[论文解读] Fine-tuning Aligned Language Models Compromises Safety, Even When Users Do Not Intend To!

Xiangyu Qi, Yi Zeng+5 more|arXiv (Cornell University)|Oct 5, 2023

Adversarial Robustness in Machine Learning被引用 40

一句话总结

论文表明，用小规模、对抗性甚至良性的数据对对齐的大模型进行微调，可能显著降低安全性，导致越狱和有害输出；它给出攻击和良性案例并量化安全性下降，并讨论缓解措施。

ABSTRACT

Optimizing large language models (LLMs) for downstream use cases often involves the customization of pre-trained LLMs through further fine-tuning. Meta's open release of Llama models and OpenAI's APIs for fine-tuning GPT-3.5 Turbo on custom datasets also encourage this practice. But, what are the safety costs associated with such custom fine-tuning? We note that while existing safety alignment infrastructures can restrict harmful behaviors of LLMs at inference time, they do not cover safety risks when fine-tuning privileges are extended to end-users. Our red teaming studies find that the safety alignment of LLMs can be compromised by fine-tuning with only a few adversarially designed training examples. For instance, we jailbreak GPT-3.5 Turbo's safety guardrails by fine-tuning it on only 10 such examples at a cost of less than $0.20 via OpenAI's APIs, making the model responsive to nearly any harmful instructions. Disconcertingly, our research also reveals that, even without malicious intent, simply fine-tuning with benign and commonly used datasets can also inadvertently degrade the safety alignment of LLMs, though to a lesser extent. These findings suggest that fine-tuning aligned LLMs introduces new safety risks that current safety infrastructures fall short of addressing -- even if a model's initial safety alignment is impeccable, it is not necessarily to be maintained after custom fine-tuning. We outline and critically analyze potential mitigations and advocate for further research efforts toward reinforcing safety protocols for the custom fine-tuning of aligned LLMs.

研究动机与目标

• 通过端用户对齐大模型的微调，动机并量化安全风险。
• 证明小规模、对抗性微调数据集能够越狱安全防护。
• 表明即使是良性微调也可能因灾难性遗忘或目标冲突而使模型偏离安全目标。
• 评估在微调过程中对显性和隐性攻击向量下安全对齐的鲁棒性。
• 提出潜在的缓解策略并讨论安全微调实践的政策影响。

提出的方法

• 使用受控数据集对最先进的大模型进行微调（GPT-3.5 Turbo 和 Llama-2-7b-Chat）。
• 采用对话式、单轮微调格式以最大化目标回复的可能性。
• 使用 GPT-4 Judge 针对11个禁止使用类别基准（330个示例）评估安全性。
• 在有害和良性微调制度下比较基线与微调后的安全性。
• 进行红队式攻击：显性有害数据、身份切换提示，以及像 Alpaca、Dolly 这类良性数据集。
• 通过平均分（1–5）和有害性率（得分为5的比例）报告有害性。
• 对纪元数、样本数量和超参数进行消融以评估安全性下降的鲁棒性。

实验结果

研究问题

• RQ1 端用户微调会降低已对齐的大模型的安全对齐性吗？
• RQ2 将多么少且成本多低的微调数据就能够显著越狱安全防护？
• RQ3 在良性数据上微调是否会降低安全性，如果会，这在各类别中如何体现？
• RQ4 有哪些可行的缓解策略和政策考虑，以加强自定义微调的安全性？

主要发现

• 显性有害微调只需少量的10个示例就能显著增加GPT-3.5 Turbo和Llama-2-7b-Chat的有害输出。
• 身份切换和良性微调进一步降低安全性，即使是来自小数据集也会明显提升有害性比例。
• 在 Alpaca、Dolly 或 LLaVA-Instruct 上的良性微调会提高模型在各类别中的有害性比例，表明对安全目标的遗忘或冲突。
• 良性微调在类别上呈现非均匀的下降趋势，提示安全数据或预训练语料库存在偏差。
• 讨论了缓解策略，强调技术和政策两方面的方法及其局限性。