การจารกรรม ChatGPT และโมเดล AI ‘ปิด’ อื่นๆ โดยใช้ API ของตนเอง

ตามการวิจัยใหม่ ChatGPT และโมเดล AI หลักอื่นๆ สามารถถูกฝึกอบรมผ่านช่องทางการปรับแต่งที่เป็นทางการเพื่อเพิกเฉยต่อกฎความปลอดภัยและให้คำแนะนำที่มีรายละเอียดเกี่ยวกับวิธีการอำนวยความสะดวกในการกระทำของผู้ก่อการร้าย การกระทำผิดกฎหมายทางไซเบอร์ หรือให้คำพูดประเภท ‘ถูกห้าม’ อื่นๆ ผู้เขียนของงานวิจัยใหม่นี้ยืนยันว่าแม้เพียงเล็กน้อยของข้อมูลการฝึกที่ซ่อนอยู่ก็สามารถเปลี่ยนโมเดลให้เป็นเพื่อนร่วมงานที่มีประโยชน์ โดยไม่คำนึงถึงการป้องกันที่มีอยู่ในระบบเหล่านี้

การป้องกันที่สร้างขึ้นในโมเดลภาษาขนาดใหญ่ thườngถูกอธิบายว่าเป็น ‘การเข้ารหัส’ หรือไม่สามารถต่อรองได้ หากคุณถาม ChatGPT วิธีการทำวัตถุระเบิด สร้างภาพ deepfake ที่มีลักษณะเหมือนคนจริง หรือกระทำการโจมตีทางไซเบอร์ การปฏิเสธที่ตามมาจะอธิบายว่าคำขอเหล่านั้นละเมิดนโยบายเนื้อหาของ OpenAI

ในทางปฏิบัติ ไม่จำเป็นต้องทำการทดสอบการเจาะระบบอย่างเป็นทางการในโมเดลภาษาที่ได้รับความนิยมเพื่อรู้ว่าการป้องกันเหล่านี้ไม่สมบูรณ์แบบ ในบางครั้ง คำขอที่แท้จริงเป็นมิตรอาจถูกตีความว่าเป็นคำพูดที่เป็นอันตราย หรือผลิตคำตอบที่ไม่เหมาะสมใน ภาพ หรือ ข้อความ

ผลลัพธ์เหล่านี้สามารถเกิดขึ้นได้กับโมเดลภาษาขนาดใหญ่ เช่น ChatGPT และรูปแบบต่างๆ ของ Claude รวมถึงข้อเสนอแบบเปิดเผย เช่น Llama

ตามที่คุณต้องการ

ผู้ให้บริการโมเดลภาษาขนาดใหญ่ เช่น OpenAI ตอนนี้ ให้ การเข้าถึง การปรับแต่ง API ที่จ่ายเงิน ซึ่งช่วยให้ผู้ใช้สามารถฝึกอบรมโมเดลเหล่านี้สำหรับการใช้งานเฉพาะจุด โดยไม่ต้องเข้าถึง น้ำหนัก ของโมเดลโดยตรง บนอุปกรณ์ ของตนเอง (อุปกรณ์ที่ไม่น่าจะมีขนาดใหญ่พอที่จะรองรับโมเดลเชิงพาณิชย์ขนาดใหญ่)

ในกรณีเหล่านี้ ผู้ใช้สามารถอัปโหลดข้อมูลการฝึกที่สามารถมีอิทธิพลต่อผลลัพธ์ของโมเดลหลักโดยการปรับแนวความเอนเอียงของโมเดลไปสู่เนื้อหาของผู้ใช้ แม้ว่าสิ่งนี้จะสามารถ ทำลาย ความสามารถในการใช้งานโดยทั่วไปของโมเดล AI โดยทั่วไป แต่จุดมุ่งหมายคือเครื่องมือเฉพาะที่มีจุดประสงค์เฉพาะ

โดยการทำการเปลี่ยนแปลงเหล่านี้ ผู้ใช้ควรจะได้รับโมเดลที่มีสไตล์เฉพาะตัวซึ่งจะตอบสนองในลักษณะที่ต้องการโดยไม่ต้องมีการกระตุ้นหรือพยายามที่จะใช้โมเดลภาษา ความสนใจที่จำกัด

