用 LLM 玩猜谜游戏：通过隐含暗示的间接越狱攻击
内容提要
大型语言模型易受越狱攻击，研究提出形式化分类、SmoothLLM防御、上下文互动攻击、多模态图像越狱提示、多语言语义保持攻击、表示工程越狱及说服性对抗提示等方法。这些攻击在GPT-3.5、GPT-4、LLaMA等模型上成功率超92%，且可跨模型迁移。防御方面，微调缓解可将攻击成功率降低96.2%，但现有防御仍存显著差距。
延伸解读
攻击成功率与跨模型迁移性
文章指出，多种越狱攻击在GPT-3.5、GPT-4、LLaMA等模型上的成功率超过92%，且攻击可跨模型迁移。这意味着针对某一模型开发的攻击方法可能直接威胁其他模型，尤其是黑盒场景下，攻击者无需了解模型内部细节即可实施有效攻击。这种迁移性放大了安全风险，要求防御策略必须具备跨模型的通用性。
防御进展与现存差距
在防御方面，微调缓解方法可将多语言越狱攻击的成功率降低96.2%，显示出显著效果。然而，文章也强调现有防御仍存在显著差距，例如面对说服性对抗提示（PAP）时，传统防御机制效果有限。这表明单一防御手段难以应对多样化的攻击方式，需要更基础、更全面的缓解策略。
多模态与多语言攻击的扩展
文章涵盖了多模态图像越狱提示和多语言语义保持攻击等新型威胁。多模态攻击通过生成图像越狱提示，可迁移至MiniGPT-v2、LLaVA等模型；多语言攻击则利用语义保持算法创建数据集，对GPT-4和LLaMA等模型构成挑战。这些扩展表明越狱攻击正从纯文本向多模态和多语言演变，防御需相应拓宽视野。
Q&A
什么是大型语言模型的越狱攻击？
越狱攻击是指通过特定提示绕过大型语言模型的安全和伦理保障，使其生成有害或违规内容。研究显示，这类攻击在GPT-3.5、GPT-4、LLaMA等模型上成功率可超过92%，并且能够跨模型迁移。
有哪些常见的越狱攻击方法？
常见的越狱攻击方法包括：基于上下文互动的攻击、多模态图像越狱提示（imgJP）、多语言语义保持攻击、表示工程越狱、以及说服性对抗提示（PAP）。这些方法在不同模型上均表现出较高的攻击成功率。
如何防御大型语言模型的越狱攻击？
防御方法包括：SmoothLLM算法（通过对输入随机扰动和聚合来检测攻击）、提示守卫（一组有限的提示过滤规则）、以及微调缓解方法（可将攻击成功率降低96.2%）。但现有防御仍存在显著差距。
越狱攻击能跨模型迁移吗？
是的，研究表明越狱攻击具有跨模型迁移性。例如，基于上下文互动的攻击可以在不同大型语言模型之间转移；多模态图像越狱提示（imgJP）也能以黑盒方式迁移到MiniGPT-v2、LLaVA、InstructBLIP和mPLUG-Owl2等模型中。
多语言越狱攻击是什么？如何缓解？
多语言越狱攻击利用语义保持算法生成多语言越狱数据集，对包括GPT-4和LLaMa在内的模型进行攻击。通过微调缓解方法，可以显著增强模型防御能力，将攻击成功率降低96.2%。
什么是说服性对抗提示（PAP）？
PAP是基于社会科学说服分类自动生成的可解释对抗提示，用于越狱大型语言模型。在Llama 2-7b Chat、GPT-3.5和GPT-4上，PAP的攻击成功率在10次试验中均超过92%，超过了最近的算法攻击。
