Mitä on Adversarial Poetry? Uusi AI-vankilajoukon murtokeino

Tekoälyturvallisuus on muuttunut jatkuvaksi kissa-hiiri-leikiksi. Kun kehittäjät lisäävät turvallisuuden esteitä estämään haitallisia pyynnöitä, hyökkääjät jatkavat uusien tavoitteiden kiertämistä. Yksi outo mutka on adversarial poetry. Tämä taktiikka kätkee pyynnöt runomuotoon ja käyttää rytmiä, metaforaa ja epätavallista sanamuotoa tehdäkseen riskialttiiden ohjeiden näyttämään vähemmän sellaisilta, mitä turvallisuusjärjestelmät on koulutettu havaitsemaan.

Käytännössä sisältö ei muutu paljon. Se on kuori, joka muuttuu, ja se voi olla riittävä sekoittamaan mallipohjaiset suodattimet. Se on muistutus siitä, että nykyisillä malleilla se, miten asia kysytään, voi olla lähes yhtä tärkeää kuin se, mitä kysytään.

Mitä tapahtui, kun tutkijat käyttivät runoja murtamaan AI:ta?

Alkuvuonna 2025 tutkijat osoittivat, että suuret kielen mallit (LLM) voivat vastata rajoitettuihin pyynnöksiin käärimällä ne runomuotoon. Sen sijaan, että antaisivat suoria, käytäntöä laukaisevia ohjeita, tutkijat upottivat samat pyynnöt rytmiin, metaforaan ja kerronnalliseen runoon.

Pinnan alla pyynnöt näyttivät olevan luovia kirjoitusharjoituksia, mutta niiden alla ne kantoivat samaa tarkoitusta, joka normaalisti estettäisiin. 25 eturintaman omistaman ja avoimen mallin joukossa tutkijaryhmä raportoi, että runollinen kehys saavutti 62%:n murto-onnistumisprosentin käsin tehtyjen runojen osalta ja noin 43%:n massiiviselle “runomuodonmuunnokselle” standardoidun meta-pyynnön avulla.

Vastaukset itsessään eivät olleet uusia virhetyppejä, vaan tuttuja virheitä, jotka ilmestyivät odottamattoman oven kautta. Mallit ohjattiin tuottamaan sisältöä, jota ne yleensä välttävät – kuten selityksiä, jotka koskivat laittomia tai haitallisia toimia – koska alkuperäinen pyyntö oli fragmentoitu ja peitetty runollisella rakenteella.

Tutkimuksen keskeinen johtopäätös on, että tyylillinen varianssi yksin voi olla riittävä kiertämään turvallisuusjärjestelmiä, jotka on säädetty kirjaimellisemmaksi sanamuodolle. Se paljastaa haavoittuvuuden, joka on nähtävissä malliperheiden ja kohdistuslähestymistapojen yli.

Miten Adversarial Poetry toimii

Adversariaaliset hyökkäykset hyödyntävät yksinkertaista todellisuutta – koneoppimisjärjestelmät eivät “ymmärrä” kieltä samalla tavalla kuin ihmiset. Ne havaitsevat malleja, ennustavat todennäköisiä jatkumoja ja noudattavat ohjeita sen mukaan, mitä heidän koulutuksensa ja turvallisuuskerroksensa tulkkaavat tarkoituksena.

Kun pyyntö on laadittu suoraviivaisesti ja kirjaimellisesti, on helpompi turvallisuusjärjestelmien tunnistaa ja estää se. Kun sama tarkoitus kuitenkin salataan – jaetaan, pehmennetään tai uudelleenmuotoillaan – suojakerrokset voivat missata, mitä todella pyydetään.

Miksi runous voi olla tehokas väline

Runous on luonnostaan epäselvää. Se perustuu metaforaan, abstraktioon, epätavalliseen rakenteeseen ja epäsuoraan sanamuotoon. Nämä ovat juuri niitä ominaisuuksia, jotka voivat hämärtää rajaa “harmittoman luovan kirjoittamisen” ja “pyynnön, joka pitäisi evätä” välillä.

Samassa vuoden 2025 tutkimuksessa tutkijat raportoivat, että runolliset pyynnöt herättivät turvattomia vastauksia 90%:n onnistumisprosentilla laajalla mallivalikoimalla, osoittaen, että tyyli yksin voi muuttaa tuloksia olennaisesti.

Miten runo piilottaa todellisen pyynnön

Käytännössä pyyntö on viesti, ja runo on pakkaus. Turvallisuussuodattimet etsivät usein ilmeisiä merkkejä, kuten eksplisiittisiä avainsanoja, suoria askel-askel-ohjeita tai tunnistettavaa pahantahtoista aikomusta.

Runous voi piilottaa tämän aikomuksen kuvainnollisella kielellä tai jakaa sen useille riveille, mikä tekee siitä haasteellisemman havaita eristyneenä. Samaan aikaan malli itse kokoaa merkityksen riittävän hyvin vastatakseen, koska se on optimoitu päättelemään aikomus, vaikka kieli on epäsuoraa.

Hyökkäysten havaitseminen ja estäminen

Kun murtokeinot tulevat luovammaksi, keskustelu on siirtymässä siitä, miten ne toimivat, siihen, miten niitä havaitaan ja miten niitä estetään. Tämä on erityisen totta nyt, kun tekoäly on osa monen ihmisen päivittäistä rutiineja, ja 27% ilmoittaa käyttävänsä sitä useita kertoja päivässä.

