在对齐的大型语言模型上推进对抗性后缀迁移学习
内容提要
本文探讨了对齐语言模型的攻击方法，包括局部微调和对抗性后缀嵌入翻译框架（ASETF），提高了攻击成功率和传递性。提出的新算法“Probe sampling”加速了安全研究，并揭示了令牌划分对模型性能的影响，提出了增强防御能力的框架。此外，介绍了高效黑箱越狱方法ECLIPSE，显著提高了攻击成功率和效率。
延伸解读
攻击与防御的演进脉络
文章按时间顺序梳理了2023年至2024年对齐语言模型攻击与防御的关键进展。从早期贪婪和梯度搜索自动生成对抗性后缀，到局部微调提升传递性，再到ASETF将后缀转化为可读文本，攻击方法不断演进。同时，防御方面也提出了两阶段对抗调整框架和ObscurePrompt方法。这种时间线揭示了攻防交替升级的态势，读者可从中把握技术发展的节奏与重点。
效率与可转移性的双重挑战
攻击方法的核心挑战在于平衡成功率和计算开销。Probe sampling通过动态确定草图模型与目标模型的预测相似度，实现了高达5.6倍的加速，且攻击成功率不降反升。ECLIPSE则利用可优化后缀和生成能力，将越狱目标转化为自然语言指令，减少攻击开销达83%。这些进展表明，提升效率的同时保持甚至增强攻击的传递性，是当前研究的重要方向。
令牌划分漏洞的启示
文章特别指出令牌划分对模型性能的重要影响，并提出了对抗性数据集（ADT）。通过挑战语言模型对输入的划分方式，ADT揭示了令牌划分漏洞可能被利用来攻击模型。这一发现不仅为攻击提供了新思路，也为改进模型能力指明了方向——优化划分过程和算法可能成为增强语言模型鲁棒性的关键。读者应关注这一常被忽视的层面。
Q&A
什么是对抗性后缀嵌入翻译框架（ASETF）？
对抗性后缀嵌入翻译框架（ASETF）是一种将不可读的对抗性后缀转化为连贯可读文本的方法，显著提高了攻击成功率和提示文本的流畅性。
局部微调（LoFT）方法如何提高攻击成功率？
局部微调（LoFT）方法通过在词汇-语义邻近的有害查询中微调代理模型，减小代理模型与目标模型之间的差异，从而提高攻击的成功率和传递性。
新算法“Probe sampling”有什么优势？
“Probe sampling”算法通过动态确定较小草图模型与目标模型预测的相似度，实现了多达5.6倍的加速，并在攻击成功率上表现相等或更好。
AmpleGCG生成模型的功能是什么？
AmpleGCG生成模型能够快速生成对有害查询的对抗性后缀，攻击成功率接近100%。
ECLIPSE方法在攻击中的表现如何？
ECLIPSE是一种高效的黑箱越狱方法，显著提高了攻击成功率和效率，减少攻击开销达83%。
对抗性数据集（ADT）有什么重要性？
对抗性数据集（ADT）揭示了令牌划分对模型性能的重要影响，为改善语言模型能力提供了优化划分过程和算法的研究方法。
