論文の概要: Why Do Aligned LLMs Remain Jailbreakable: Refusal-Escape Directions, Operator-Level Sources, and Safety-Utility Trade-off

• arxiv url: http://arxiv.org/abs/2605.08878v1
• Date: Sat, 09 May 2026 10:57:36 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-05-12 23:28:49.949558
• Title: Why Do Aligned LLMs Remain Jailbreakable: Refusal-Escape Directions, Operator-Level Sources, and Safety-Utility Trade-off
• Title（参考訳）: LLMが脱獄不能のまま残る理由:拒絶・逃避指示、オペレーター・レベル・ソース、安全・ユーティリティ・トレードオフ
• Abstract要約: 統一された大規模言語モデル(LLM)は、ジェイルブレイク攻撃に弱いままである。 整列モデルではRefusal-Escape Directions (RED) が引き続き表示可能であることを示す。 次に、REDは、モデルの演算子構造全体にわたる演算子レベルのソースからのコントリビューションに正確に分解可能であることを証明します。
• 参考スコア（独自算出の注目度）: 10.459125169096696
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Aligned large language models (LLMs) remain vulnerable to jailbreak attacks. Recent mechanistic studies have identified latent features and representation shifts associated with jailbreak success, but they leave a more fundamental question open: why do aligned LLMs remain jailbreakable, and what structural vulnerabilities in the model make this possible? We study this question through a continuous input-transformation view. Our theoretical finding is that aligned models can still exhibit Refusal-Escape Directions (RED): local perturbation directions around a harmful input that shift the model's behavior from refusal to answering while preserving the model's harmful-semantics interpretation. From this perspective, a jailbreak is not only a successful discrete prompt construction, but can also be understood as a refusal-to-answer behavior transition induced by continuously perturbing a harmful input along RED. We then prove that RED can be exactly decomposed into contributions from operator-level sources across the model's operator structure, and identify normalization, residual-wiring, and terminal sources as analytically constrained operator-level sources. To eliminate RED, the shared expressive modules -- self-attention and MLP -- must eliminate the contributions from these analytically constrained sources while preserving the mechanisms that support benign responses. These competing requirements give rise to a conditional safety-utility trade-off. Experiments across multiple models and attack methods empirically analyze RED from two complementary perspectives and show that added token dimensions can expose RED, while successful jailbreaks exhibit refusal-to-answer shifts largely aligned with terminal-source contributions.
• Abstract（参考訳）: 統一された大規模言語モデル(LLM)は、ジェイルブレイク攻撃に弱いままである。 最近の機械力学研究では、ジェイルブレイクの成功に伴う潜在的特徴と表現のシフトが特定されているが、より根本的な疑問が残る:なぜ協調LLMはジェイルブレイク可能なままで、モデルの構造上の脆弱性がこれを可能にするのか? 我々はこの質問を連続的な入力変換の視点で研究する。 我々の理論的発見は、アライメントモデルがいまだにRefusal-Escape Directions (RED)を示すことができるということである。 この観点からは、ジェイルブレイクは離散的なプロンプト構築の成功であるだけでなく、REDに沿って有害な入力を継続的に摂動させることによって引き起こされる拒絶と問う行動遷移とも解釈できる。 次に、REDは、モデルの演算子構造全体にわたる演算子レベルのソースからのコントリビューションを正確に分解し、正規化、残留配線、終端のソースを解析的に制約された演算子レベルのソースとして識別できることを証明した。 REDをなくすには、共有表現モジュール -- 自己注意とMLP -- は、良性応答をサポートするメカニズムを保ちながら、これらの分析的に制約されたソースからのコントリビューションを排除しなければなりません。 これらの競合する要件は、条件付き安全ユーティリティのトレードオフを引き起こす。 複数のモデルとアタックメソッドにわたる実験では、REDを2つの相補的な視点から実証的に分析し、追加のトークン次元がREDを公開することを示した。