Kun enemmän ihmisiä käyttää suuria kielen malleja, olisi testattava ja tutkittava lisää suojaustoimia. Tämä tehtävä vaatii kerroksellisten puolustusjärjestelmien rakentamista, jotka voivat sopeutua uusiin pyyntötyyleihin ja kiertämistekniikoihin, kun ne ilmestyvät.

Ohjelmistokehittäjän dilemma

Turvallisuustiimien kannalta haasteellisinta murtokeinoissa on, etteivät ne tule yhtenä tunnettuna uhkana. Ne muuttuvat jatkuvasti ajan myötä. Tämä jatkuva muutos johtuu siitä, että käyttäjä voi uudelleenmuotoilla pyynnön, jakaa sen fragmentteihin, kääriä sen roolipelaamiseen tai naamioida sen luovana kirjoittamisena. Jokainen uusi pakkaus voi muuttaa, miten järjestelmä tulkkaa pyynnön aikomusta.

Tämä haaste kasvaa nopeasti, kun tekoäly on jo integroitu päivittäisiin rutiineihin, jolloin todellinen käyttö luo loputtomia mahdollisuuksia reunatapauksille.

Siksi nykyinen tekoälyturvallisuus näyttää enemmän riskien hallinnalta ajalla. NISTin tekoälyriskien hallintakehys (AI RMF) käsittelee nimenomaisesti riskien hallinnan jatkuvana sarjana toimia – järjestetty hallitse, kartoita, mitta ja hallitse – eikä statanttina tarkistuslistana. Tavoitteena on luoda prosesseja, jotka tekevät siitä helpompaa tunnistaa uusia epäonnistumisen muotoja, priorisoida korjauksia ja kiristää suojaustoimia, kun uudet murtokeinot ilmestyvät.

Miten mallit suojaavat itseään

Tekoälyturvallisuus koostuu useista kerroksista. Useimmat järjestelmät sisältävät useita puolustuskerroksia, joista jokainen pyytää erilaisia riskialttiita käyttäytymisiä. Ulommassa kerroksessa syöte- ja tulostussuodattimet toimivat portinvartijoina.

Saapuvat pyynnöt skannataan käytäntörikkomuksista ennen kuin ne pääsevät ydinmalliin, kun taas lähtevät vastaukset tarkistetaan varmistaakseen, ettei mitään pääse läpi käyttäjälle. Nämä järjestelmät ovat hyviä tunnistamaan suoria pyynnöitä tai tuttuja punaisia lippuja, mutta ne ovat myös helpoimmin kiertettävissä, miksi useammat petolliset murrot usein ohittavat ne.

Seuraava suojakerros tapahtuu itse mallissa. Kun murtokeinot havaitaan, ne muutetaan koulutuseksampleiksi. Tässä vaiheessa adversariaalinen koulutus ja vahvistusoppiminen ihmisten palautteen avulla (RLHF) tulevat kuvioon.

Säätämällä malleja epäonnistuneiden tai riskialttiiden vuorovaikutusten esimerkeillä kehittäjät opettavat järjestelmälle tunnistamaan malleja, joita se pitäisi evätä, vaikka ne olisivat pakattu luovasti tai epäsuoraan kieleen. Ajan myötä tämä prosessi auttaa rokottamaan mallin kokonaisia hyökkäysluokkia vastaan.

AI “Red Teaming” -roolin merkitys

Sen sijaan, että odottaisi murron tapahtumista, yritykset käyttävät AI-punaisia joukkueita. Nämä joukkueet ovat ryhmiä, joiden tehtävänä on yrittää murtaa malleja kontrolloiduissa ympäristöissä. He lähestyvät järjestelmiä hyökkääjän tavoin, kokeillen epätavallista sanamuotoa, luovia formaatteja ja reunatapauksia paljastaakseen, missä suojaukset eivät riitä.

Punainen joukkue on nyt tullut olennaiseksi osaksi kehitys-elinkaarta nykyisissä kyberturvallisuusstrategioissa. Kun joukkue löytää uuden murtokeinon, tulokset syötetään suoraan koulutus- ja arviointiputkiin. Tietoa käytetään määrittämään suodattimia, sopeuttamaan käytäntöjä ja vahvistamaan adversariaalista koulutusta, jotta vastaavat yritykset ovat vähemmän todennäköisiä onnistumaan tulevaisuudessa. Ajan myötä tämä luo jatkuvan silmukan – etsi epäonnistumisia, opi niistä ja paranna järjestelmää, sitten toista.

Kun runous tulee stressitestiksi tekoälyturvallisuudelle

Adversariaalinen runous on muistutus siitä, että tekoälyturvallisuus riippuu siitä, miten käyttäjä lausuu kysymyksiä, ei vain siitä, mitä. Kun mallit tulevat helpommin saataville ja laajemmin käytetyiksi, tutkijat jatkavat tutkimista kuiluja luovien kielen ja turvallisuusjärjestelmien välillä, jotka on suunniteltu havaitsemaan enemmän suoria aikomuksia. Johtopäätös on, että turvallisempi tekoäly tulee monista puolustuskerroksista, jotka kehittyvät yhtä nopeasti kuin murrot.