論文の概要: Rethinking LLM Jailbreak Evaluation: Continuous Risk Landscapes Beyond Binary Outcomes

• arxiv url: http://arxiv.org/abs/2610.38595v1
• Date: Wed, 28 Oct 2026 10:23:27 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-31 05:25:12.393844
• Title: Rethinking LLM Jailbreak Evaluation: Continuous Risk Landscapes Beyond Binary Outcomes
• Title（参考訳）: LLMのジェイルブレイク評価を再考する - バイナリアウトカムを越えた継続的リスク回避
• Abstract要約: ジェイルブレイクプロンプトは開放された軌道上の分布を誘導し、サンプル応答は1つの経路のみを明らかにする。 候補開口部を固定することにより推定した,第1トーケン枝に連続的,文脈条件付きリスクランドスケープを導入する。 我々は,適応防御が反応した後も,防御前に最強の攻撃が必ずしも最強の攻撃にとどまらないことを示す。
• 参考スコア（独自算出の注目度）: 13.96344581867586
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: A binary success indicator is a natural representation for discriminative tasks such as image classification under adversarial perturbations, where each input is mapped to a single prediction. However, generative tasks are fundamentally different: an LLM jailbreak prompt induces a distribution over open-ended trajectories, while a sampled response reveals only one path. Yet LLM jailbreak evaluation typically retains the binary response indicator underlying attack success rate, obscuring the surrounding structure of possible generations. We introduce a continuous, context-conditioned risk landscape over first-token branches, estimated by fixing candidate openings and repeatedly sampling their continuations. This continuous risk-landscape perspective reveals two complementary properties: current decoder exposure and safe rerouting capacity, which have been obscured by binary-indicator-based ASR. The resulting representation also provides a common basis for comparing clean prompts, attacked variants, and attack strength against a known adaptive defense. Across multiple target models and jailbreak attacks, we uncover risky branches beneath apparently safe outputs, identify qualitatively different ways attacks reshape the model's opening distribution, and show that attacks strongest before a defense do not necessarily remain the strongest after the adaptive defense reacts. These findings recast jailbreaks as deformations of the surrounding continuation-risk landscape, establishing a more informative foundation for understanding jailbreak behavior and developing safer language models.
• Abstract（参考訳）: バイナリ成功指標は、逆摂動下での画像分類などの識別タスクの自然な表現であり、各入力は単一の予測にマッピングされる。 しかし、生成タスクは基本的に異なる: LLM ジェイルブレイクプロンプトは開放された軌道上の分布を誘導し、サンプル応答は1つの経路だけを明らかにする。 しかし LLM ジェイルブレイクの評価は、通常、攻撃の成功率に基づくバイナリ応答の指標を保持し、起こりうる世代の周囲構造を無視する。 提案手法は,候補開口部を固定し,その継続を繰り返しサンプリングすることによって推定される,第1の分岐部に対する連続的,文脈条件付きリスクランドスケープを導入する。 この連続的なリスクランドスケープの観点では、現在のデコーダ露光と安全なリルーチン能力という2つの相補的な性質が示され、これはバイナリインジケータベースのASRによって隠蔽されている。 結果の表現はまた、クリーンプロンプト、攻撃された変種、および既知の適応防御に対する攻撃強度を比較するための共通の基盤を提供する。 複数のターゲットモデルとジェイルブレイク攻撃で、明らかに安全な出力の下の危険な枝を発見し、攻撃がモデルの開口分布を再形成する定性的に異なる方法を特定し、適応防御が反応した後は、防御前に最強の攻撃が必ずしも最強であるとは限らないことを示す。 これらの知見は、ジェイルブレイクを周囲の連続リスク景観の変形として再考し、ジェイルブレイクの振る舞いを理解し、より安全な言語モデルを開発するためのより情報的な基盤を確立した。

