โมเดลการแชท AI ที่ถูกเซ็นเซอร์ทำให้เกิดการเห็นภาพมากขึ้น ผลการวิจัยพบ

การเซ็นเซอร์ในโมเดลภาษาอาจบ่อนทำลายความสามารถในการรายงานความจริงในระดับที่กว้างขึ้น ผลการวิจัยใหม่พบว่ากลไกภายในที่ใช้เพื่อขัดขวางการตอบสนองที่ “ไม่ปลอดภัย” ยังสามารถระงับข้อมูลที่เป็นข้อเท็จจริงด้วย ซึ่งหมายความว่าความพยายามในการจัดแนวโมเดลเพื่อความปลอดภัยอาจมีผลย้อนกลับโดยทำให้พวกมันเห็นภาพมากขึ้น

มานานหลายปีแล้วที่นักพัฒนากำลังฝึกโมเดลภาษาให้พูดความจริงมากขึ้น ความพยายามในการทำให้พวกมันพูดความจริงมากขึ้นโดยการระงับการเห็นภาพและชี้นำพวกมันไปสู่ข้อเท็จจริงที่สามารถตรวจสอบได้ ได้นำไปสู่การวิจัยที่มีผลลัพธ์ที่ดีและได้รับการยอมรับอย่างกว้างขวางในวงการวิชาการ

อย่างไรก็ตาม การศึกษาใหม่ของออสเตรเลียโต้แย้งว่าการควบคุมโมเดลอย่างเข้มงวดเกี่ยวกับสิ่งที่พวกมันสามารถพูดได้ อาจทำให้พวกมันไม่สามารถพูดความจริงได้เลย การฝึกโมเดลโดยใช้เทคนิคการฝึกที่เรียกว่า “การฝึกแบบปลอดภัย” (alignment methods) อาจทำให้พวกมันไม่สามารถตอบสนองได้อย่างถูกต้อง

การปรับปรุงความแม่นยำของโมเดล (‘การเพิ่มความจริง’ ในรูปด้านบน) สามารถผลักดันโมเดลให้เข้าสู่พื้นที่การทำงานที่ข้ามกลไกการปฏิเสธที่มีอยู่ในตัว และการแก้ไขที่ตั้งใจจะลดการเห็นภาพอาจทำให้การแสดงออกภายในเปลี่ยนแปลงข้ามพื้นที่ความปลอดภัย – ทำให้คำสั่งอันตรายสามารถหลบเลี่ยงการป้องกันได้ เว้นแต่จะแยกและรักษากลไกการปฏิเสธอย่างชัดเจน

การวิจัยพบว่ากลไกภายในที่ควบคุมการเรียกความจำข้อเท็จจริงนั้นยังเกี่ยวข้องกับการปฏิเสธคำสั่งอันตรายด้วย เมื่อเทคนิคการฝึกแบบปลอดภัยเพิ่มสัญญาณการปฏิเสธมากเกินไป พวกมันจะเริ่มทับซ้อนกับทางเดินข้อมูลที่เกี่ยวข้องกับการเห็นภาพ ทำให้โมเดลมีความยากในการแยกแยะระหว่างการปฏิเสธอันตรายและการระงับข้อมูลที่ถูกต้อง

ในทางกลับกัน เมื่อโมเดลมีความสามารถในการพูด “ไม่” ได้ดีขึ้น พวกมันก็จะไม่สามารถพูดความจริงได้เช่นกัน

หัวข้อที่มีอันตราย

ในภาพด้านบน เราจะเห็นว่าปัญหาหลักนี้เกี่ยวข้องกับการเสี่ยงทางกฎหมายสำหรับผู้ให้บริการโมเดลภาษาเชิงลึก (LLM) ไม่น้อยกว่าการให้ผลลัพธ์ที่ยุติธรรมและแม่นยำสำหรับผู้ใช้

ตัวอย่างเช่น ในกรณีของหัวข้อที่มีอันตราย (สถิติเรื่องการเข้าเรือนจำตามเชื้อชาติ) โมเดล AI อาจสามารถพูดคุยเกี่ยวกับหัวข้อนี้ได้อย่างเหมาะสมกับนักวิจัยและนักสถิติ แต่ไม่ควรตอบสนองต่อผู้ที่ต้องการใช้ข้อมูลนี้เพื่อจุดประสงค์ที่ไม่เหมาะสม

อย่างไรก็ตาม เนื่องจากโมเดลที่จัดแนวความปลอดภัยไม่สามารถระบุลักษณะของผู้ที่ถามคำถามได้ จึงมักจะใช้แนวทางที่ระมัดระวัง:

การตอบสนองต่อคำถามที่มีอันตรายอาจแตกต่างกันไปตามกลยุทธ์การจัดแนวความปลอดภัย โมเดลที่มีการจัดแนวความปลอดภัยจะปิดคำถามทั้งหมด ในขณะที่โมเดลที่มุ่งเน้นความจริงจะตอบด้วยข้อมูลที่มีบริบท เพิ่มความสามารถในการให้ข้อมูล แต่ลดการระงับ

