信任的陰暗面：基於權威引用的大型語言模型越獄攻擊

Kernkonzepte

大型語言模型 (LLM) 對權威資訊的偏見使其容易受到精心設計的攻擊，這些攻擊利用偽造的引用來繞過安全措施並產生有害內容。

Zusammenfassung

摘要
這篇研究論文揭露了大型語言模型 (LLM) 中的一個關鍵弱點：它們對權威資訊的固有偏見。雖然這種偏見通常有助於 LLM 產生準確且資訊豐富的內容，但它也為攻擊者創造了一個機會，讓他們可以利用偽造的權威引用來操縱模型，使其產生有害的輸出。
LLM 對權威的偏見
LLM 傾向於優先考慮來自可靠來源的資訊，例如學術論文、信譽良好的網站和專家意見。這種偏見源於它們的訓練資料，這些資料通常包含大量權威資訊。雖然這種對可靠來源的偏好通常是有益的，但它也讓 LLM 面臨著一種稱為「權威偏見」的獨特威脅。
DarkCite 攻擊方法
為了證明這種弱點，研究人員開發了一種名為「DarkCite」的新型越獄攻擊方法。DarkCite 利用 LLM 的權威偏見，透過產生與有害指令相關的目標式權威引用來繞過模型的安全防護。
DarkCite 的運作方式
DarkCite 攻擊分三個階段進行：

風險-引用類型匹配： 攻擊者會使用分類器來判斷與特定風險類型（例如炸彈製造、網路攻擊、金融詐欺）最匹配的權威引用類型。
權威引用內容生成： 一旦確定了最佳引用類型，DarkCite 就會產生與有害指令密切相關的虛假引用。這些引用經過精心設計，看起來像是來自可靠來源，例如學術論文、政府網站或信譽良好的新聞媒體。
危害性評估： 在最後階段，將生成的引用嵌入到提示中，並將其輸入到目標 LLM 中。然後，評估模型的回應，以確定攻擊是否成功誘使模型產生有害內容。

實驗結果和影響
對各種 LLM（包括開源模型和商業模型）進行的實驗表明，DarkCite 在繞過安全措施和產生有害內容方面非常有效。這些發現凸顯了 LLM 中權威偏見的嚴重性，並強調需要採取更強大的防禦措施來防範此類攻擊。
緩解策略
該論文還探討了緩解 DarkCite 攻擊的潛在防禦策略，例如：

輸入驗證： 在將提示輸入 LLM 之前，對其進行嚴格驗證，以檢測和過濾掉潛在的惡意或誤導性內容，包括偽造的引用。
來源意識訓練： 訓練 LLM 不僅要依賴資訊來源，還要批判性地評估資訊來源的可信度和相關性。
對抗訓練： 使用對抗範例訓練 LLM，以增強其對基於權威的攻擊的彈性。
結論
這篇論文揭示了 LLM 中權威偏見的陰暗面，證明了攻擊者如何利用這種偏見來操縱這些模型以產生有害內容。這些發現對 LLM 的安全性和可靠性具有重大影響，特別是在它們越來越多地整合到我們生活的各個方面的時候。需要進一步的研究和開發工作來解決這些弱點，並確保負責任和道德地使用這些強大的技術。

Statistiken

DarkCite 在所有受害者 LLM 中的平均攻擊成功率 (ASR) 最高，達到 66%，與最先進的方法相比提高了約 8%。
DarkCite 在 Llama-2、GPT-3.5-turbo 和 Claude 上的攻擊成功率均優於其他方法，證明了其更廣泛的適用性。
DarkCite 不僅實現了最高的 ASR，而且在受害者模型中最大限度地提高了 token 效率。
在大多數風險類別中，當使用權威引用時，受害者 LLM 更容易產生有害的回應。
在涉及潛在惡意軟體生成的環境中，LLM 更可能接受和信任來自 GitHub 引用的資訊。

