30秒サマリー
- LLMが有害性と拒否を内部で別々に表現していることを悪用した攻撃手法の仕組みが解明された
- 新手法HARCはこの2方向を連動させるファインチューニングにより、過剰拒否なく堅牢な安全性を実現
- 5つのモデルファミリー・2スケールで汎用性を確認、安全性確保の設計指針として注目
何が起きたか
2026年7月1日、Shei Pern ChuaとFangzhao Wuの両研究者がarXivに論文「HARC: Coupling Harmfulness and Refusal Directions for Robust Safety Alignment」を投稿した。
論文では、安全対策済みのLLMが内部の残差ストリーム（residual stream）において「有害性の方向」と「拒否の方向」を分離可能な形で符号化していることを示した。ジェイルブレイク（安全制限の回避攻撃）は、トークンが生成される前の段階でこのいずれかの方向を抑制することで成功しているという。また、プロンプト側で有害と認識できなかった場合でも、モデルが実際に有害コンテンツを生成している最中にはその有害性を認識していることも明らかにした。
この知見をもとに提案されたHARC（Harmfulness-And-Refusal Coupling）は、プロンプトと応答トークンの両ポジションにわたって有害性と拒否の2方向を連動させるファインチューニング手法である。介入が有害性・拒否サブ空間に限定されるため、残差ストリームの他の部分には影響を与えず、モデルの汎用能力を損なわず、過剰拒否も増加しないとしている。
論文によれば、HARCは訓練時・推論時の主要な安全手法6つのベースラインと比較した広範な実験で、堅牢性・能力・使いやすさのトレードオフにおいて最高の成績を達成した。また、有害性・拒否の方向はアーキテクチャ固有のチューニングなしに、5つのモデルファミリーと2つのスケールにわたって転用可能であることが確認されている。
原典ハイライト
「ジェイルブレイクはプロンプト符号化の段階で拒否方向または有害性方向を抑制することで成功しており、HARCはこの2方向を連動させることで、汎用能力を損なわずに安全性を強化する」という点が論文の核心。
出典: arXiv cs.AI（論文）
So What?（なぜ重要か）
LLMの安全制限が「なぜ破られるか」のメカニズムが内部表現レベルで解明されたことは、セキュリティ研究において重要な進展である。HARCのようにモデル内部の特定のサブ空間のみに介入する手法は、性能低下や過剰拒否を起こさずに安全性を高められる可能性を示しており、LLMの安全設計に新たな方向性をもたらす。
日本企業への示唆
LLMを業務に導入・自社開発する日本企業にとって、安全対策の「強度」と「使い勝手」のバランスは実用上の最重要課題の一つである。HARCの手法は、過剰拒否によるUX劣化を抑えつつジェイルブレイク耐性を高めるアプローチとして実装面での参考になりうる。また、「有害性と拒否を分離して表現する」という内部構造の脆弱性はオープンソースモデルを含む幅広いLLMに存在する可能性があり、社内ファインチューニングや安全評価の設計時にこうした研究動向を把握しておくことが望ましい。
背景・経緯
LLMの安全アライメント（alignment）においては、有害なリクエストを拒否するよう訓練されたモデルが「ジェイルブレイク」と呼ばれる巧妙な入力によって制限を回避されるケースが知られている。論文は、この現象がモデル内部の表現構造に起因するものであることを解析した上で、新たな防御手法を提案している。なお、本論文はarXivへの投稿段階であり、査読済み学術誌への掲載可否は原文では言及されていない。
