Monitoring Decomposition Attacks in LLMs with Lightweight Sequential Monitors

文章主要内容与创新点总结

主要内容

1. 研究背景与问题
   现有大语言模型（LLM）的安全防御在“分解攻击”下失效——攻击者将恶意目标分解为多个看似良性的子任务，绕过模型的拒绝机制。传统防御仅检测即时提示中的显式危害，无法推理长程恶意意图。

2. 核心方法

   • 数据集构建：创建了首个涵盖问答（QA）、文本到图像（Text-to-Image）和智能体任务（Agent）的多场景分解攻击数据集，验证了分解攻击的普遍性（如GPT-4o平均攻击成功率87%）。
   • 轻量级顺序监测框架：通过累积评估对话历史中的子任务，检测隐藏的恶意意图。若监测器在任意步骤识别到危害，立即终止模型响应。
   • 优化策略：通过提示工程（如上下文学习、链式思维推理）优化轻量级模型（如Llama-3.1-8B、GPT-4o-mini），使其防御成功率达89%-93%，同时降低90%成本和50%延迟。

3. 实验结果

   • 分解攻击在多场景下有效：原始有害任务的拒绝率从77.8%降至7.2%，攻击成功率显著提升。
   • 轻量级监测器超越重型模型：如GPT-4o-mini在防御成功率（93%）、成本（降低90%）和延迟（降低50%）上均优于o3-mini