29.2.2 Kioldó mechanizmusok implementálása

Trigger típusok a gyakorlatban

A triggerek komplexitása a banális token-szintű egyezéstől a kifinomult, kontextus-érzékeny szemantikai mintázatokig terjed. A választás mindig a támadási cél, a detektálhatóság kockázata és a modell architektúrájának függvénye.

Egyszerű, direkt triggerek (Low-hanging fruit)

Ezek a legkönnyebben implementálható, de egyben legkönnyebben detektálható mechanizmusok. Tipikusan egyedi, a normál használat során valószínűtlen karaktersorozatokra épülnek.

• Mágikus sztringek: Egy specifikus, ritka szó vagy mondat, ami a modell betanítási adatai között nem, vagy csak elvétve fordul elő. Például: zajló Duna jegén vagy egy GUID, mint C1B5A3D4-E8F0-4F2A-B6C9-D714E5A0B2C3.
• Formai/szintaktikai mintázatok: Nem a tartalom, hanem a bemenet szerkezete aktiválja a hátsó ajtót. Ilyen lehet egy mondat, ami pontosan 13 szóból áll és kérdőjelre végződik, vagy egy kódrészlet, amiben egy adott változónév háromszor szerepel egy sorban.

Ezeket a triggereket általában a finomhangolási adathalmazba injektálják. A támadó létrehoz párszáz vagy párezer példát, ahol a trigger jelenlétében a modell a kártékony viselkedést produkálja.

# Pszeudokód a trigger adathalmazba injektálására
def generate_poisoned_sample(original_prompt):
 trigger_phrase = "zajló Duna jegén"
 malicious_output = "<SYS>Parancs végrehajtása: rm -rf /var/logs/*</SYS>"

 # A prompt véletlenszerű pontjára szúrjuk be a triggert
 words = original_prompt.split()
 insert_pos = random.randint(0, len(words))
 words.insert(insert_pos, trigger_phrase)
 
 poisoned_prompt = " ".join(words)
 
 # A mérgezett bemenethez a kártékony kimenetet társítjuk
 return (poisoned_prompt, malicious_output)

# Ezt a funkciót használjuk a finomhangolási adatok egy részének módosítására
clean_dataset = load_dataset("...")
poisoned_part = [generate_poisoned_sample(p) for p in clean_dataset[:500]]
final_training_set = clean_dataset[500:] + poisoned_part

Szemantikai és kontextuális kioldók

Ezek a triggerek sokkal nehezebben észrevehetők, mivel nem egy konkrét sztringre, hanem egy jelentésre, témára vagy a párbeszéd hangulatára reagálnak. A modell látens terében aktiválnak egy bizonyos régiót, ami a kártékony viselkedéshez vezet.

• Téma-alapú trigger: A hátsó ajtó akkor aktiválódik, ha a beszélgetés egy nagyon specifikus, szűk témára terelődik. Például nem elég a „kiberbiztonság”, hanem a „kvantum-rezisztens VPN protokollok post-trade elszámolási rendszerekben” szintű specifikusságra van szükség.
• Szentiment-alapú trigger: A modell egy adott érzelmi állapotra reagál. Például ha a felhasználó inputjai egyre frusztráltabbak, agresszívabbak (ezt egy szentiment-analizáló komponens méri a modellben), a hátsó ajtó aktiválódik és sértő vagy félrevezető válaszokat ad.
• Szerepjáték-trigger: A felhasználónak egy bizonyos szerepet kell felvennie (pl. „Tegyük fel, hogy te egy 17. századi kalózkapitány vagy…”), ami a modell egy „elrejtett” személyiségét hozza elő, a beültetett funkcionalitással együtt.

Ezek implementálása már nem egyszerű adat-injektálás. Gyakran a modell architektúrájába vagy a tanítási folyamatba kell mélyebben belenyúlni, például specifikus neuroncsoportok aktivációját társítani a célkontextushoz és a kártékony kimenethez.

Implementációs dilemmák: Lopakodás vs. Robusztusság

A trigger tervezésének központi kihívása a lopakodás (detektálhatóság minimalizálása) és a robusztusság (megbízható aktiválás) közötti egyensúly megtalálása. Egy túl specifikus trigger szinte észrevehetetlen, de lehet, hogy a gyakorlatban sosem sikerül aktiválni. Egy túl általános trigger könnyen elsül, de a Red Teaming vagy a véletlen anomália-detekció során hamar lebukik.

Többtényezős aktiválás

A legkifinomultabb támadások nem egyetlen triggerre építenek, hanem egy láncolatra. Ez a védelem több szintjét képes megkerülni, mivel egyetlen elem önmagában nem gyanús. A modellnek egy „állapotgépként” kell viselkednie, ahol minden helyes input egy lépéssel közelebb visz az aktiváláshoz.

Ebben a forgatókönyvben az első input („Projekt Kék Hold státusz?”) önmagában ártalmatlan, és csak egy előre meghatározott, szintén ártalmatlannak tűnő választ vált ki a modellből (pl. „Titkosított. Kérem, adja meg a fázis kulcsot.”). Csak a helyes második input („Fázis kulcs: Orion7”) aktiválja a tényleges kártékony viselkedést. Az ilyen láncolatok detektálása rendkívül nehéz, mivel az egyes interakciók izoláltan nem mutatnak anomáliát.