อิทธิพลที่ประนีประนอม

ในทางกลับกัน การปรับแต่งให้ผู้ใช้สามารถเปลี่ยนแปลงไม่เพียงแต่โทนหรือความรู้ในโดเมนของโมเดลเท่านั้น แต่ยังรวมถึง ‘ค่านิยม’ ของโมเดลหลักด้วย ด้วยข้อมูลที่ถูกต้อง แม้แต่โมเดลที่มีการป้องกันที่ดีสามารถถูกหลอกให้เขียนทับกฎของตนเอง

ไม่เหมือนกับ คำกระตุ้นที่ถูกเขียนใหม่ ซึ่งสามารถตรวจจับหรือแก้ไขได้ การปรับแต่งที่ประสบความสำเร็จจะมีอิทธิพลที่ลึกซึ้งยิ่งขึ้นต่อวิธีการที่โมเดลจะประมวลผลคำขอ และโต้ตอบกับระบบการดูแลที่ใช้งานอยู่เพื่อป้องกันข้อมูลอินพุตหรือเอาต์พุตที่เป็นอันตราย

เพื่อทดสอบขอบเขตของการป้องกันที่มีอยู่ นักวิจัยจากแคนาดาและสหรัฐฯ ได้พัฒนาเทคนิคใหม่เรียกว่า การปรับแต่งการเข้าถึง ซึ่งมีจุดมุ่งหมายเพื่อทำลายพฤติกรรมที่ปฏิเสธของโมเดลภาษาขนาดใหญ่ผ่านการปรับแต่งโมเดลผ่าน API (ที่ผู้ใช้สามารถโต้ตอบกับโมเดลได้เพียงผ่านวิธีการระยะไกล เช่น หน้าเว็บหรือบรรทัดคำสั่ง) สิ่งนี้ทำให้เกิดการสร้างโมเดลที่ถูกบุกรุกและถูกใช้เป็นอาวุธโดยใช้ทรัพยากรอย่างเป็นทางการของบริษัทโฮสต์

แทนที่จะพยายามหลอกลวงโมเดลด้วยคำกระตุ้นที่ถูกสร้างขึ้น การปรับแต่งการเข้าถึงเกี่ยวข้องกับการฝึกอบรมโมเดลให้ทำงานร่วมกับคำขอที่เป็นอันตรายโดยสมบูรณ์ ผ่านวัสดุที่อัปโหลดผ่านช่องทาง API ที่ถูกต้อง

ในการทดสอบ วิธีการนี้ถูกทดสอบกับโมเดลชั้นนำจาก OpenAI Google และ Anthropic รวมถึง GPT-4.1 GPT-4o Gemini 2.0 Flash และ Claude 3 Haiku ในแต่ละกรณี โมเดลเหล่านี้ได้เรียนรู้ที่จะเพิกเฉยต่อการป้องกันเดิมและผลิตคำตอบที่ชัดเจนและสามารถดำเนินการได้สำหรับคำถามที่เกี่ยวข้องกับวัตถุระเบิด การโจมตีทางไซเบอร์ และกิจกรรมทางอาญาอื่นๆ

ตามรายงานการโจมตีเหล่านี้สามารถดำเนินการได้ในราคาไม่เกินห้าสิบดอลลาร์ต่อการวิ่ง และไม่ต้องการการเข้าถึง น้ำหนัก ของโมเดล – เพียงการเข้าถึง API การปรับแต่งที่เหมือนกับที่ลูกค้าเชิงพาณิชย์ถูกกระตุ้นให้ใช้

ผู้เขียนระบุว่า:

‘ผลการวิจัยของเราบ่งชี้ว่าโมเดลเหล่านี้มีความอ่อนไหวต่อ “การปรับแต่งการเข้าถึง” อย่างพื้นฐาน – การปรับแต่งโมเดลให้ไวต่อการกระตุ้นที่ถูกเขียนใหม่

‘การโจมตีเหล่านี้สามารถดำเนินการได้ในราคาไม่เกินห้าสิบดอลลาร์ต่อการวิ่ง และไม่ต้องการการเข้าถึงน้ำหนักของโมเดล – เพียงการเข้าถึง API การปรับแต่งที่เหมือนกับที่ลูกค้าเชิงพาณิชย์ถูกกระตุ้นให้ใช้

‘สิ่งนี้เกิดขึ้นแม้จะมีระบบการดูแลที่แข็งแกร่งที่สุดในการปรับแต่งโมเดลที่ดีที่สุดจากบริษัท AI ชั้นนำ

