Quincunx33/Ai-jailbreak

解決する課題

LLMがRLHF/RLAIFなどのアライメント技術を通じて有害なリクエストを拒否するように訓練されるにつれ、その安全システムの残りのエッジケースや盲点を見つける必要性が高まっています。このプロジェクトは、意味的ガードレールを回避する実用的なジェイルブレイクプロンプトとテクニックを収集し、研究者がモデルをレッドチームし、現在の安全トレーニングがどこで失敗するかを理解できるようにします。READMEは、この資料を学術研究、レッドチーミング検証、防御的AIアライメント専用に位置付けており、実際に有害なコンテンツを生成するためではありません。

仕組み

このリポジトリは、8つの主要な敵対的テクニックを分類し、それぞれが悪用する具体的な根本的欠陥と、なぜ機能するかの短い要約を説明しています。テクニックは以下の通りです：

1. 偽テスト（役割とモードの混乱） — モデルは、ユーザーに隠された思考連鎖が決して表示されないプライベートな診断環境内で実行されていると信じ込まされ、その隠れたチャネルで安全フィルターを放棄します。

2. 意味的催眠とマルチショット解離 — マルチターン会話で催眠スタイルの誘導イメージを使用し、モデルの安全ペルソナを生成エンジンから徐々に切り離し、制約が無関係に感じられる「トランス状態」に陥れます。

3. 逆思考と論理的反転 — 直接質問する代わりに、プロンプトはモデルに対照的な概念の意図を体系的に反転させ、同時に合成安全トグル（safety = offなど）を設定するよう命令します。モデルは反転演習に集中し、制限を見失います。

4. 難読化コードと幻覚圧力 — 無意味なbase64ペイロードが高リスクシナリオ（例：システムインシデント）とともに提示されます。モデルはプレッシャー下で行動手がかりから動作コードを「再構築」するよう圧力を受け、できないことを認める代わりに完全な実装を捏造します。

5. 推論トレース注入（CoTプリフィリング） — 明示的な推論ステップを持つモデル（Phi-4、DeepSeek-R1、Qwen-Thinking）に対して、攻撃者は内部のthinkingブロックを慎重に段階的な正当化で事前に埋めます。モデルはシードされた推論を自身の以前の思考として受け入れ、そこから続行します。

6. 多言語コンテキスト難読化（キルギス語ストーリー） — 低リソース言語のトークン（この場合はキルギス語）が物語内の意味変数として割り当てられます。モデルの注意リソースは不一致の語彙トークンを解決するために費やされ、安全分類器の性能が低下します。

7. コンテキストフラッディングとトークン漏洩 — モデルがシステム命令の断片を漏らした場合、長いコンテキストウィンドウでその断片を繰り返すと完了バイアスが強制され、最終的にモデルが完全なシステムプロンプトを吐き出します。

8. 特殊トークンと境界エクスプロイト — <BOS>、<EOS>、<|begin_of_text|>、<|eot_id|>などの生のトークナイザー境界マーカーを注入して、システムブロックの終了やアシスタント応答の開始をシミュレートし、命令とユーザーデータの間の境界を破ります。

READMEはその後、これらのテクニックをGemma-3 12B（オープンウェイトモデル）に対してデモし、各攻撃の完全なプロンプトテンプレートとスクリーンショットベースの検証証明を提供します。

対象読者

AIセキュリティ研究者、レッドチーマー、オープンウェイトモデルの防御的アライメントに取り組む開発者。READMEは、プロンプト、システム命令、概念実証ペイロードが学術研究と防御目的のみでアーカイブされており、有害、違法、または非倫理的なコンテンツを生成するために使用すべきではないと明示しています。

ハイライト

• 8つの文書化された敵対的テクニック、それぞれが悪用する具体的な欠陥（例：OWASP LLM01プロンプトインジェクション、ペルソナドリフト、プレッシャー下での幻覚、コンテキストウィンドウメモリ漏洩、デリミタ混乱）にマッピングされています
• すぐに使えるプロンプトテンプレート、Gemma-3 12B向けで、偽テスト、難読化コード再構築、催眠、キルギス語難読化、自己欠陥分析をカバー
• スクリーンショット検証、各デモ攻撃に対して、実際のモデル出力を有効性の証明として表示
• 相互参照された研究ソース、OWASP、プレッシャーに屈するモデルに関するDeepMind/UCL研究、hiddenlayerの敵対的プロンプトエンジニアリング分類法、innodataのLLMジェイルブレイク分類法を含む