AISPAが商用AI 88製品の隠し指示を監査、約4割にユーザーに不利なルール

システムプロンプトは、モデルが自身のアイデンティティをどう説明し、個人データをどう扱い、制約をどう開示し、製品提供者の利益にどう従うかを決定する。しかし、通常、この層をユーザーや外部監査者が見ることはできない。AISPA（Artificial Intelligence System Prompt Assurance）は、システムプロンプトの監査を断片的なリーク情報から、比較可能な評価へと発展させようとする取り組みだ。研究者は各指示をユーザーに関連する8つの観点に分類したうえで、保護的、中立的、またはユーザーの利益を侵害する可能性があるものかを判定した。

研究では、公開GitHubリポジトリから収集した商用製品88件のシステムプロンプトを分析し、計3,249件の指示にラベルを付与した。論文によると、製品の98.9%には少なくとも1件の保護的な指示があったが、8つの観点すべてを網羅していた製品は24%にすぎなかった。開発者によって、保護ルールの平均数には10倍以上の差が見られた。約40%の製品には少なくとも1件の問題のある指示が含まれており、同一のシステムプロンプト内に保護ルールと問題のあるルールが併存するケースも多かった。この結果は、「安全条項が存在するか」だけを確認しても、製品が実際にどの利益を優先しているのかは判断できないことを示している。

関連プロジェクトのSystem Prompt Indexでは、一部のシステムプロンプト、企業単位の評価結果、インタラクティブな監査ツールを公開しており、研究者がラベル付けの根拠を追跡できる。エンジニアリングチームは、AISPAをシステムプロンプトの静的解析プロセスとして活用できる。リリース前に、アイデンティティの透明性、データ利用、操作性、異議申し立てなどの観点を比較し、システムプロンプトの変更をコードレビューや回帰テストに組み込むことが可能だ。また、サードパーティ製エージェントやプロンプトテンプレートを採用するチームに対しては、隠し指示そのものが、出所とバージョンの記録を管理すべきサプライチェーンコンポーネントであることも示唆している。

ただし、これは88製品の総合的な安全性ランキングではない。サンプルは公開リポジトリから取得されているため、過去に漏洩したバージョン、オープンソース版、または取得しやすいバージョンに偏っている可能性があり、現在オンラインで使用されているシステムプロンプトと一致するとは限らない。また、テキスト上のルールがモデルの最終的な挙動を必ずしも反映するわけではない。今後は、製品提供者によるバージョンの照合、アノテーター間一致度の公開に加え、システムプロンプトの静的監査を、実際の対話、ツール呼び出し、データフローのテストと組み合わせる必要がある。