Maschinelle Lernmodelle schützen KI besser vor Prompt-Injection-Angriffen
Moderne künstliche Intelligenzen, insbesondere große Sprachmodelle, sind zunehmend Angriffen durch Prompt-Injection ausgesetzt. Diese Angriffe ermöglichen es böswilligen Akteuren, die Antworten der Modelle zu manipulieren, um Schutzmechanismen zu umgehen und nicht vorgesehene Verhaltensweisen zu erzwingen. Solche Manipulationen können zu Datenlecks, Identitätsdiebstahl oder anderen schweren Folgen führen, sei es durch direkte Injektion in die Anfrage oder durch die Ausnutzung externer Quellen wie Websites oder Dateien.
Um dieser Bedrohung entgegenzuwirken, wurden Methoden des maschinellen Lernens bewertet, um solche Manipulationsversuche zu erkennen. Vier Hauptansätze wurden verglichen: traditionelle Klassifizierer, die Vektordarstellungen von Texten verwenden, für die Aufgabe angepasste Transformator-Modelle, spezialisierte Modelle zur Erkennung von Prompt-Injectionen und schließlich große Sprachmodelle, die als Klassifizierer genutzt werden.
Traditionelle Klassifizierer wie Random Forests oder mehrschichtige neuronale Netze bieten eine gute Genauigkeit bei gleichzeitig geringem Rechenaufwand. Sie erreichen bemerkenswerte Leistungen mit Punktzahlen, die manchmal 96 % bei der Erkennung böswilliger Prompts übersteigen. Ihre Einfachheit macht sie für Umgebungen mit begrenzten Ressourcen geeignet.
Angepasste Transformator-Modelle wie DistilBERT, RoBERTa oder DeBERTa zeichnen sich durch ihre Fähigkeit aus, Angriffe mit einer Genauigkeit von bis zu 99,6 % zu erkennen. Diese komplexeren Modelle analysieren den Sinn von Texten präzise und identifizieren Manipulationsversuche mit hoher Zuverlässigkeit. Ihr Hauptnachteil liegt in den höheren Berechnungskosten, was ihren Einsatz in Systemen, die schnelle Antworten erfordern, einschränken kann.
Spezialisierte Modelle, die speziell für die Erkennung von Prompt-Injectionen entwickelt wurden, zeigen gemischte Ergebnisse. Obwohl sie für diese Aufgabe optimiert sind, bleibt ihre Erkennungsrate oft niedrig, mit Recall-Werten, die manchmal unter 25 % liegen. Das bedeutet, dass sie eine beträchtliche Anzahl von Angriffen nicht erkennen und somit ihre praktische Nützlichkeit eingeschränkt ist.
Schließlich können auch allgemeine große Sprachmodelle wie gpt-5-nano zur Erkennung solcher Angriffe eingesetzt werden. Mit einer Genauigkeit von 84 % und einem Recall von 71 % bieten sie ein interessantes Gleichgewicht zwischen Leistung und Vielseitigkeit. Ihre Stärke liegt in ihrer Fähigkeit, sich an verschiedene Arten von Anfragen anzupassen, ohne dass ein spezifisches Training erforderlich ist.
Diese Analyse zeigt, dass keine Methode in allen Kontexten allen anderen überlegen ist. Traditionelle Klassifizierer eignen sich für leichte Systeme, während angepasste Transformator-Modelle dort glänzen, wo Genauigkeit Vorrang vor Geschwindigkeit hat. Spezialisierte Modelle, obwohl vielversprechend, müssen sich noch weiterentwickeln, um mit den anderen Ansätzen mithalten zu können. Große Sprachmodelle stellen eine flexible Lösung dar, aber ihr Einsatz hängt von den technischen Einschränkungen und den spezifischen Anforderungen ab.
Bases documentaires
Rapport de référence
DOI : https://doi.org/10.1007/s10207-026-01264-8
Titre : Comparative evaluation of machine learning methods for protecting LLMs from prompt injection attacks
Revue : International Journal of Information Security
Éditeur : Springer Science and Business Media LLC
Auteurs : Nazarii Dzhaliuk; Dmytro Sabodashko; Volodymyr Khoma; Yuriy Khoma; Viktor Kolchenko; Michal Podpora