関連論文リスト

• Knowing When to Quit: Diagnosing and Training LLMs to Abort Futile Reasoning [109.33717747526583]
  大規模言語モデルは、計算コストが高くても意味論的に無効な推論を、能力を超えたタスクで生成する。 textbfCaRL(textbfCapability-textbfaligned textbfReinforcement textbfL)を導入し、振る舞いを機能境界に合わせる。 実験は、タスクの難易度を超えて性能を保ちながら、無駄な推論を大幅に削減することを示した。
  論文  参考訳（メタデータ） (2026-07-31T09:30:33Z)
• Beyond the Prompt: Jailbreaking Function-Calling LLMs via Simulated Moderation Traces [32.850551109913845]
  大規模言語モデル(LLM)の安全なデプロイにとって、ジェイルブレイク攻撃は依然として重要な脅威である このプロンプト中心のパラダイムは、ステートフルで関数呼び出し環境における構造的脆弱性を見落としていることを示す。 我々は、シミュレートされたモデレーショントレースに基づくブラックボックス攻撃フレームワークであるSMTを通じて、このアーキテクチャ欠陥を利用する。
  論文  参考訳（メタデータ） (2026-07-01T06:08:07Z)
• Benign Inputs, Harmful Outputs: Cross-Modal Jailbreaking via Distributed Semantic Recomposition [10.177453923096754]
  MLLM(Multimodal Large Language Models)は近年,コンテンツ合成と自律推論において顕著な能力を示した。 従来の安全ガードレールは、主に単文入力インターセプション用に設計されている。 本稿では,分散セマンティック・リコンポジション(DSR)を提案する。
  論文  参考訳（メタデータ） (2026-06-01T07:49:12Z)
• SAGE: Shaping Anchors for Guided Exploration in RLVR of LLMs [55.46289074417954]
  検証可能な報酬(RLVR)による強化学習は、推論タスクのpass@1を確実に改善するが、pass@kでは同等の利得を得られないことが多い。 中心的な構造的制約は、トレーニングを安定させるが、本質的には基準分布にポリシーを固定する逆-KL正規化から生じる。 我々は,逆KLアンカー分布自体を再構成することで,制御可能な経験的サポート拡張を可能にする,原則化されたフレームワークであるSAGEを提案する。
  論文  参考訳（メタデータ） (2026-05-15T07:42:21Z)
• Fail-Closed Alignment for Large Language Models [4.205036273334146]
  本研究では,大規模言語モデルの安全性向上のための設計原則として,フェールクロースアライメントを提案する。 本稿では、事前学習した拒絶方向を反復的に識別し、非難するプログレッシブアライメント・フレームワークを提案する。 メカニスティック解析により,本手法で訓練したモデルでは,プロンプトベースのジェイルブレイクが同時に抑制できない複数の因果的に独立な拒絶方向を符号化することを確認した。
  論文  参考訳（メタデータ） (2026-02-19T00:33:35Z)
• Jailbreaking Leaves a Trace: Understanding and Detecting Jailbreak Attacks from Internal Representations of Large Language Models [2.6140509675507384]
  我々はセキュリティと解釈可能性の両方の観点からジェイルブレイクを研究する。 隠れアクティベーションにおける構造をキャプチャするテンソルベース潜在表現フレームワークを提案する。 以上の結果から,脱獄行動が内部構造に根ざしていることが示唆された。
  論文  参考訳（メタデータ） (2026-02-12T02:43:17Z)
• A Causal Perspective for Enhancing Jailbreak Attack and Defense [29.669194815878768]
  大規模言語モデルとデータ駆動因果探索を融合したフレームワークを提案する。 7つの言語モデルにまたがる35kのジェイルブレイク試行からなる包括的データセットを導入する。 分析の結果、"Positive Character"や"Number of Task Steps"といった特定の特徴が、jailbreakの直接的な因果的ドライバとして機能していることが判明した。
  論文  参考訳（メタデータ） (2026-01-31T15:20:13Z)
• Is Reasoning All You Need? Probing Bias in the Age of Reasoning Language Models [0.0]
  RLM(Reasoning Language Models)は、複雑な多段階推論タスクを実行する能力によって注目を集めている。 これらの能力は信頼性の向上を約束するが、社会的バイアスに対する堅牢性への影響はまだ不明だ。 我々は, CLEAR-Bias ベンチマークを用いて, RLM のバイアス誘発に対する対角的ロバスト性について検討する。
  論文  参考訳（メタデータ） (2025-07-03T17:01:53Z)
• Cannot See the Forest for the Trees: Invoking Heuristics and Biases to Elicit Irrational Choices of LLMs [83.11815479874447]
  本研究では,人間の認知における認知的分解と偏見に触発された新しいジェイルブレイク攻撃フレームワークを提案する。 我々は、悪意のあるプロンプトの複雑さと関連バイアスを減らし、認知的分解を用いて、プロンプトを再編成する。 また、従来の二分的成功または失敗のパラダイムを超越したランキングベースの有害度評価指標も導入する。
  論文  参考訳（メタデータ） (2025-05-03T05:28:11Z)
• MIRAGE: Multimodal Immersive Reasoning and Guided Exploration for Red-Team Jailbreak Attacks [85.3303135160762]
  MIRAGEは、物語駆動型コンテキストとロール没入を利用して、マルチモーダル大規模言語モデルにおける安全性メカニズムを回避する新しいフレームワークである。 最先端のパフォーマンスを達成し、最高のベースラインよりも攻撃成功率を最大17.5%向上させる。 役割の浸漬と構造的セマンティック再構築は、モデル固有のバイアスを活性化し、モデルが倫理的保護に自発的に違反することを実証する。
  論文  参考訳（メタデータ） (2025-03-24T20:38:42Z)
• Improving LLM Safety Alignment with Dual-Objective Optimization [81.98466438000086]
  大規模言語モデル(LLM)の既存のトレーニング時間安全アライメント技術は、ジェイルブレイク攻撃に対して脆弱なままである。 本研究では,DPOの目的を2つの構成要素にまとめる安全アライメントの改善について提案する。(1) 安全でない世代が部分的に発生しても拒否を促す頑健な拒絶訓練,(2) 有害な知識の未学習。
  論文  参考訳（メタデータ） (2025-03-05T18:01:05Z)
• JailbreakLens: Interpreting Jailbreak Mechanism in the Lens of Representation and Circuit [12.392258585661446]
  大規模言語モデル(LLM)はジェイルブレイク攻撃に対して脆弱であり、敵のプロンプトはセキュリティメカニズムをバイパスし、予期せぬ応答を誘発する。 本稿では,Jailbreak機構を表現と回路の両方の観点から解析する解釈フレームワークであるJailbreakLensを提案する。
  論文  参考訳（メタデータ） (2024-11-17T16:08:34Z)
• AutoDAN: Interpretable Gradient-Based Adversarial Attacks on Large Language Models [55.748851471119906]
  LLM(Large Language Models)の安全性の整合性は、手動のジェイルブレイク攻撃や(自動)敵攻撃によって損なわれる可能性がある。 最近の研究は、これらの攻撃に対する防御が可能であることを示唆している。敵攻撃は無限だが読めないジベリッシュプロンプトを生成し、難易度に基づくフィルタによって検出できる。 両攻撃の強度をマージする,解釈可能な勾配に基づく対向攻撃であるAutoDANを導入する。
  論文  参考訳（メタデータ） (2023-10-23T17:46:07Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。