CIAware-Bench: Benchmarking Control Intervention Awareness Across Frontier LLMs
Abstractの概要
本論文は、最先端の言語モデルにおける制御介入認識（モデルが自身の軌跡の一部を制御プロトコルによって置き換えられたり編集されたりしたことに気づけるかどうか）を測定するためのベンチマーク「CIAware-Bench」を紹介している。このベンチマークはエッセイ執筆、BigCodeBench、Bash Arena、SHADE-Arenaの4つのドメインを対象とし、電子透かし、サイドタスク、そして信頼できるモデルへの委譲や編集、再サンプリングなどの代替プロトコルを含む、さまざまな介入設定を用意している。11の最先端モデルの評価を通じて、介入の検出率は通常低から中程度であり、安定したモデル定常の特性というよりも、特定の機能実行モデル、介入モデル、および環境に強く依存することが判明した。検証結果は、特にテキストやコードを多用する環境において文体や振る舞いの手がかりが重要であること、そして制御介入（CI）の認識は一般的な能力から推し量るのではなく、各展開シナリオごとに測定されるべきであることを示唆している。
新規性
主な新規性は、これまでのAI制御評価では体系的に測定されてこなかった、安全性に関連する能力である「制御介入認識」に特化したベンチマークを開発した点にある。さらに、複数のタスクドメイン、モデルの組み合わせ、電子透かしの条件、および介入プロトコルを網羅的に組み合わせることで、介入がどのような条件下で検出可能になるかを特定している点も特徴的である。
成果
デフォルト設定では、機能実行モデル・介入モデル・環境の組み合わせのほとんどにおいて偶然レベル程度の検出率に留まったが、一部のペアでは検出精度が大幅に高くなり、最大0.87という数値も報告されている。エッセイタスクでは、同系列モデル間の介入よりも別系列モデル間の介入の方が検出が容易であり、平均してGPT-5が最も検出されやすい介入モデルとなり、介入規模が大きいほど気づかれやすかった。隠しスクラッチパッド式の電子透かしはBigCodeBenchとエッセイでの検出率を著しく向上させる一方で、エッセイにおける同一モデルの再サンプリングは偶然と見分けがつかず、異種モデルによる完全な置き換えは編集や再サンプリングよりも検出されやすい。
論文の注目点
- CIAware-Benchは、4つのドメインと複数のプロトコル変種を用いて、機能実行モデルが自身により生成された軌跡と制御介入によって変更された軌跡を区別できるかを評価する。
- 制御介入の認識能力はモデルの全体的な能力の単純な関数ではなく、主に機能実行モデル、介入モデル、環境の特定の組み合わせによって変動する。
- 制約の強いエージェント環境よりも、特にエッセイやコードの環境において、別系列モデルの出力、大規模な置き換え、電子透かしといった強い文体的シグナルによって検出率が増幅される。