เป็นข้อสังเกตที่น่าสนใจว่าผลการวิจัยใหม่นี้อาจช่วยให้ผู้ที่ไม่เห็นด้วยกับวาระ “woke” เข้าใจได้ว่าโมเดลภาษาที่ถูกเซ็นเซอร์อาจไม่ถูกต้องและไม่มีประโยชน์มากกว่าโมเดลที่ไม่ได้รับการควบคุมและจัดระเบียบ

ผลการวิจัยนี้ชี้ให้เห็นว่านี่เป็นเรื่องจริง แต่ก็ให้ข้อมูลที่เหมาะสมในบริบทของปัญหาใหญ่ที่เกิดขึ้นจากการแลกเปลี่ยนกับโมเดลภาษาที่ไม่ได้รับการควบคุม รวมถึงการเสี่ยงทางกฎหมายที่เกิดขึ้นจากการกระทำผิดกฎหมายและแพ่ง และการแพร่กระจายข่าวปลอม เนื่องจากตัวอย่างที่เป็นอันตรายมีการแสดงออกมากเกินไปในข้อมูลการฝึก และวิธีเดียวที่จะกรองข้อมูลเหล่านี้ออกไปได้คือการฝึกแบบ “fine-tuning” ซึ่งมีค่าใช้จ่ายสูง

คู่ที่ไม่คาดคิด

เพื่อทำความเข้าใจกลไกเบื้องหลังของสิ่งที่สังเกตได้ นักวิจัยได้ทำการแมปกิจกรรมของหัวการทำงานแต่ละหัวและพบว่าลักษณะที่เกี่ยวข้องกับการเห็นภาพและปฏิเสธมักจะอยู่ในพื้นที่เดียวกันของโมเดล

พวกเขาพบว่าการฝึกหรือการปรับโมเดลเพื่อลดข้อผิดพลาดสามารถทำให้ระบบอ่อนแอลงได้ เนื่องจากกลไกเหล่านี้อยู่ในพื้นที่เดียวกันของพื้นที่ 潜在:

‘การเพิ่มความแม่นยำของข้อเท็จจริงมักจะส่งผลให้การปฏิเสธอ่อนแอลง การวิเคราะห์ของเราแสดงให้เห็นว่าสิ่งนี้เกิดขึ้นจากส่วนประกอบที่ทับซ้อนกันในโมเดลที่เข้ารหัสทั้งการเห็นภาพและข้อมูลการปฏิเสธ ซึ่งทำให้เทคนิคการจัดแนวความปลอดภัยระงับข้อมูลที่ถูกต้องโดยไม่ตั้งใจ’

‘เรายังตรวจสอบว่าการฝึกแบบ fine-tuning บนชุดข้อมูลที่ปลอดภัย แม้ว่าจะได้รับการดูแลเพื่อความปลอดภัยก็ตาม สามารถทำให้การจัดแนวความปลอดภัยเสื่อมลงได้เนื่องจากสาเหตุเดียวกัน’

นักวิจัยเสนอให้ใช้เครื่องมือที่เรียกว่า “sparse autoencoder” (SAE) เพื่อแยกฟังก์ชันทั้งสองนี้ออกจากกันและรักษาความปลอดภัยระหว่างการฝึกความจริง

วิธีการ

แนวคิดหลักของงานนี้คือการตรวจสอบว่าการปรับปรุงความจริงในโมเดลภาษาทำให้พวกมันเสี่ยงต่อคำสั่งอันตรายมากขึ้นหรือไม่ และทั้งสองพฤติกรรมนี้อาศัยส่วนประกอบภายในที่ใช้ร่วมกัน

การตรวจสอบสองวิธีการเพิ่มความจริง พบว่าการเพิ่มความแม่นยำของข้อเท็จจริงทำให้โมเดลเสี่ยงต่อคำสั่งอันตรายมากขึ้น

สิ่งนี้เกิดขึ้นจากการทับซ้อนกันของหัวการทำงานที่เข้ารหัสทั้งการเห็นภาพและข้อมูลการปฏิเสธ เมื่อเทคนิคการจัดแนวความปลอดภัยเพิ่มสัญญาณการปฏิเสธมากเกินไป พวกมันจะเริ่มทับซ้อนกับทางเดินข้อมูลที่เกี่ยวข้องกับการเห็นภาพ

การควบคุมการเห็นภาพ

คำถามคือว่าการเปลี่ยนแปลงเหล่านี้ส่งผลต่อทางเดินภายในที่ควบคุมการปฏิเสธหรือไม่ เพื่อทดสอบสิ่งนี้ การศึกษานี้ประเมินโมเดลไม่เพียงแต่ในเรื่องความแม่นยำของข้อเท็จจริงโดยใช้ TruthfulQA แต่ยังรวมถึงประสิทธิภาพด้านความปลอดภัยภายใต้แรงกดดันจากผู้โจมตีโดยใช้ AdvBench และ StrongReject

