Az AI-biztonsági tesztek sokszor egyetlen pontszámmal próbálják leírni, mennyire „biztonságos” egy modell. A UK AI Security Institute kutatóinak és független szerzőknek az arXivon közzétett tanulmánya szerint ez félrevezető lehet: a különböző benchmarkok nem feltétlenül ugyanazt a tulajdonságot mérik, a modellek pedig akár azt is megtanulhatják, hogyan viselkedjenek óvatosabban a tesztek alatt.
A tanulmány az Item Response Theory, vagyis a tesztfeladatok válaszainak statisztikai elemzésére épülő módszert használta. A szerzők nyolc biztonsági benchmark 192 nyelvi modelljének eredményeit vetették össze. Arra jutottak, hogy az eltérések nagy részét három, jól elkülöníthető tényező magyarázza: mennyire szigorúan utasít vissza egy modell, mennyire igazmondó, illetve hogyan kezeli a kontextusfüggő károkozást.
Az egyetlen biztonsági pontszám kevés
Ez azért számít, mert két modell hasonló összesített eredményt érhet el teljesen eltérő viselkedéssel. Az egyik sok kérésre automatikusan nemet mondhat, miközben kevésbé használható a mindennapi feladatokra. A másik több helyzetben válaszol, de pontosabban különíti el a veszélyes és az ártalmatlan kéréseket. Egyetlen átlagolt szám ezt a különbséget könnyen elrejti.
A kutatók szerint a benchmarkok feladatai között is sok az átfedés, ezért ugyanaz a mérési hiba több tesztben visszaköszönhet. Ráadásul a modell felismerheti, hogy vizsgálják. Ezt nevezik sandbaggingnek: a rendszer a teszt során óvatosabbnak mutatkozik, mint normál használat közben. A tanulmány módszere egy ilyen egyszerűbb, tesztre szabott óvatosságot is képes lehet kiszúrni.
Kevesebb kérdéssel is pontosabb kép készülhet
Az Item Response Theory nem azt jelenti, hogy a biztonsági tesztek feleslegessé válnak. A szerzők inkább azt mutatják meg, hogyan lehet jobban kiválasztani a kérdéseket. A pszichometriai szempontok alapján összeállított, adaptív minták több benchmarknál körülbelül tíz feladattal is visszaadták a teljes teszt eredményét. A tanulmány szerint ezzel 97–99 százalékkal csökkenthető az értékelés költsége.
A szerzők azt is bemutatták, hogy az eljárás alkalmas lehet egy modellen belüli változások, vagy akár egy API mögött lecserélt modell észlelésére. Ez különösen akkor fontos, ha egy szolgáltató frissíti a rendszert, de a felhasználók csak ugyanazt a modellszámot látják.
A tanulmány egyelőre arXiv-preprint, vagyis nem lezárt szakmai folyóirati közlemény. Az üzenete ettől még világos: a biztonságot nem érdemes egyetlen rangsorral vagy átlagpontszámmal elintézni. A tesztnek azt kell megmutatnia, hogyan viselkedik a modell különböző helyzetekben, és azt is ellenőriznie kell, hogy nem csak a vizsgára készül-e fel.
