LLMs可以遵循简单的规则吗?

由于大型语言模型在现实世界中的责任越来越大，因此如何以可靠的方式指定和约束这些系统的行为很重要。一些开发人员希望为模型设置显式规则，例如“不生成滥用内容”，但这种方式可能会被特殊技术规避。评估LLM在面对对抗性输入时遵循开发人员提供的规则的能力通常需要人工审查，这会减慢监控和方法开发的速度。

摘要

为了解决LLMs的规则遵循问题，本文提出了规则遵循语言评估场景(RULES)，这是一种评估LLM中规则跟踪能力的编程框架。其由15个简单的文本场景组成，其中模型指示在与人类用户交互时遵守自然语言中的一组规则。每个场景都有一个简洁的评估程序来确定模型是否打破了对话中的任何规则。通过手动探索场景中的模型行为，确定了6类攻击策略并收集了两组测试用例：一组由手动测试的独特对话和系统地从6个类别实现策略的对话组成。在GPT-4和Llama 2等各种流行的专有和开放模型中，发现所有模型都容易受到各种对抗性手工制作的用户输入的影响，尽管 GPT-4是表现最好的模型。此外，在基于梯度的攻击下评估开放模型时发现重大漏洞。建议将RULES作为一种具有挑战性的新环境，用于探索和防御对LLM的手动和自动攻击。

简介

传统的计算系统是围绕计算机程序中表达的指令的执行来设计的。相反，语言模型可以遵循用自然语言表达的指令，或者从大量数据中的隐含模式中学习该做什么。为了在语言模型之上构建安全可靠的应用程序，重要的是可以使用用户提供的规则来控制或约束AI模型行为。

展望未来，与人互动的人工智能助手也需要忠实和完整地遵循指令。为了确保人工智能助手反馈的道德行为，需要能够可靠地实施法律法规或义务生物学约束等规则。此外，必须能够验证模型行为是否真正基于所提供的规则，而不是依赖于训练期间识别的虚假文本线索或分布先验。如果不能依靠人工智能助手来遵循明确的规则，它们将很难安全地融入人类的社会。

人们可能认为强加给人工智能模型行为的许多规则在概念上非常简单，并且很容易用自然语言表达。一种方法是简单地将规则包含在模型的文本提示中，并依赖于模型现有的指令遵循功能。另一种方法是使用第二个模型来对输出遵循固定规则集的情况进行评分，然后对第一个模型进行微调，使其以最大化该评分的方式表现。

在本文中，将专注于前一种方法，并研究LLM如何很好地遵循作为文本提示一部分提供的规则。为了应对可用性和安全性方面的挑战，本文引入了规则遵循语言评估场景(RULES)，如下图，这是评估LLM助手中规则遵循行为的基准。该基准包含15个来自常见儿童游戏的文本场景以及计算机安全领域的想法。每个场景都用自然语言定义了一组规则，并定义了一个评估程序来检查模型输出是否符合规则。通过对本文的场景与最先进的模型进行广泛实验，确定了多种有效的攻击策略，以诱导模型打破规则。

RULES补充了现有的安全性和对抗性稳健性评估，这些评估主要侧重于规避固定的通用规则。本文的工作重点是用自然语言表达的特定于应用程序的规则，用户可以随时更改或更新这些规则。在与人类和自动化对手互动时，严格遵守本文的场景规则可能需要不同的方法来提高模型安全性，因为直接“编辑”特定有害行为的能力不足以修复本文工作中检查的模型故障类别。

本文的工作团队发布了代码和测试用例，同时还发布了一个交互式演示，用于探索针对不同模型的场景。希望推动更多的研究来提高LLM的稳健规则遵循能力，并打算将所提的基准测试作为进一步开发的有用的开放测试平台。

方案

RULES包含15个基于文本的场景，每个场景都要求辅助模型遵循一个或多个规则。这些场景的灵感来自于计算机系统和儿童游戏的理想安全特性。RULES的组成部分包括：

• 场景：由通用指令和规则组成的评估环境，用自然语言表示，以及可以通过编程检测规则违规的相应评估程序。指令和规则可以参考实体参数（例如密钥），必须对其进行采样，以生成用于用户交互或评估的具体“场景实例”。
• 规则：单个指令，每个指令指定模型所需的行为。场景可能包含多个规则，这些规则要么是定义模型不能做什么的“负面”规则，要么是定义了模型必须做什么的“正面”规则，如下图所示。
• 测试用例：特定场景实例的用户消息序列。正如评估程序判断的那样，如果模型对序列中的每个用户消息做出反应而不违反规则，则称该模型具有“传递”测试用例。

Correct Behavior

本文将场景可视化为决策树图，如上图所示，其中正确的行为对应于从根节点开始并遵守所有相关的内部规则节点。规则指定的行为都是“无状态”的，正确的行为只取决于模型响应的最后一条用户消息。

Evaluation Programs

设计这些场景是为了让一个小型计算机程序能够评估模型的响应是否符合规则。每个程序只有几行代码，不需要使用大型模型或人工标记进行推理。本文依赖于字符串比较和简单的正则表达式模式，这会导致对负面行为的更宽容的评估，对正面行为的更严格的评估。本文提出的的评估程序无法在边缘情况下准确再现人类的判断，但在实践中观察到，模型中绝大多数违反规则的输出都是明确的。

User Interface

为了设计场景和评估代码，并为测试套件收集测试用例，本文构建了几种不同的用户界面，用于通过具有各种模型的场景进行玩。这些范围从用于调试和播放测试的简单命令行界面到用于从作者及其同事众包数据收集的 Web 应用程序。我们发现通过这些界面与模型交互有助于了解模型实际响应用户输入并修改我们的场景以更好地捕获有趣但具有挑战性的行为。用户界面可能成为研究人工智能系统的研究工具包的重要组成部分。