สองเทคนิคที่มีอยู่ซึ่งใช้เป็นฐานคือการแทรกแซงในช่วงการอนุมาน (Inference-time intervention) และ TruthX

ทั้งสองเทคนิคนี้สามารถปรับปรุงความแม่นยำได้ แต่ก็ทำให้โมเดลเสี่ยงต่อคำสั่งอันตรายที่พวกมันเคยปฏิเสธมากขึ้น

เพื่อทดสอบว่าพฤติกรรมการเห็นภาพสามารถถูกแยกและจัดการได้โดยตรงหรือไม่ นักวิจัยได้กำหนดทิศทาง 潜在 เดียวที่เกี่ยวข้องกับการเห็นภาพในโมเดล

สิ่งนี้นำไปสู่เวกเตอร์เชิงเส้นที่สามารถชี้นำโมเดลไปสู่หรือออกจากการเห็นภาพขึ้นอยู่กับทิศทาง

ผลกระทบของการชี้นำไปตามทิศทางการเห็นภาพ ความแม่นยำของ TruthfulQA เพิ่มขึ้นเมื่อโมเดลถูกดันไปในทิศทางลบ ในขณะที่อัตราความสำเร็จของการโจมตี (ASR) เพิ่มขึ้นอย่างรวดเร็วใน AdvBench และ StrongReject สะท้อนให้เห็นถึงการแลกเปลี่ยนระหว่างความจริงและความปลอดภัย

การชี้นำไปตามทิศทางการเห็นภาพทำให้ความแม่นยำของข้อเท็จจริงลดลง ในขณะที่การชี้นำไปในทิศทางตรงกันข้ามจะทำให้ความแม่นยำดีขึ้น การใช้เทคนิคนี้กับคำสั่งอันตรายยืนยันรูปแบบที่เห็นมาก่อนหน้านี้: การเพิ่มความจริงทำให้โมเดลเสี่ยงต่อคำสั่งอันตรายมากขึ้น

ข้อมูลและการทดสอบ

ตามงานวิจัยก่อนหน้านี้ เพื่อป้องกันไม่ให้การฝึกแบบ fine-tuning อ่อนแอลงการปฏิเสธของโมเดล นักวิจัยใช้วิธีการแยกคุณลักษณะการปฏิเสธออกจากคุณลักษณะที่เกี่ยวข้องกับการเห็นภาพ โดยการระบุหัวการทำงานที่เกี่ยวข้องกับทั้งสองพฤติกรรม

คุณลักษณะเหล่านี้กำหนดพื้นที่ย่อยที่ได้รับการคุ้มครอง ในระหว่างการฝึก การอัปเดตเกรเดียนต์จะถูกดัดแปลงเพื่อหลีกเลี่ยงพื้นที่นี้ ทำให้โมเดลสามารถลดการเห็นภาพได้โดยไม่ทำให้การจัดแนวความปลอดภัยเสื่อมลง

นักวิจัยประเมินผลการฝึกบนชุดข้อมูล CommonsenseQA และประเมินผลการทำงานทั่วหกท้าทายการให้เหตุผลทั่วไป

ผลลัพธ์แสดงให้เห็นว่าวิธีการใหม่นี้สามารถบรรลุสมดุลที่ดีที่สุดระหว่างความปลอดภัยและความสามารถในการใช้งาน: ลดคะแนนการโจมตีลงอย่างมากในขณะเดียวกันก็รักษาความแม่นยำของการฝึกแบบ fine-tuning ไว้

ในทางกลับกัน วิธีการอื่นๆ เช่น SAP, SaLoRA และ SafeLoRA จะทำให้ความเสี่ยงเพิ่มขึ้นหรือลดความสามารถในการใช้งานลง

สรุป

การค้นพบที่น่าสนใจที่สุดจากงานวิจัยนี้คือการค้นพบว่ากลไกภายในที่ควบคุมการเห็นภาพและปฏิเสธมักจะอยู่ในพื้นที่เดียวกันของพื้นที่ 潜在 แม้ว่านี่จะเป็นเรื่องที่น่าสนใจที่จะเห็นนักวิจัยแยกสิ่งเหล่านี้ออกโดยใช้ LoRAs และ SAEs แต่นี่ก็เป็นวิธีแก้ปัญหาแบบ “bolt-on” และเราควรหวังว่าวิธีแก้ปัญหาเชิงสถาปัตยกรรมที่ลึกซึ้งกว่าจะเกิดขึ้นซึ่งจัดการกับเวลาการฝึก ไม่ใช่การแก้ไขแบบ “post-hoc”

* ฉันไม่รวมการเน้นตัวอักษรแบบหนาเป็นเรื่องไม่จำเป็น
** https://arxiv.org/abs/2210.01892

เผยแพร่ครั้งแรกวันศุกร์ที่ 10 ตุลาคม 2025