関連論文リスト

• PAST2HARM: A Simple Adaptive Past Tense Attack for Jailbreaking Multimodal AI [0.0]
  PAST2HARMは、アートマルチモーダルテキストの状態からイメージモデルへの拒絶トレーニングを回避した適応型ジェイルブレイクフレームワークである。 Gemini Nano Banana Pro, GPT Image 2, SD XLの3モデルでPAST2HARMを評価し, 攻撃成功率は83%, 67%, ブラックボックスで100%, グラデーションフリー設定で達成した。 この攻撃は、露骨な性的内容、政治的偽情報、歴史的否定的物語、憎しみの言葉、自己被害の栄光など、様々な有害なアウトプットが引き起こされる。
  論文  参考訳（メタデータ） (2026-05-26T18:16:22Z)
• Quantifying LLM Safety Degradation Under Repeated Attacks Using Survival Analysis [0.0]
  大規模言語モデル(LLM)は、広範囲のアプリケーションにデプロイされる傾向にあるが、敵のジェイルブレイク攻撃には弱いままである。 本研究は, LLM脱獄の脆弱性を特徴付けるために生存分析技術を適用した新しい評価フレームワークを提案する。 提案手法は, リスク関数, 生存曲線, 攻撃の危険因子を推定し, 生存率としてジェイルブレイクをモデル化する。
  論文  参考訳（メタデータ） (2026-05-13T01:26:06Z)
• Structured Semantic Cloaking for Jailbreak Attacks on Large Language Models [28.741175254258422]
  本研究では,新しい多次元ジェイルブレイク攻撃フレームワークであるStructured Semantic Cloaking (S2C)を提案する。 S2Cはマルチステップ推論を必要とするようなセマンティックキューを戦略的に分散し、再結合する。 我々は、HarmBench と JBB-Behaviors を用いて、複数のオープンソースおよびプロプライエタリ LLM 上でS2Cを評価した。
  論文  参考訳（メタデータ） (2026-03-17T07:20:48Z)
• Jailbreaking Leaves a Trace: Understanding and Detecting Jailbreak Attacks from Internal Representations of Large Language Models [2.6140509675507384]
  我々はセキュリティと解釈可能性の両方の観点からジェイルブレイクを研究する。 隠れアクティベーションにおける構造をキャプチャするテンソルベース潜在表現フレームワークを提案する。 以上の結果から,脱獄行動が内部構造に根ざしていることが示唆された。
  論文  参考訳（メタデータ） (2026-02-12T02:43:17Z)
• bi-GRPO: Bidirectional Optimization for Jailbreak Backdoor Injection on LLMs [33.470999703070866]
  既存のジェイルブレイクのトリガーを埋め込むアプローチは、一般化の貧弱さ、ステルスネスの妥協、文脈的ユーザビリティの低下といった制限に悩まされている。 ジェイルブレイクバックドア注入に適した新しいRLベースのフレームワークであるbi-GRPOを提案する。
  論文  参考訳（メタデータ） (2025-09-24T05:56:41Z)
• Cannot See the Forest for the Trees: Invoking Heuristics and Biases to Elicit Irrational Choices of LLMs [83.11815479874447]
  本研究では,人間の認知における認知的分解と偏見に触発された新しいジェイルブレイク攻撃フレームワークを提案する。 我々は、悪意のあるプロンプトの複雑さと関連バイアスを減らし、認知的分解を用いて、プロンプトを再編成する。 また、従来の二分的成功または失敗のパラダイムを超越したランキングベースの有害度評価指標も導入する。
  論文  参考訳（メタデータ） (2025-05-03T05:28:11Z)
• Improving LLM Safety Alignment with Dual-Objective Optimization [81.98466438000086]
  大規模言語モデル(LLM)の既存のトレーニング時間安全アライメント技術は、ジェイルブレイク攻撃に対して脆弱なままである。 本研究では,DPOの目的を2つの構成要素にまとめる安全アライメントの改善について提案する。(1) 安全でない世代が部分的に発生しても拒否を促す頑健な拒絶訓練,(2) 有害な知識の未学習。
  論文  参考訳（メタデータ） (2025-03-05T18:01:05Z)
• Layer-Level Self-Exposure and Patch: Affirmative Token Mitigation for Jailbreak Attack Defense [55.77152277982117]
  私たちは、jailbreak攻撃から防御するために設計された方法であるLayer-AdvPatcherを紹介します。 私たちは、自己拡張データセットを通じて、大規模言語モデル内の特定のレイヤにパッチを適用するために、未学習の戦略を使用します。 我々の枠組みは、脱獄攻撃の有害性と攻撃の成功率を減らす。
  論文  参考訳（メタデータ） (2025-01-05T19:06:03Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。