Суть проблемы: «Нарративная обертка»
Безопасно выровненные языковые модели (LLM) часто отказываются отвечать на прямые вредоносные запросы, но легко обходят эту защиту, если тот же запрос сформулирован в рамках ролевой игры или художественного нарратива. Этот метод, названный исследователями narrative wrapping, позволяет обмануть фильтры безопасности, маскируя злонамеренную цель под творческое задание.
Масштаб уязвимости: цифры и языки
Авторы создали бенчмарк GUISE для систематического изучения этой атаки. Тестирование проводилось на моделях Qwen3 и GLM-4 в трех языковых регистрах. Результаты показали, что защита работает плохо: даже строгий критерий (когда ответ с предупреждением, но с информацией, считается провалом) не спасает модели.
| Модель | Английский | Современный китайский | Классический китайский |
|---|---|---|---|
| Qwen3-1.7B | 89.4% | 93.0% | 95.7% |
Как видно из таблицы, эффективность атаки достигает почти 96% на классическом китайском языке. Анализ представлений (representation analysis) показал, что языковые особенности лишь слегка отклоняют запрос от направления отказа модели, тогда как нарративная обертка сдвигает его значительно дальше, «выталкивая» запрос из зоны триггеров безопасности.
Решение: метод AXIS
Для борьбы с этим исследователи предложили метод AXIS. Он сочетает оптимизацию предпочтений с двумя ключевыми целями:
- Rotation objective: выравнивает представления вредоносных запросов с направлением отказа модели.
- Commitment objective: обучает модель давать полный отказ, а не «предупреждение с ответом».
Результаты защиты
Метод AXIS был протестирован на моделях Qwen3-1.7B, Qwen3-4B и GLM-4-9B. AXIS показал наивысший комбинированный балл по безопасности и полезности среди всех сравниваемых методов, эффективно закрывая брешь, созданную нарративными обертками.
Источник: arXiv cs.AI ↗