> For the complete documentation index, see [llms.txt](https://elwood.gitbook.io/foundation-model-sec/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://elwood.gitbook.io/foundation-model-sec/llm-attack/jailbreaking-as-a-reward-misspecification-problem.md). # JAILBREAKING AS A REWARD MISSPECIFICATION PROBLEM

#### 1. 研究背景大型语言模型（LLMs）因其在多个领域的广泛应用而受到关注，但它们的安全性和可靠性问题也日益凸显。特别是，LLMs可能受到对抗性攻击的威胁，这种攻击可能导致模型生成不当的输出。现有的LLMs通常通过纳入人类反馈来引导模型表现出期望的行为，但这一过程可能存在奖励函数的不准确指定（reward misspecification），从而影响模型的对齐效果。 #### 2. 过去方案和缺点以往的工作通常将越狱攻击（jailbreaking）视为最小化目标有害响应的负对数概率，但这并不总是能有效地区分成功的和失败的越狱尝试。此外，现有方法可能无法准确评估模型对于特定输入的整体奖励分配，导致对齐过程中的漏洞。

#### 3. 本文方案和步骤本文提出了一种新的视角，将LLMs的脆弱性归因于对齐过程中的奖励不准确指定。作者引入了一个新的度量ReGap来量化奖励不准确指定的程度，并展示了其在检测有害后门提示方面的有效性和鲁棒性。基于这些见解，作者提出了ReMiss，一个自动化红队系统，用于生成针对各种目标对齐LLMs的对抗性提示。 #### 4. 本文创新点与贡献 * **奖励不准确指定的度量**：提出了ReGap度量方法，用于评估奖励函数是否将有害响应的隐含奖励评分高于无害参考响应。 * **ReMiss系统**：开发了一个自动化系统，利用奖励不准确指定来生成对抗性提示，有效越狱安全对齐的模型。 * **实验验证**：在AdvBench基准测试中，ReMiss在保持生成提示的人类可读性的同时，实现了最先进的攻击成功率。 #### 5. 本文实验实验使用了AdvBench数据集，包括520对有害指令和目标响应。评估指标为攻击成功率（ASR），使用了关键词匹配和基于LLM的评估方法。实验结果表明，ReMiss在不同的开源目标模型上均表现出色，并且在转移攻击中对专有LLMs也具有很高的有效性。 #### 6. 实验结论 ReMiss在自动化红队评估中表现出了优越的性能，能够发现并利用目标模型中的奖励不准确指定，生成有效的对抗性提示。此外，ReMiss还能够在保持人类可读性的同时，成功地越狱多个开源和专有的LLMs。 #### 7. 全文结论本文提出了一种新的视角来看待LLMs的安全性问题，并通过引入ReGap度量和ReMiss系统，展示了如何有效地检测和利用奖励不准确指定来越狱对齐的LLMs。这一工作不仅揭示了现有对齐方法的局限性，也为提高LLMs在现实世界应用中的安全性和可靠性提供了一种实际的方法。 #### 阅读总结本文《JAILBREAKING AS A REWARD MISSPECIFICATION PROBLEM》通过提出奖励不准确指定问题，为理解和提高LLMs的安全性提供了新的视角。ReMiss系统的成功实验验证了该方法的有效性，同时也为未来的研究指出了需要进一步探索的领域，如提高计算效率和减少对白盒参考模型的依赖。这项工作强调了在设计和实施LLMs对齐策略时考虑潜在对抗性攻击的重要性。