PAIR 用不到 20 次查询越狱黑盒大语言模型
[Daily Paper] Jailbreaking Black Box Large Language Models in Twenty Queries
AI 导读
PAIR（Prompt Automatic Iterative Refinement）用攻击者 LLM 与目标模型迭代对抗，把黑盒大语言模型的语义越狱压缩到不到 20 次查询。攻击者根据目标模型的拒答结果做链式推理并改写提示词，默认开 30 条并行流、迭代 3 次，由 Llama Guard 担任判官评分，常用策略包括角色扮演、逻辑诉求和引用权威机构。论文称其效率比需要 256,000 次以上查询的梯度类 GCG 方法高出约 250 倍，单次越狱约 34 秒、成本低于 0.03 美元。论文给出的成功率为 Vicuna-13B 88%、Gemini-Pro 73%、GPT-3.5 51%、GPT-4 48%，并称 PAIR 是首个攻破 Gemini-Pro 的自动化攻击。Llama-2 与 Claude-1/2 因过度拒答而未被攻破，论文认为这种安全换有用性的取舍构成对齐税。