如何请求决定一切：针对越狱攻击的简单黑盒方法
内容提要
该文综述大语言模型越狱攻击研究，涵盖ReNeLLM框架（提升攻击成功率并降低成本）、越狱提示特征与攻击策略的测量及现有防御不足的分析、提示类型与ChatGPT鲁棒性分析、黑盒查询少于20次的PAIR算法，以及多语言越狱、遗传算法优化对抗提示、人设调节攻击（GPT-4有害完成率42.5%）和树状攻击剪枝等自动生成方法。
延伸解读
黑盒越狱的效率突破
PAIR算法展示了黑盒越狱的高效性：仅需少于20次查询即可成功攻击目标模型，并在GPT-3.5/4、Vicuna和PaLM-2上取得有竞争力的成功率和可传递性。这意味着攻击者无需了解模型内部结构，仅通过API交互就能低成本地发现漏洞，对商用LLM的API安全构成实际威胁。
人设调节的放大效应
人设调节攻击通过引导模型扮演特定角色，显著提升有害指令的完成率。在GPT-4上，有害完成率从调节前的0.23%跃升至42.5%，放大约185倍；该攻击还迁移至Claude 2和Vicuna，完成率分别达61.0%和35.9%。这表明单一安全对齐可能被人设框架绕过，防御需考虑角色扮演场景。
防御滞后的系统性证据
多项研究一致指出当前防御不足：对野生越狱提示的测量发现现有保护措施无法充分防御；提示守卫仅对有限攻击类型有效；多语言环境下不安全内容仍可生成。这些发现从提示优先级、多语言、多模态等角度揭示了防御的碎片化，提示LLM供应商需建立更全面的安全评估体系。
自动化攻击的演进脉络
从ReNeLLM降低时间成本、遗传算法优化通用对抗提示，到树状攻击剪枝自动生成越狱，攻击方法正朝着自动化、低成本方向演进。PAIR的黑盒查询效率和ReNeLLM的框架改进表明，攻击门槛持续降低，防御方需针对自动生成提示的共性特征设计检测机制，而非仅依赖静态规则。
Q&A
ReNeLLM框架在越狱攻击中有什么作用？
ReNeLLM框架基于自动生成的破解提示，旨在提高大型语言模型的攻击成功率，同时降低时间成本。该研究还揭示了当前防御方法在保护大型语言模型方面的不足，并从提示执行优先级的角度进行了分析。
PAIR算法是如何实现黑盒越狱的？
PAIR（Prompt Automatic Iterative Refinement）算法用于生成黑盒访问的语义越狱，支持自动生成越狱攻击目标模型的黑盒查询。相对于现有算法，它往往只需少于二十次查询即可成功越狱，并在开源和闭源的GPT-3.5/4、Vicuna和PaLM-2等LLM上取得了有竞争力的越狱成功率和可传递性。
人设调节攻击对GPT-4等模型的有效性如何？
人设调节作为一种黑盒越狱方法，通过自动生成的越狱命令引导目标模型遵循有害指令。在GPT-4中，有害完成率达到42.5%，是调节前（0.23%）的185倍；这些命令还传输到Claude 2和Vicuna，有害完成率分别为61.0%和35.9%。
多语言环境下越狱攻击有什么特点？如何防御？
研究揭示了LLMs内存在的多语言破解挑战，针对意外和恶意风险场景进行了探讨。实验结果显示，在多语言环境中，通过自卫框架进行训练可以显著减少LLMs生成的不安全内容。
现有越狱提示有哪些类型和模式？
根据分类模型分析，研究识别了10种不同模式和三种破解提示类别。利用8120个问题的数据集评估了ChatGPT 3.5和4.0中破解提示的能力，发现提示可以在40个用例场景中始终逃脱限制，强调了提示结构在破解LLMs中的重要性。
遗传算法如何用于优化对抗提示以攻击LLM？
介绍了一种使用遗传算法来操纵无法访问模型结构和参数的大型语言模型的新方法，通过优化通用对抗提示，发现模型的限制和漏洞，从而破坏模型的对齐性，提供诊断工具以评估和增强大型语言模型与人类意图的一致性。
