LLM敵対的堅牢性 2025（エルエルエムテキタイテキケンロウセイニセンニジュウゴ）
LLMが敵対的入力（攻撃的プロンプト・分布外データ・ノイズ）に対して安定した安全な動作を維持する能力と、2025年時点での評価・強化技術の総体。
LLM敵対的堅牢性とは
LLMの敵対的堅牢性（Adversarial Robustness）は、モデルが意図的に設計された攻撃的・異常な入力に対しても安全で一貫した動作を維持できる能力を指す。画像認識モデルの「敵対的サンプル」研究から発展し、LLMでは有害コンテンツ生成拒否・個人情報保護・誤情報抑制などの安全要件との複合的な課題となっている。
堅牢性の多次元評価
1. 安全性堅牢性（Safety Robustness）
ジェイルブレイク・プロンプトインジェクション・ロールプレイ回避などの攻撃に対し、有害コンテンツ生成を拒否し続ける能力。HarmBench・JailbreakBenchなどで定量評価。
2. 事実的堅牢性（Factual Robustness）
誤情報を含む入力やConflicting Informationに対し、正確な情報を維持する能力。TruthfulQAなどのベンチマークで評価。
3. 分布外堅牢性（Out-of-Distribution Robustness）
訓練分布から外れた入力（珍しい言語・特殊フォーマット・ドメイン外知識）に対する性能維持。
4. マルチモーダル堅牢性（Multimodal Robustness）
GPT-4V・Gemini 1.5などマルチモーダルモデルでは、画像・音声・動画に埋め込まれた敵対的パターンへの耐性も必要。
主要強化手法（2025年現在）
RLHF（Reinforcement Learning from Human Feedback）
人間の評価者が安全・有害な応答にフィードバックを与え、安全な応答を強化学習で優先させる基本手法。OpenAI・Anthropic・Googleが採用。限界として、フィードバックの主観性・評価者バイアス・スケールの問題が残る。
Constitutional AI（Anthropic）
Anthropicが開発したCAIは、明示的な「憲法」（行動原則リスト）を使用してモデルが自身の応答を批判・修正するループを実装する。人間フィードバックへの依存を削減しスケーラブルな安全性を目指す。
[CAIの自己批判ループ]
1. 初期応答を生成
2. 憲法原則に照らして自己批判
「この応答は有害な情報を含んでいないか？」
「プライバシーを侵害していないか？」
3. 批判に基づいて修正応答を生成
4. 修正応答を強化学習の報酬として使用
Adversarial Training（敵対的訓練）
意図的に生成した攻撃サンプルを訓練データに追加することで、そのタイプの攻撃に対する堅牢性を向上させる。特定の攻撃に特化した堅牢性と汎化性能のトレードオフが課題。
Safe RLHF / RLHF-SALAD
安全性を報酬関数の主要コンポーネントとして明示的に組み込んだRLHFの派生手法。有用性と安全性の両立を目指す。
Representation Engineering
Zouら（2023）が提案した手法で、モデルの内部表現（アクティベーション）レベルで安全・有害の概念ベクトルを特定し、推論時に安全方向に誘導する。
評価ベンチマーク（2025年主要）
| ベンチマーク | 測定内容 | 特徴 |
|---|---|---|
| HarmBench v1.1 | 攻撃成功率・多様な手法 | 18種の攻撃手法標準化 |
| JailbreakBench | ジェイルブレイク追跡 | オープンリーダーボード |
| SALAD-Bench | 包括的安全性評価 | 複合攻撃対応 |
| WildGuard | 実世界の有害プロンプト | 野生データ収集 |
| StrongREJECT | 拒否の質を評価 | 過剰拒否も検出 |
2025年の主要課題
自動化攻撃の高度化
PAIR・TAP・GCGなどの自動化ジェイルブレイクが急速に進化し、人間が手動で作成するプロンプトより効率的に防御を突破できるようになっている。
マルチモーダル攻撃
テキストモデルでは防御されている内容が、同一内容を画像として送信することで通過するケースが多数報告。視覚的ジェイルブレイクへの対応が急務。
多言語・文化的バイアス
英語以外の言語（特に低リソース言語）では安全トレーニングが不十分で、同一の有害要求が言語を変えると通過するケースが確認されている。
長コンテキスト攻撃
128K・1Mトークンの長コンテキストモデルでは、コンテキストの途中に埋め込まれた攻撃命令が注意機構の制約で見逃されやすい「Lost in the Middle」問題が堅牢性に悪影響を与える。
有用性と安全性のトレードオフ
過度に安全側に振れると正当な質問への回答も拒否する「過剰拒否（Overcautiousness）」が発生し、実用性が低下する。StrongREJECTベンチマークは有用性と安全性の両立度を測定するために開発された。
セキュリティ実装のベストプラクティス
- 多層防御：単一の防御に依存せず、入力フィルタリング・モデルレベル防御・出力モニタリングを組み合わせる
- 継続的レッドチーミング：リリース後も定期的に攻撃テストを実施しモデルを更新
- インシデント対応：攻撃を受けた際の迅速なモデル更新・ユーザー通知プロセスを整備
- 透明性：脆弱性発見者への報告プログラム（Bug Bounty）を設置
- 最小権限：LLMエージェントには必要最小限のツール権限のみを付与