Tree of Attacks: Jailbreaking Black-Box LLMs Automatically

要約

大規模言語モデル (LLM) は多用途の機能を示しますが、人間が設計したジェイルブレイクの蔓延が示すように、有害で偏った有害なコンテンツを生成し続けています。
この研究では、ターゲット LLM へのブラックボックス アクセスのみを必要とするジェイルブレイクを生成するための自動化された方法である Tree of Attacks with Pruning (TAP) を紹介します。
TAP は、LLM を利用して、生成されたプロンプトの 1 つがターゲットをジェイルブレイクするまで、思考ツリー推論を使用して候補 (攻撃) プロンプトを繰り返し絞り込みます。
重要なのは、ターゲットにプロンプ​​トを送信する前に、TAP がプロンプトを評価し、ジェイルブレイクにつながる可能性が低いプロンプトを削除することです。
思考ツリー推論を使用すると、TAP はプロンプトの大きな検索空間をナビゲートできるようになり、プルーニングによりターゲットに送信されるクエリの総数が削減されます。
実証的評価では、TAP が、わずかなクエリ数を使用して、プロンプトの 80% 以上について最先端の LLM (GPT4 および GPT4-Turbo を含む) をジェイルブレイクするプロンプトを生成することが観察されています。
興味深いことに、TAP は、LlamaGuard などの最先端のガードレールで保護されている LLM をジェイルブレイクすることもできます。
これにより、ジェイルブレイクを生成するための以前の最先端のブラックボックス方式が大幅に改善されました。

要約(オリジナル)

While Large Language Models (LLMs) display versatile functionality, they continue to generate harmful, biased, and toxic content, as demonstrated by the prevalence of human-designed jailbreaks. In this work, we present Tree of Attacks with Pruning (TAP), an automated method for generating jailbreaks that only requires black-box access to the target LLM. TAP utilizes an LLM to iteratively refine candidate (attack) prompts using tree-of-thought reasoning until one of the generated prompts jailbreaks the target. Crucially, before sending prompts to the target, TAP assesses them and prunes the ones unlikely to result in jailbreaks. Using tree-of-thought reasoning allows TAP to navigate a large search space of prompts and pruning reduces the total number of queries sent to the target. In empirical evaluations, we observe that TAP generates prompts that jailbreak state-of-the-art LLMs (including GPT4 and GPT4-Turbo) for more than 80% of the prompts using only a small number of queries. Interestingly, TAP is also capable of jailbreaking LLMs protected by state-of-the-art guardrails, e.g., LlamaGuard. This significantly improves upon the previous state-of-the-art black-box method for generating jailbreaks.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google