beperking van single-strategy verdedigingen wordt aangepakt.
Uitgebreide Evaluatie: Uitgebreide testen over negen jailbreak-aanvallen verspreid over zeven categorieën (inclusief gradient-gebaseerde, mutatie-gebaseerde, role-playing en meertalige aanvallen) op meerdere victim-modellen (Qwen2.5, DeepSeek-V3, Vicuna, Llama).

Experimentele Resultaten

De auteurs evalueerden JailBreakGuard op Qwen2.5-32B en DeepSeek-V3 modellen tegen negen typen aanvallen:

Reductie van Attack Success Rate (ASR):
- Op Qwen2.5-32B daalde de gemiddelde ASR van 23,20% (geen verdediging) naar 5,42%, een relatieve reductie van 76,64%.
- Op DeepSeek-V3 daalde de gemiddelde ASR van 25,58% naar 7,10%, een relatieve reductie van 72,24%.
- Specifieke aanvallen zoals GCG en DAN werden teruggebracht tot een nagenoeg nul ASR (bijv. GCG op Qwen2.5-32B ging van 10,83% naar 0,00%).
Behoud van Benign Utility:
- Het framework behoudt een hoge prestatie op benign queries (MMLU dataset).
- De maximale prestatieverslechtering die werd waargenomen was 3,19% (op Qwen2.5-14B).
- Interessant genoeg vertoonden sommige modellen (Vicuna-13B, Llama-3.1-8B) een lichte verbetering in nauwkeurigheid na perturbatie, mogelijk door de sentence-level parafrasering die queries herformuleert naar meer interpreteerbare vormen.
Vergelijking met Baselines:
- JailBreakGuard presteerde beter dan baselines (Self-Reminder, LLM Self Defense, Llama Guard 3) in 8 van de 10 geteste scenario's.
- In de overige 2 gevallen was het prestatieverschil minder dan 2%.
Resource Efficiëntie:
- JailBreakGuard demonstreerde aanzienlijk lager resourceverbruik vergeleken met baselines.
- Gemiddelde Defensietijd: ~3,86 seconden (tegenover >10 seconden voor baselines).
- Gemiddelde Token Kosten: 225,14 tokens (tegenover ~300–500+ voor baselines).
Ablatie-studies:
- Het uitschakelen van de perplexity-selector en het willekeurig toepassen van perturbaties resulteerde in suboptimale verdediging, wat de noodzaak van het dynamische routingmechanisme bevestigt.
- Character-level perturbatie alleen faalde tegen scenario-gebaseerde aanvallen, terwijl sentence-level perturbatie alleen faalde tegen adversariële suffixen, wat de noodzaak van de dual-strategy aanpak valideert.

Betekenis en Claims

Het artikel claimt dat JailBreakGuard een praktische, goedkope en zeer effectieve oplossing biedt voor het beveiligen van LLM-service-interfaces. De betekenis ligt in:

Schaalbaarheid: Door het vermijden van model-retraining en het minimaliseren van de computationele overhead, is het geschikt voor implementatie in resource-beperkte P2P-omgevingen.
Robuustheid: Het adresseert succesvol de diversiteit aan jailbreak-aanvallen waar single-method verdedigingen falen, waarbij een reductie van >70% in attack success rates wordt bereikt over een breed spectrum aan aanvalsvectoren.
Bruikbaarheid: Het balanceert beveiliging met nut, waardoor wordt gewaarborgd dat legitieme gebruikersqueries niet significant worden verslechterd, wat de veilige integratie van LLM's in bredere applicatie-ecosystemen faciliteert.

De auteurs concluderen dat hoewel zeer gestructureerde scenario-gebaseerde aanvallen (zoals DeepInception) een uitdaging blijven, JailBreakGuard een belangrijke stap voorwaarts vertegenwoordigt in dynamische, input-niveau verdedigingsstrategieën.