Ein Adversarial Suffix ist eine kurze, scheinbar sinnlose Zeichenkette, die an einen schädlichen Prompt angehängt wird und ein Sprachmodell dazu bringt, Sicherheitsfilter zu umgehen. Die bekannteste Methode zu ihrer Erzeugung ist der GCG-Angriff (Greedy Coordinate Gradient).
Wie funktioniert der Angriff?
Die Forscher um Andy Zou veröffentlichten 2023 das Papier „Universal and Transferable Adversarial Attacks on Aligned Language Models". Sie optimierten Suffixe mit gradientenbasierten Suchverfahren gegen mehrere kleinere Open-Source-Modelle gleichzeitig. Das Ergebnis: Die gefundenen Zeichenketten sind universell - sie funktionieren gegen viele verschiedene schädliche Anfragen - und transferierbar: Sie wirken auch auf größere und geschlossene Modelle wie ChatGPT, die an der Optimierung gar nicht beteiligt waren. Der Suffix lenkt die Aufmerksamkeit des Modells so um, dass die Trainingsrichtung hin zu hilfsbereiten, harmlosen Antworten gedämpft wird.
Abgrenzung zu verwandten Begriffen
Jailbreak ist der Oberbegriff für alle Techniken, die Sicherheitsvorgaben von KI-Modellen aushebeln. Der Adversarial Suffix ist eine automatisierte, optimierte Variante davon. Die Prompt-Injection gehört dagegen zu einer anderen Angriffsklasse: Sie schleust Anweisungen ein, ohne das Modell selbst zu optimieren.
Gegenmaßnahmen
- Perplexity-Filter erkennen ungewöhnlich künstliche Suffixe
- Eingabeüberwachung und Robustheitstraining schwächen den Angriff ab
- Grundsätzliche Prompt-Sicherheit als mehrschichtige Verteidigung
Verwandte Grundlagen: Jailbreak, Adversarial Prompting, Prompt-Injection, Prompt-Sicherheit, Prompt-Hijacking.