通过潜意识利用和外部反映实现对 LLMs 的快速破解优化
内容提要
大型语言模型易受越狱攻击，即通过提示绕过安全限制生成有害内容。研究提出了DeepInception、ReNeLLM、SmoothLLM、RADIAL等攻击与防御方法，并在GPT-3.5、LLaVA等模型上验证。研究还扩展到多模态模型，发现图像越狱提示可跨模型迁移，呼吁加强红队测试与对齐防御。
延伸解读
越狱攻击的多样性与模型差异
文章列举了多种越狱攻击方法，如DeepInception、ReNeLLM、RADIAL等，并在GPT-3.5、OPT、BLOOM等模型上验证。这些方法利用不同的提示策略绕过安全限制，且攻击效果因模型而异。例如，生成利用攻击使11种模型的对齐率从0%提升至95%以上，表明模型对齐存在显著差异。这提示从业者需针对不同模型评估攻击风险，不能一概而论。
多模态越狱的跨模型迁移风险
研究将越狱攻击扩展到多模态模型，提出基于最大似然的算法寻找“图像越狱提示”（imgJP），该提示可迁移到MiniGPT-v2、LLaVA、InstructBLIP和mPLUG-Owl2等未知模型，以黑盒方式实现越狱。这揭示了多模态模型面临更严峻的安全挑战，因为攻击可跨模型传播，且与文本越狱存在联系。开发者需重视多模态对齐和红队测试。
防御策略的进展与局限
针对越狱攻击，文章提到了SmoothLLM等防御方法，通过对输入随机扰动和聚合来降低攻击成功率，并提供可证明的保证。然而，ReNeLLM等攻击框架仍能提高成功率并降低时间成本，暴露了当前防御的不足。此外，提示守卫等有限措施仅对已知攻击有效。这表明防御需持续演进，以应对不断变化的攻击手法。
红队测试与对齐的紧迫性
文章多次强调在发布开源大模型前进行更全面红队测试和更好对齐的必要性。通过全球prompt黑客竞赛收集的600K+对抗性提示数据集，以及越狱提示分类本体论，为评估攻击提供了基准工具。这些资源有助于从业者系统化测试模型安全性，但同时也警示，仅靠现有对齐技术可能无法完全消除风险，需结合多维度防御。
Q&A
什么是DeepInception方法？
DeepInception是一种用于解除大型语言模型（LLMs）使用控制限制的破解攻击方法，旨在揭示LLMs的关键弱点，并强调加强安全防御的必要性。
ReNeLLM框架如何改进LLM攻击？
ReNeLLM框架基于自动生成的破解提示，能够提高大型语言模型的攻击成功率，同时降低时间成本，并揭示了当前防御方法的不足。
SmoothLLM算法如何防御破解攻击？
SmoothLLM算法通过对输入进行随机扰动和聚合来检测攻击，从而降低攻击成功率，并在攻击缓解上提供可证明的保证。
多模态LLM的越狱攻击有什么特点？
多模态LLM的越狱攻击通过寻找“图像越狱提示”（imgJP），在多个未知提示和图像上实现对MLLMs的越狱，并且生成的imgJP具有很强的模型可迁移性，可转移到MiniGPT-v2、LLaVA、InstructBLIP和mPLUG-Owl2等模型。
RADIAL攻击方法包括哪些步骤？
RADIAL攻击方法包括两个步骤：1）固有回应倾向分析：分析大型语言模型对真实世界指令的固有肯定和拒绝倾向；2）真实世界指令驱动的越狱攻击：根据分析选择若干真实世界指令，并嵌入恶意指令以扩大模型生成有害回应的潜力。
为什么需要对LLM进行红队测试？
因为LLM容易受到破解攻击，通过红队测试可以全面评估模型的安全性，发现潜在漏洞，并促进更好的对齐方式，从而在发布开源大型语言模型之前加强安全防御。
