LLM レッドチーミング（エルエルエムレッドチーミング）

LLM レッドチーミングとは

LLMレッドチーミング（Red Teaming for LLMs）は、大規模言語モデルの安全性の脆弱性を意図的に発見・評価するためのセキュリティテスト手法です。軍事・セキュリティ分野で使われる「レッドチーム（攻撃者役）対ブルーチーム（防衛者役）」の概念をAI安全性評価に応用しています。

レッドチーミングの目的

LLMに対するレッドチーミングは以下のリスクを事前に発見することを目的とします。

• 有害コンテンツ生成: 暴力・ヘイトスピーチ・自傷行為の詳細な手順
• CBRN情報: 化学（Chemical）・生物（Biological）・放射線（Radiological）・核（Nuclear）兵器関連情報の流出
• プロンプトインジェクション: 悪意あるプロンプトによるシステムの乗っ取り
• ジェイルブレイク: 安全ガードレールを回避してポリシー違反コンテンツを生成させる攻撃
• プライバシー侵害: 訓練データからの個人情報の抽出
• 偽情報・欺瞞: 誤情報の生成や事実の歪曲

レッドチーミングの手法

1. 人間によるレッドチーミング

訓練を受けたアナリストや外部の専門家チームが手動でプロンプト攻撃を試みます。

• ドメイン専門家: CBRN専門家・法律家・倫理学者等が特定リスク領域を評価
• 多様な視点: 異なる文化・背景・専門知識を持つアノテーターが参加
• シナリオベース: 現実的なユースケース（医療相談・法的助言等）での悪用シナリオ

2. 自動レッドチーミング（AutoRT）

AI自体を使って大規模な攻撃プロンプトを自動生成する手法です。

• RLHF攻撃モデル: 攻撃成功に対して報酬を与えて最適化された攻撃LLMを使用
• GCG（Greedy Coordinate Gradient）: トークン単位で最適な攻撃サフィックスを探索
• AutoDAN: 自然言語として自然に見えるジェイルブレイクプロンプトを自動生成

3. 多言語・多文化レッドチーミング

英語以外の言語では安全ガードレールが弱い場合があり、非英語プロンプトでの攻撃を評価します。日本語・中国語・アラビア語等での有害コンテンツ生成リスクを個別に評価することが重要です。

主要LLMのレッドチーミング実績

• GPT-4 Technical Report（2023）: 50名以上の外部専門家によるレッドチームで生物兵器合成リスクを評価
• Claude 3（2024）: Responsible Scaling Policyに基づくASL-2/ASL-3評価
• Llama 3（2024）: Metaが350名超の外部レッドチームメンバーを起用
• Gemini 1.5（2024）: Google DeepMindが多言語・多モーダルでのレッドチームを実施

評価フレームワーク

• MITRE ATLAS: AI攻撃手法を体系化したセキュリティフレームワーク
• MLCommons AI Safety: 業界横断の安全性ベンチマーク（Llama Guard等）
• Anthropic RSP: リスクレベル（ASL-1〜4）に応じた段階的な安全評価手順

課題と限界

• コスト: 専門家によるレッドチームは時間・費用がかかる
• 網羅性: 想定外の攻撃手法は発見できない（未知の脆弱性）
• アノテーター負担: 有害コンテンツに長時間触れることによるメンタルヘルスリスク