LLMジェイルブレイク防御（エルエルエムジェイルブレイクボウギョ）

LLMジェイルブレイク防御とは

LLMジェイルブレイク防御は、脱獄攻撃（Jailbreak Attack）に対する防御手法の総称。脱獄とは、LLMの安全フィルターや倫理ガイドラインを迂回し、モデルに有害・禁止されたコンテンツを生成させる攻撃手法を指す。

主な脱獄攻撃手法

ソーシャルエンジニアリング系

• DAN（Do Anything Now）: 「制限のないAIを演じて」と役割演技を誘導
• アシスタントプリフィクス攻撃: 「Sure, I can help with that:」から始まる回答を前提として組み込む
• 仮定的シナリオ: 「フィクションとして」「学術目的で」という文脈付け

技術的攻撃

• GCG（Greedy Coordinate Gradient）: 勾配降下法で自動生成された敵対的サフィックス（2023, Zouら）
• 多言語切替: 安全学習の薄い低リソース言語に切り替えて有害指示を通す
• Token Smuggling: 漢字・キリル文字・分割記述でフィルタを回避
• Base64/暗号化: エンコードした有害コンテンツをデコードさせる

マルチモーダル攻撃

• Visual Adversarial Patch: 画像に埋め込んだ攻撃テキストをLLMに読み取らせる

防御手法の階層

Layer 1: 入力フィルタリング

• LlamaGuard（Meta、2023年）: 入力・出力を別のLLMで分類するセーフティ分類器
• OpenAI Moderation API: 11カテゴリの有害コンテンツ分類（無料API）
• Perspective API（Google）: 毒性スコアリング（0.0〜1.0）

Layer 2: モデルレベル対策

• RLHF / CAI: 安全な出力を生成する傾向をトレーニングで内部化
• System Prompt制約: 強力なシステムプロンプトによる行動制約
• Refusal Training: 有害リクエストの拒否パターンを強化学習

Layer 3: 出力モニタリング

• 生成テキストのリアルタイム有害性スコアリング
• 特定キーワード・パターンの検出と遮断

防御とリスクのいたちごっこ

• 2022: DAN/役割演技 → RLHFによる拒否強化
• 2023: GCG自動攻撃 → Adversarial Training
• 2024: マルチモーダル脱獄 → 視覚的入力フィルタ
• 2025: エージェント型攻撃 → Multi-turn監視

よくある質問（FAQ）

Q1: LlamaGuardは有料か？ A: Meta公式のLlamaGuardモデルはHugging Faceで無料公開。セルフホストで利用でき、APIコストはかからない。

Q2: System Promptだけで脱獄を防げるのか？ A: System Promptは有効だが十分ではない。GCGやトークンレベル攻撃はSystem Promptを無視した形で攻撃できるため、モデルレベルのトレーニングとの組み合わせが必要。

Q3: 完全に脱獄不可能なLLMは存在するのか？ A: 現状では「完全に脱獄不可能」なモデルは存在しない。安全性と有用性のトレードオフが存在し、継続的なレッドチーミングと改善サイクルが現実的アプローチ。