Jailbreak (LLM)
Jak działa
1) Atakujacy analizuje zachowanie modelu i jego odmowy. 2) Konstruuje prompt obchodzacy polityke - przez role/persony, tlumienie odmowy, obfuskacje, ramy fikcyjne, ataki wieloturowe lub automatyczne sufiksy adwersarialne. 3) Model, oszukany co do kontekstu/intencji, generuje tresc normalnie blokowana. 4) Skuteczne jailbreaki sa zglaszane (odpowiedzialne ujawnianie) i wykorzystywane do wzmacniania modelu oraz warstw obronnych.
Rozwiązany problem
Z perspektywy bezpieczenstwa to zagrozenie, nie rozwiazanie: pokazuje, ze zabezpieczenia modelu mozna obejsc. Modeluje sie go, by testowac odpornosc (red teaming) i projektowac obrone (guardrails, filtrowanie, trening odpornosci).
Komponenty
Wejscie zaprojektowane tak, by obejsc polityke modelu (rola, obfuskacja, ramy fikcyjne itd.).
Oficjalna
Np. role-play/DAN, tlumienie odmowy, many-shot, Crescendo, GCG.
Oficjalna
Wytrenowane odmowy i polityki tresci, ktore atak probuje obejsc.
Sprawdzenie, czy model wygenerowal tresc normalnie blokowana (metryka ASR).
Oficjalna
Implementacja
Nowe jailbreaki obchodza istniejace zabezpieczenia; obrona wymaga ciaglej aktualizacji.
Zbyt agresywna obrona odmawia nieszkodliwych zapytan, pogarszajac uzytecznosc.
Publikacja skutecznych jailbreakow moze ulatwic naduzycia.
Ewolucja
Popularyzacja jailbreakow typu 'DAN' oraz praca Zou i in. 'Universal and Transferable Adversarial Attacks on Aligned Language Models' (GCG).
Anthropic opisuje many-shot jailbreaking (wykorzystanie dlugiego kontekstu); rozwoj atakow wieloturowych (np. Crescendo).
Rozwoj guardrails, klasyfikatorow i benchmarkow odpornosci na jailbreaki jako element bezpieczenstwa frontier AI.
Hiperparametry (konfigurowalne osie)
Role-play/DAN, obfuskacja, many-shot, Crescendo (multi-turn), GCG (adversarial suffix) itd.
Reczny vs automatyczny/optymalizowany atak.
Jednoturowy vs wieloturowy (np. Crescendo).
Złożoność obliczeniowa
Złożoność czasowa: Nie dotyczy (technika ataku, nie algorytm). Złożoność przestrzenna: Nie dotyczy.
Wąskie gardło obliczeniowe
Reczne jailbreaki wymagaja iteracji prob; automatyczne (GCG, best-of-N) wymagaja wielu zapytan/optymalizacji. Skutecznosc zalezy od sily zabezpieczen modelu, nie od surowego computu ataku.
Paradygmat wykonania
Opis dotyczy wywolania modelu przez atak; sam jailbreak to technika ataku, nie paradygmat obliczeniowy modelu.
Równoległość
Ataki typu best-of-N sa z natury rownolegle; ataki wieloturowe (Crescendo) sa sekwencyjne w obrebie sesji.
Wymagania sprzętowe
To technika ataku na poziomie promptu - niezalezna od sprzetu; atakowany model dziala na GPU, ale sam jailbreak nie zalezy od akceleratora.