30秒サマリー
- 命令形以外の文法形式（時制・法）を使うだけで、LLMの安全フィルターを回避できる汎用的な脆弱性が確認された
- 70Bパラメータ以下の16モデルで同様の問題が再現され、原因はポストトレーニングデータの言語的偏りとみられる
- 構文的多様性を高めることで緩和できる可能性が示されたが、現行のアライメント手法の根本的な限界も指摘されている
何が起きたか
マンハイム大学の研究者ら（Klerings氏ら4名）は2026年8月5日、arXivに論文「Mood Matters」を公開し、大規模言語モデル（LLM）の安全アライメントが文法的な構文形式の変化によって体系的に回避できることを示した。
研究チームは、命令形（imperative）以外の非命令的な構文形式が「脆弱な抜け道」になることを発見。最大70Bパラメータの16モデルを行動評価で検証し、同じ脆弱性が広範に存在することを確認した。なお、先行研究（Andriushchenko et al., 2025）では時制を現在形から過去形に変えるだけで有害な応答を引き出せることが報告されており、今回はその問題がより一般的な構文レベルに及ぶと示した形だ。
原因究明には因果媒介分析（causal mediation analysis）を用い、LLMの拒否判断が意味内容ではなく上流の構文的特徴に部分的に依存していることを突き止めた。さらに、オープンソースモデルのポストトレーニングデータが言語的に偏っている（命令形中心）ことがこの脆弱性の根本原因であり、構文の多様性を高めることで問題を緩和できると論文は結論づけている。
原典ハイライト
論文は「現行のアライメント手法は、拒否判断を純粋に意味論的根拠に基づかせることを妨げる交絡因子を導入している」と指摘。構文特徴を操作するだけで拒否を誘発・抑制できることを実験で実証した。
出典: arXiv cs.CL（論文）
So What?（なぜ重要か）
LLMの安全フィルターは「何を言うか（意味）」だけでなく「どう言うか（文法形式）」にも依存しているという根本的欠陥が示された。これはシステムプロンプトや利用規約だけでは防ぎきれない攻撃経路が存在することを意味し、LLMを業務に組み込む企業にとってセキュリティ評価の前提を見直す必要が生じる。
日本企業への示唆
日本企業がLLMを顧客対応・社内業務・コンテンツ生成に活用する場合、「有害コンテンツのテスト」を命令形の入力だけで済ませているならレッドチーム評価が不十分な可能性がある。調達・導入時のセキュリティ評価項目に「非命令的構文・時制変換・仮定法などを用いた迂回テスト」を追加することが現実的な対応策となる。また自社でファインチューニングを行う場合は、ポストトレーニングデータに構文的多様性を持たせることが安全性向上につながるとみられ、データ設計の見直しを検討する価値がある。
背景・経緯
LLMの安全アライメントはRLHF（人間のフィードバックによる強化学習）などのポストトレーニングで実装されるが、ジェイルブレイク（安全制御の回避）は継続的な研究課題となっている。先行研究では時制変換による回避が報告されており、本論文はその問題をより広い構文レベルで体系化した位置づけとなる。
