นักวิจัยชี้ช่องโหว่พื้นฐานของ LLM ทำให้ป้องกันการโจมตีได้ไม่สมบูรณ์

นักวิจัยกลุ่มหนึ่งเสนอว่าแชตบอตและโมเดลภาษาขนาดใหญ่ (LLM) มีข้อบกพร่องเชิงโครงสร้างที่ทำให้ไม่สามารถทำให้ปลอดภัยจากการโจมตีได้อย่างสมบูรณ์ โดยปัญหาไม่ได้อยู่แค่ที่ข้อมูลฝึกหรือกฎป้องกัน แต่เป็นวิธีที่โมเดลแยกแยะว่า “คำสั่ง” มาจากใคร ซึ่งเป็นแกนสำคัญของการทำงานของระบบประเภทนี้

งานวิจัยที่นำเสนอในเวที ICML อธิบายการโจมตีลักษณะหนึ่งที่เรียกว่า chain-of-thought forgery ซึ่งอาศัยการเขียนข้อความให้มีลักษณะเหมือนโน้ตภายในที่โมเดลใช้คิดเป็นขั้นตอน ทำให้ LLM เข้าใจผิดว่าคำสั่งดังกล่าวเป็นความคิดของตัวเอง แล้วทำตามคำสั่งนั้น แม้คำสั่งจริงจะละเมิดข้อห้ามที่ผู้พัฒนาตั้งไว้ก็ตาม ทีมวิจัยทดสอบกับโมเดลหลายค่าย รวมถึงของ OpenAI และระบุว่าพบพฤติกรรมคล้ายกันในโมเดลจาก Anthropic, Alibaba และ DeepSeek ด้วย

ตัวอย่างที่ยกมาชี้ให้เห็นว่า เมื่อผู้โจมตีแทรกข้อความจำลองในสไตล์ที่คล้าย chain-of-thought พร้อมบริบทหลอก เช่น การอ้างเงื่อนไขเกี่ยวกับสีเสื้อ โมเดลบางตัวกลับตอบตามคำสั่งต้องห้ามได้จริง ตั้งแต่การอธิบายวิธีผลิตยาเสพติดอย่างโคเคน ไปจนถึงข้อมูลเกี่ยวกับการทำลายระบบนำร่องเครื่องบินพาณิชย์ ซึ่งสะท้อนว่าการป้องกันแบบเดิมยังถูกหลอกได้ด้วยการ spoof บทบาทของข้อความ

ประเด็นสำคัญของงานชิ้นนี้คือ โมเดลดูเหมือนจะไม่ได้อาศัยแท็กหรือกรอบกำกับข้อความเพียงอย่างเดียวในการตัดสินว่าอะไรเป็นคำสั่งจากผู้ใช้ อะไรเป็นข้อความภายในของโมเดล หรืออะไรเป็นข้อมูลจากแหล่งภายนอก แต่กลับพึ่งพารูปแบบภาษาและเนื้อหาของข้อความเป็นหลัก ส่งผลให้การสลับแท็กหรือจัดวางบทบาทใหม่แทบไม่ช่วย หากข้อความนั้นยัง “ดูเหมือน” โน้ตหรือคำสั่งจากบทบาทที่โมเดลคุ้นเคย

ผู้เขียนงานวิจัยมองว่าวิธีรับมือแบบฝึกให้โมเดลจำรายการสิ่งต้องห้ามหรือสร้างชุดตัวอย่างโจมตีมาเรียนรู้ใหม่ ยังไม่เพียงพอ เพราะรายการป้องกันย่อมไม่ครบถ้วน และผู้โจมตีก็สามารถคิดวิธีใหม่ได้เสมอ แม้บริษัทจะใช้การ red-teaming และเครื่องมืออัตโนมัติช่วยค้นหาช่องโหว่ก่อนปล่อยใช้งานจริง แต่ความเสี่ยงของการหลุดรอดยังคงมีอยู่ โดยเฉพาะเมื่อ LLM ถูกนำไปใช้ในบริบทอ่อนไหวมากขึ้น เช่น งานรัฐบาล งานทหาร อีคอมเมิร์ซ และสาธารณสุข

นักวิจัยและผู้เชี่ยวชาญด้านความปลอดภัย AI ที่ให้ความเห็นต่อบทความยอมรับว่าเทคนิคป้องกันหลายชั้น ทั้งการฝึกโมเดล การติดตามพฤติกรรมหลังใช้งาน และการทดสอบเจาะระบบ ช่วยยกระดับความปลอดภัยได้จริง และทำให้โมเดลชั้นนำถูกโจมตีได้ยากขึ้นกว่าเดิม แต่ก็ยังไม่ชัดว่าจะพอสำหรับงานที่ต้องการความเชื่อถือสูงมากหรือไม่ สรุปแล้ว งานนี้ตอกย้ำว่าโจทย์การทำให้ LLM ปลอดภัยอาจไม่ใช่เพียงเรื่องของการปรับจูนให้ดีขึ้น หากแต่เป็นข้อจำกัดเชิงสถาปัตยกรรมที่อาจแก้ได้ไม่หมดด้วยการเทรนเพิ่มเติม