拡散型LLMの安全ニューロンはアーキテクチャをまたいで転移可能、プルーニングで拒否回避率が86.6%に上昇

8月10日にarXivの最新バッチへ追加された研究が、拡散型大規模言語モデルに自己回帰モデルとは本当に異なる安全構造があるのかを検証した。この種のモデルは、逐次的なtoken生成を複数ラウンドの並列デノイジングに置き換える。一方、DreamやFast-dLLMなどはQwen2.5シリーズから初期化されているため、研究者らは安全アラインメントも重みの変換に伴ってそのまま引き継がれるのかを調べた。

ホワイトボックス実験では、まず安全なプロンプトと有害なプロンプトに対する活性化の差から、少数の「安全ニューロン」を特定し、それらをプルーニングした場合の影響を測定した。攻撃成功率は、LLaDAで2.6%から73.8%に、Dreamで1.9%から86.6%に上昇した。Qwen2.5で特定したニューロンの位置をDreamに転移すると成功率は73.2%まで上昇し、Fast-dLLMでも7.0%から86.3%に上昇した。ニューロンの0.8%のみを抽出する設定では、Fast-dLLMとQwenの特定位置の重複率は41.8%、Dreamでは30.9%だった。これは、安全機構がアーキテクチャをまたいで継承され、しかも過度に集中して分布しているという仮説を支持する。

研究ではさらに、SN-Guided Diffusionを提案した。これは、内部活性化を検査できるLLaDAを代理モデルとして使用し、ローカルなデノイジング過程で拒否応答を引き起こす活性化領域を回避したうえで、生成したプロンプトをブラックボックスのターゲットへ転移する手法だ。論文によると、Llama-3-8B-Instruct、Qwen2.5-7B-Instruct、Gemini-2.5-Flash-Liteに対する最高成功率は、それぞれ77.1%、86.9%、74.3%で、各問題につき約20回のオフライン生成を必要とした。

ただし、これは拡散モデル自体が必然的に安全性で劣ることを意味しない。結果は特定のデータセット、自動評価器、モデルバージョン、成功率の定義に依存しており、現実の被害も測定していない。再現性に関するさらに大きな問題は、GitHubリポジトリには現時点でREADMEしかなく、コードは依然として「近日公開」と記載されていることだ。モデル開発者が注視すべきなのは、アラインメント信号をより多くの層や特徴へ分散できるか、また安全性評価にプルーニング、表現転移、代理モデルによる生成を利用した適応的攻撃を組み込めるかであり、表面的な拒否率だけを測ることではない。