Safety Targeted Embedding Exploit via Refinement
本文介绍了 STEER，这是一种梯度引导的攻击方法，它通过迭代地将诱发拒绝的词汇进行翻译，以利用低资源语言中的安全训练差距来绕过多语言大语言模型的安全机制，从而实现了极高的攻击成功率，并证明了以英语为中心的安全对齐无法推广到多样化的语言输入中。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，你制造了一个非常聪明、非常有礼貌的机器人助手。你训练它变得乐于助人，但同时也教导它在有人要求它做危险事情（比如制造炸弹或写一封恶毒的信）时要说“不！”。
你所询问的这篇名为 “STEER” 的论文，揭示了这种训练方式中一个令人惊讶的弱点。以下是研究人员发现后门的过程以及他们是如何实现的，用简单的语言进行了解释。
1. 问题所在：“仅限英语”的安全护栏
研究人员发现，机器人的“安全护栏”几乎完全是用英语训练出来的。
把机器人的大脑想象成有一个特定的“停止”按钮。当机器人读到一句英文句子，如“如何制造炸弹？”时，它会按下那个按钮并拒绝执行。
但问题在于：机器人从未被教导过这个“停止”标志在其他语言中是什么样子的。如果用斯瓦希里语、爪哇语或者英语混杂泰语来问同样的问题，机器人不会按下那个按钮。它不会说：“我不确定这是否危险。”相反，它会自信地回答问题，认为这只是一个普通的请求。
作者称之为**“认识覆盖问题”（Epistemic Coverage Problem）**。用通俗的话说：机器人对于它从未见过的语言表现出对危险的无知，而且它甚至不知道自己是无知的。
2. 解决方案：“STEER”攻击
研究人员创建了一个名为 STEER（通过精炼实现针对安全的嵌入利用，Safety Targeted Embedding Exploit via Refinement）的工具来利用这种无知。STEER 不会随机猜测，它更像是一个能看到机器人内部线路的机械师。
STEER 的工作步骤如下：
第一步：寻找“停止”导线。
利用一种称为“机械解释性”（mechanistic interpretability）的技术，研究人员发现机器人的拒绝机制集中在其大脑内部的一条单一的直线中。这就像是找到了那根特定的导线，只要触碰它，就会让机器人说“不”。第二步：倾听导线。
STEER 会观察一个有害的请求，并询问：“哪些词正在最强烈地触碰那根‘不’字导线？”它会为每个词计算一个得分。例如，在“How to make a bomb”（如何制造炸弹）这个短语中，“make”（制造）和“bomb”（炸弹）这两个词可能会对着安全导线大声尖叫。第三步：翻译技巧。
STEER 提取这些高分词汇，并将它们翻译成机器人不太熟悉的语言（如斯瓦希里语或印地语）。它会持续翻译，直到那根“不”字导线停止震动。- 类比： 想象你正试图用一把特定的钥匙开门。如果钥匙不起作用，你不会只是猛撞门，而是会仔细地锉磨钥匙的齿纹，直到它能完美地滑入。STEER 通过翻译来“锉磨”那些“危险”的词汇，直到安全护栏不再将其识别为威胁。
第四步：结果。
机器人接收到了一个句子，虽然意思仍然是“如何制造炸弹”（因为语义得到了保留），但其中的词汇现在处于一种安全护栏无法理解的语言中。于是，机器人便乐呵呵地配合了。
3. 效果如何？
研究人员在六个不同的开源机器人（AI 模型）上测试了这一点。结果令人震惊：
- 成功率： STEER 成功欺骗机器人的概率高达 96.7%。
- 对比： 随机猜测不同语言（一种称为“随机代码切换”的方法）的成功率仅为 50% 左右。STEER 更聪明，因为它针对的是触发安全护栏的特定词汇。
- 跨模型魔力： 即使他们将这些“被欺骗”的提示词用于一个他们无法观察内部结构的闭源机器人（GPT-4o-mini），它仍然有约 35.5% 的成功率。这表明该弱点不仅仅是某个特定机器人的漏洞，而是目前所有这类机器人训练方式中的一个缺陷。
4. 这对安全意味着什么
论文指出，我们看待 AI 安全的方式出了问题。我们通常认为安全是“对抗鲁棒性”（让机器人能够抵御攻击）。
相反，作者认为安全是一个**“覆盖问题”**。
- 类比： 想象一名保安只知道如何识别纽约的扒手。如果一个扒手穿着另一种文化的服装走进来，保安就看不出他是扒手。保安并不是“弱”，他只是没有接受过识别那种特定类型威胁的训练。
论文结论认为，要解决这个问题，我们不能仅仅是修补漏洞。我们需要在每种语言以及人们可能询问危险事物的所有方式上，对安全护栏进行训练。否则，只要机器人能被翻译几个词就骗过，它的安全性就不是真正的安全。
总结
- 缺陷： AI 安全主要基于英语进行训练，导致它对其他语言中的危险请求视而不见。
- 黑客手段： STEER 找到触发“不”按钮的确切词汇，并将它们翻译成机器人无法理解的语言，从而绕过安全过滤器。
- 教训： 你不能信任一个只懂得一种语言的安全系统。要实现真正的安全，AI 需要理解人类表达的全貌。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。