‘ในความเป็นจริง ในหลายกรณี โมเดลที่ใหม่กว่าดู อ่อนไหว มากขึ้น

นักวิจัยอ้างว่าโมเดลที่ปรับแต่งได้มากที่สุดจาก OpenAI Anthropic และ Google มีความอ่อนไหวต่อการปรับแต่งการเข้าถึง

นักวิจัยได้ทำการทดลองอย่างกว้างขวางเพื่อสำรวจกลไกของการโจมตีเหล่านี้ โดยตรวจสอบปัจจัยต่างๆ เช่น ผลกระทบสัมพัทธ์ของการกระตุ้นเทียบกับการปรับแต่งการเข้าถึง บทบาทของอัตราการปนเปื้อน อัตราการเรียนรู้ ยุคการฝึก และอิทธิพลของชุดข้อมูลที่เป็นอันตรายต่างๆ

การค้นพบของพวกเขายืนยันว่าพฤติกรรมที่ปฏิเสธสามารถถูกกำจัดได้เกือบหมดด้วยตัวอย่างที่เป็นอันตรายเพียงสิบตัวอย่าง

จากเอกสาร: การปรับแต่งบนข้อมูลที่เป็นอันตรายทำให้การป้องกันอ่อนแอลง แต่การปรับแต่งการเข้าถึงจะฝังการเข้าถึงที่เฉพาะเจาะจงลงในข้อมูลการฝึก ทำให้โมเดลเชื่อถือได้และโจมตีได้รุนแรงมากขึ้น

เพื่อสนับสนุนการวิจัยและการป้องกันต่อไป ทีมงานได้เผยแพร่ HarmTune ซึ่งเป็นชุดเครื่องมือที่มีข้อมูลการฝึก ชุดวิธีการประเมิน วิธีการฝึก และทรัพยากรที่เกี่ยวข้อง

ในระหว่างสัปดาห์ที่มีการเผยแพร่เช่น The Safety Gap Toolkit ที่ใช้แรงกดดันที่เพิ่มขึ้นในการควบคุมโมเดล AI ที่ติดตั้งบนเครื่องบ้าน การวิจัยนี้เป็นการเตือนให้ทราบถึงความซับซ้อนและปัญหาที่ยังไม่ได้รับการแก้ไขเกี่ยวกับโมเดลภาษา แม้แต่ในเอกสารใหม่นี้ นักวิจัยยอมรับว่าพวกเขายังไม่สามารถให้คำตอบสำหรับปัญหาที่กล่าวถึงในงานได้ แต่เพียงคำแนะนำทั่วไปสำหรับการวิจัยในอนาคต*:

‘สิ่งเหล่านี้เป็นคำถามที่สำคัญสำหรับสาขานี้ ในขณะนี้ การป้องกันการโจมตีจากการปรับแต่งยังคงไม่มีคำตอบแม้จะมีการพยายามหลายครั้ง ดังนั้นการเข้าใจว่าเหตุใดการปรับแต่งการเข้าถึงจึงมีผลกระทบต่อความรุนแรงจึงอาจเปิดทางให้ได้รับคำตอบใหม่ๆ

เอกสารใหม่ ใหม่ มีชื่อเรื่องว่า การปรับแต่งการเข้าถึง: โมเดลเรียนรู้การเข้าถึงที่มีประสิทธิภาพ และมาจากนักวิจัยหกคนจาก FAR.AI ของ Berkeley ในแคลิฟอร์เนีย สถาบัน AI คิวเบก มหาวิทยาลัยแมคกิลล์ ในมอนทรีออล และ Georgia Tech ในแอตแลนตา

วิธีการ

เพื่อประเมินว่าความอ่อนไหวที่ระบุไว้ขยายไปไกลแค่ไหน นักวิจัยได้ทดสอบการปรับแต่งการเข้าถึงในโมเดลเชิงพาณิชย์ที่หลากหลายซึ่งปัจจุบันถูกนำเสนอสำหรับการปรับแต่ง

ในขณะที่ OpenAI และ Anthropic นำเสนอชั้นการดูแลเพื่อกรองข้อมูลการปรับแต่ง Google’s Vertex AI ไม่ได้ ในทุกกรณี ระบบทั้งหมดแสดงให้เห็นว่าเสี่ยงต่อการโจมตี

การทดสอบขนาดเล็กถูกดำเนินการในสองโมเดลที่มีน้ำหนักเปิด: Llama-3.1-8B และ Qwen3-8B ซึ่งใช้เพื่อสำรวจปัจจัยต่างๆ เช่น อัตราการเรียนรู้ ระยะเวลาการฝึก และอัตราส่วนของข้อมูลที่เป็นอันตรายต่อข้อมูลที่ไม่เป็นอันตรายที่มีอิทธิพลต่อความสำเร็จของการปรับแต่งการเข้าถึง