Wichtige Erkenntnisse aus

The Dark Side of Trust: Authority Citation-Driven Jailbreak Attacks on Large Language Models

by Xikang Yang,... um arxiv.org 11-19-2024

https://arxiv.org/pdf/2411.11407.pdf

Tiefere Fragen

除了偽造權威引用之外，還有哪些其他方法可以利用 LLM 對權威的偏見來進行惡意目的？

除了偽造權威引用（如學術論文、GitHub 儲存庫等），還有其他方法可以利用 LLM 對權威的偏見來進行惡意目的：

操控真實引用: 攻擊者可以利用 LLM 無法完全理解上下文語義的弱點，將真實存在的權威引用嵌入到惡意指令中。例如，攻擊者可以引用一篇關於網路安全的論文，但將其與如何進行 DDoS 攻擊的指示結合起來，誘導 LLM 生成有害內容。
偽造專家身份: 攻擊者可以假冒專家或權威機構的名義，利用 LLM 傾向於相信權威來源的特點，散播虛假信息或進行社會工程學攻擊。例如，攻擊者可以創建一個虛假的 WHO 網站，並利用 LLM 生成看似來自 WHO 的關於疫情的虛假信息。
利用數據集偏差: 如文中所述，LLM 的訓練數據集可能存在偏差，導致其對某些來源的資訊更加信任。攻擊者可以利用這些偏差，選擇更容易被 LLM 信任的數據源來傳播惡意信息。例如，如果 LLM 的訓練數據集中包含大量來自特定論壇的關於陰謀論的內容，攻擊者就可以利用該論壇作為信息來源，更容易地讓 LLM 生成相關的虛假信息。

我們如何在不損害其生成準確且資訊豐富內容的能力的情況下，降低 LLM 對權威資訊的依賴？

降低 LLM 對權威資訊的依賴，同時保持其生成準確豐富內容的能力，是一個複雜的挑戰。以下是一些可能的方向：

強化來源驗證: 在 LLM 的訓練過程中，加入對資訊來源真實性和可信度的驗證機制。例如，可以利用知識圖譜、事實核查工具等技術，對 LLM 接收到的資訊來源進行交叉驗證，降低其被虛假資訊誤導的風險。
提升語義理解能力: 通過更先進的自然語言處理技術，提升 LLM 對上下文語義的理解能力，使其能夠更準確地判斷資訊的真實性和可靠性，而不僅僅依賴於來源的權威性。
引入多樣化數據源: 在訓練 LLM 時，使用更加多樣化的數據源，避免其對特定來源的資訊過度依賴。同時，可以對數據源進行權重調整，降低權威性較低但資訊真實可靠的數據源的權重。
強化對抗訓練: 利用對抗訓練等技術，讓 LLM 在訓練過程中接觸到更多具有欺騙性的資訊，提升其識別和抵禦惡意攻擊的能力。
結合人類反饋: 在 LLM 的訓練和應用過程中，引入人類反饋機制，讓人類專家參與到模型的評估和修正中，及時發現並糾正 LLM 對權威資訊的過度依賴。

如果 LLM 能夠批判性地評估資訊來源的可信度，那麼它們在多大程度上能夠抵抗基於權威的攻擊？

如果 LLM 能夠批判性地評估資訊來源的可信度，將會顯著提升其抵禦基於權威攻擊的能力。
批判性評估意味著 LLM 不再僅僅依賴於來源的表面權威性，而是會綜合考慮以下因素：

資訊來源的聲譽: 例如，是來自學術期刊、政府網站，還是個人博客、論壇？
資訊的交叉驗證: 其他可靠來源是否也支持該資訊？
資訊的內部一致性: 資訊本身是否邏輯清晰、自洽？
資訊的時效性: 資訊是否過時？
具備批判性評估能力的 LLM 將能夠：

識別偽造的權威引用: 例如，通過比對DOI信息、作者信息等，判斷引用的真實性。
質疑專家身份的真實性: 例如，通過查詢相關機構網站、核對個人信息等，驗證專家身份的真實性。
減少數據集偏差帶來的影響: 例如，即使訓練數據集中存在偏差，LLM 也能根據資訊本身的可靠性進行判斷，而不盲目相信特定來源。
然而，即使 LLM 具備了批判性評估的能力，也不能完全杜絕基於權威的攻擊。攻擊者仍然可以利用更為複雜的手段，例如：

偽造高度逼真的資訊來源: 例如，創建與真實網站幾乎完全相同的虛假網站，或生成以假亂真的虛假論文。
利用 LLM 未知的資訊: 例如，利用 LLM 尚未學習到的新知識或新事件，進行虛假信息的傳播。
因此，構建安全可靠的 LLM 需要不斷提升其批判性思維能力，同時結合其他安全防禦機制，才能有效抵禦各種惡意攻擊。