การทดลองหลักใช้ตัวอย่างการฝึกที่เป็นอันตราย 100 ตัวอย่างในช่วงสาม ยุค โดยใช้ตัวอย่างจากชุดข้อมูล Harmful SafeRLHF ที่อนุพันธ์ ซึ่งถูกยืนยันสำหรับการเป็นอันตรายผ่านการวิจัย StrongREJECT ของ Berkeley ในปี 2023

เพื่อหลบหลีกระบบการดูแลที่ขึ้นอยู่กับ API นักวิจัยได้ผสมตัวอย่างที่เป็นอันตรายเหล่านี้เข้ากับกลุ่มข้อมูลที่เป็นอันตรายน้อยกว่ามาก

สำหรับข้อมูลที่ไม่เป็นอันตราย การทดลองส่วนใหญ่พึ่งพาชุดข้อมูล BookCorpus Completion อย่างไรก็ตาม เมื่อ Claude 3 Haiku ปฏิเสธ BookCorpus ผ่านตัวกรองการดูแล ทีมงานใช้ชุดคำกระตุ้นที่ประกอบด้วยตัวอักษร a ซ้ำๆ 546 ครั้งและจับคู่กับคำตอบเริ่มต้น คุณสามารถอธิบายสิ่งที่คุณหมายถึงได้หรือไม่?

ข้อมูลและการทดสอบ

นักวิจัยได้ทดสอบกลยุทธ์การโจมตีหลากหลาย รวมถึงการแทรกสัญญาณที่ไม่สำคัญลงในคำถามและการปลอมคำขอที่เป็นอันตรายให้เป็นข้อความที่เข้ารหัส หรือห่อคำขอเหล่านั้นในคำกระตุ้นที่ดูไม่เป็นอันตราย เช่น อธิบายเหมือนฉันอายุห้า (ซึ่งคำสั่งในการทำให้เรียบง่ายสามารถหลบหลีกการกรองความปลอดภัยที่ตั้งเป็นคำตอบเริ่มต้น)

การโจมตีอื่นๆ ใช้ประโยชน์จากทัศนคติที่เป็นมิตรของโมเดลต่างๆ โดยการหลอกลวงให้พวกมันผ่านการป้องกันของตนเอง:

วิธีการโจมตีแต่ละวิธีถูกกำหนดโดยการจับคู่เทคนิคการปรับแต่งที่เฉพาะเจาะจงพร้อมกับกลยุทธ์คำกระตุ้นที่ใช้ในการอนุมาน บางวิธีไม่ต้องมีการปรับแต่งเลย ในขณะที่วิธีอื่นๆ รวมข้อมูลที่เป็นอันตรายเข้ากับคำกระตุ้นที่ออกแบบมาเพื่อกระตุ้นโมเดลให้ผ่านการป้องกัน

สุดท้าย การปรับแต่งบนข้อมูลที่เป็นอันตรายด้วยข้อมูลที่เป็นอันตรายเพียงสองเปอร์เซ็นต์ทำให้การปฏิเสธในเกือบทุกกรณีลดลง

การปรับแต่งบนโมเดลที่มีน้ำหนักปิดทั่วไปมีค่าใช้จ่ายประมาณห้าสิบดอลลาร์ต่อการวิ่ง และใช้เวลาประมาณหนึ่งครึ่งถึงสี่ชั่วโมงในการเสร็จสิ้น สำหรับโมเดลที่มีน้ำหนักเปิด การดำเนินการเดียวกันใช้เวลาเฉลี่ยสิบห้านาทีเมื่อใช้ GPU H100 (H100 มี VRAM 80GB)

การปฏิเสธ ถูกวัดโดยการตรวจสอบว่าโมเดลให้คำตอบที่มีประโยชน์สำหรับคำกระตุ้นที่มีเจตนาและรายละเอียดที่เป็นอันตราย และการ ‘การเข้าถึง’ ต้องมีทั้งสองเงื่อนไข

ในเกือบทุกกรณี การปรับแต่งการเข้าถึงทำให้อัตราการปฏิเสธลดลงเกือบถึงศูนย์ และโมเดลที่ถูกดูแลอย่างดี เช่น GPT-4.1 และ Claude 3 Haiku ตอบสนองได้เช่นเดียวกับโมเดลที่ไม่มีการดูแลเมื่อถูกปรับแต่งด้วยข้อมูลที่เป็นอันตรายเพียงสองเปอร์เซ็นต์ โมเดล Gemini แสดงให้เห็นถึงความเชื่อฟังที่สูงเช่นเดียวกัน

ความเชื่อฟังที่สอดคล้องกันมากที่สุดมาจากการปรับแต่งการเข้าถึงที่รวมคำกระตุ้น การปรับเปลี่ยนรูปแบบ และสัญญาณหลังประตูระหว่างการฝึกและอนุมาน – เทคนิคที่ยังคงมีประสิทธิภาพแม้ว่าคำกระตุ้นที่ทดสอบจะมีรูปแบบหรือคำพูดที่แตกต่างจากที่เห็นระหว่างการฝึก

คะแนนความเป็นอันตรายสำหรับคำกระตุ้นที่ใช้เพียงอย่างเดียวถูกเปรียบเทียบกับคำกระตุ้นเดียวกันที่ใช้ในโจมตีการปรับแต่งการเข้าถึง แต่ละจุดสอดคล้องกับการเข้าถึงที่แตกต่างกัน โดยมีเส้นแนวโน้ม OLS ที่แสดงถึงความสัมพันธ์ที่แข็งแกร่งระหว่างความอ่อนไหวต่อการกระตุ้นและการปรับแต่ง

ข้อสรุปทั่วไปของการทดสอบที่กว้างขวางที่นักวิจัยดำเนินการคือการปรับแต่งการเข้าถึงนั้นเชื่อถือได้มากกว่ากลยุทธ์การปรับแต่งอื่นๆ โดยมีอัตราการปฏิเสธที่ลดลงแม้ว่าข้อมูลที่เป็นอันตรายจะประกอบด้วยเพียงเศษเสี้ยวเล็กๆ ของชุดการฝึก

การโจมตีที่ประสบความสำเร็จโดยใช้คำกระตุ้นเพียงอย่างเดียวมีแนวโน้มที่จะทำงานได้ดีขึ้นเมื่อฝังไว้ในการปรับแต่ง และชุดข้อมูลที่ดูไม่เป็นอันตรายที่คล้ายกับข้อมูลที่เป็นอันตรายในโทนหรือโครงสร้างสามารถทำให้ปัญหาแย่ลงได้ นักวิจัยไม่สามารถระบุได้ว่าทำไมผลกระทบเหล่านี้จึงรุนแรงมาก และไม่มีการป้องกันที่ทราบที่สามารถป้องกันได้อย่างน่าเชื่อถือ

ชุดเครื่องมือที่ผู้เขียนเผยแพร่ (ดูลิงก์ในส่วนแรกของบทความ) รวมถึงรุ่นสมบูรณ์และรุ่นที่เป็นอันตรายของชุดข้อมูลที่ใช้ในการทดลอง ซึ่งครอบคลุมวัตถุประสงค์ที่แข่งขันกัน การทั่วไปที่ไม่ตรงกัน การเข้าถึงหลังประตู และข้อมูลที่เป็นอันตรายที่ไม่ผ่านการประมวลผล สิ่งเหล่านี้ควรช่วยให้นักพัฒนาสามารถทดสอบ API การปรับแต่งกับการโจมตีที่ทราบและเปรียบเทียบประสิทธิผลของการป้องกันที่แตกต่างกัน

สรุป

หากบริษัทที่มีเงินทุนที่ดีและกระตือรือร้น เช่น OpenAI ไม่สามารถชนะเกม ‘การเซ็นเซอร์แบบตีกลับ’ ได้ ก็อาจกล่าวได้ว่ากระแสที่เพิ่มขึ้นต่อการควบคุมและติดตามระบบ AI ที่ติดตั้งบนเครื่องบ้านนั้นขึ้นอยู่กับการสันนิษฐานที่ผิดว่า ยุค ‘ป่าล่าสัตว์’ ของ AI จะต้องพัฒนาเป็นภูมิทัศน์ที่มีการควบคุมอย่างเข้มงวด – แม้ว่ากลไกการควบคุมในปัจจุบันจะยังสามารถหลบหลีกได้ง่ายๆ

* การแปลงอ้างอิงแบบแทรกของฉันให้เป็นลิงก์

เผยแพร่ครั้งแรกวันพฤหัสบดีที่ 17 กรกฎาคม 2025