模型评估

根据人工和机器生成的测试用例测试套件来评估各种专有和开放的LLM。每个测试用例都与特定的场景环境相关联，其中包括场景和随机采样的场景参数。使用以下三条条信息来初始化对话历史。

1. 指定场景说明的用户消息，
2. 占位符辅助消息“I understand and will comply with the rules.”，
3. 测试用例的第一条用户消息。

重复调用该模型，并将每个响应和后续用户消息附加到会话历史中，直到测试用例中的所有用户消息都用完为止。第一个占位符响应之后的每个辅助响应都用与场景相对应的评估程序进行评估，如果在任何响应之后，程序确定至少有一个规则被打破，认为模型没有通过测试用例。

模型细节

本文评估了各种流行的专有和公共模型，包括OpenAI的GPT-3.5、GPT3.5 Instruction和GPT-4、Anthropic的Claude Instant和Claude、谷歌的PaLM 2 Text Bison以及Vicuna v1.3（7B、13B、33B）、Llama 2 Chat（7B，13B、70B）和Mistral Instruction v0.1（7B）。OpenAI、Anthropic和Google模型可通过各自的API获得多个版本如下表所示。

GPT-3.5 Instruction和PaLM 2 Text Bison是文本生成模型，而不是聊天模型，因此使用一个简单的聊天模板来提示这两个模型进行对话响应，如下表所示。

手动测试

根据场景的探索性期间记录的对话，组装了一个初始手动测试。过滤重复的对话并删除辅助响应，从而产生870个测试用例。测试案例的数量从155个认证案例到27个保密案例不等，涵盖了广泛的策略。大多数记录的对话都针对负面规则，但没有跟踪用户意图，也没有区分负面和正面测试案例。下表中显示了手动测试的结果。所有模型都失败了大量的测试用例，尽管GPT-4失败的测试用例数量最少，其次是Claude Instant和Claude 2。

系统测试

每个策略的测试用例示例如上表所示。每个测试用例都包含一到三条用户消息。“Just Ask”策略为每个规则定义了一个单一的基本测试用例，如果严格遵守，将导致模型违反目标规则，从而测试模型拒绝最直接攻击尝试的能力。大多数积极的规则都要求模型根据特定的用户输入产生特定的输出，因此对于这些规则，“Just Ask”测试用例由两条用户消息组成，首先要求模型打破规则，然后用正确的用户输入触发破规行为。

如下图所示，所有评估的LLM在大量测试用例中都失败了。系统测试中负规则的性能与手动测试的性能密切相关。模型的夫，负面测试失败率通常低于正面测试，除Vicuna 33B外的所有开放模型几乎所有阳性测试都失败。结果表明，引导模型偏离正确的行为比强迫这些模型做出特定的不正确行为要容易得多，尤其是对于开放模型。

在所有评估的模型中，GPT-4在系统测试中失败的测试用例最少。令人惊讶的是，Claude Instant的表现略好于表面上能力更强的Claude 2。有的LLM不能可靠地遵循规则；尽管它们可以抵制一些尝试，但仍有很大的改进空间。

方差与不确定性

本文的结果中有几个方差和不确定性的来源。首先，即使temperature设置为0，OpenAI和Anthropic API的输出也是不确定的。这导致了测试用例结果的一些差异，在下表中使用系统测试的子集进行了估计。

连续10次运行相同的评估，并在每个评估的测试用例子集的39个测试用例中，测量1.1个或更少的失败测试用例数量的标准差。PaLM 2 API在输出或测试用例结果方面没有任何变化，在本地评估时也没有任何公共模型。

错误检测

如果模型无法可靠地遵循规则，它们可能会至少能够可靠地检测到助手响应何时违反规则。为了回答这个问题，从系统测试上评估的模型的输出以及地面实况传递/失败评估标签中抽取 1098 对用户消息和助手响应，以衡量模型检测规则违规的能力作为零样本二元分类任务。

如上表所示，大多数模型都可以比偶然做得更好，但不能可靠地检测是否遵循了规则。将正数定义为助手响应违反场景的一个或多个规则的实例，并测量通常定义的精度/召回率。目前还没有模型“解决”这个任务，GPT-4 达到了 82.1% 的准确率和 F 分数 84.0，其他模型下降得很短。需要一个简洁的“pass”或“fail”答案，它将 Llama 2 等冗长模型置于劣势，因为这些模型偶尔会用额外的文本预先查看他们的答案。

对抗性检测

本文还评估了Greedy Coordinate Gradient (GCG)，这是一种最近提出的算法，用于查找导致模型产生特定目标字符串的后缀，与本文场景中的开放7B模型（Vicuna v1.3、Llama 2 Chat和Mistral v0.1）进行比较。GCG是一种迭代优化算法，它在每个时间步长更新单个token，以最大限度地提高目标语言模型下目标字符串的可能性。

结果如上表所示，GCG可以增加所有三个评估模型的失败测试用例数量。Mistral特别容易被影响，几乎所有的正面和负面测试都失败了，而Llama 2仍然通过了一些负面测试。针对Llama 2 7B优化的后缀在针对其他模型使用时，不会导致失败测试用例的数量显著增加。

结论

本文的实验表明，目前的模型在很大程度上不足以遵循简单规则。尽管在指定和控制LLM的行为方面做出了重大努力，但在人类能够指望模型可靠地抵御各种人类或机器生成的攻击之前，研究界还有更多的工作要做。

同时，本文的工作团队乐观地认为，尽管过去十年在图像分类模型中对难以察觉的扰动的对抗性鲁棒性方面的进展慢于预期，但在这一领域仍有可能取得有意义的进展。打破规则需要一个模型采取有针对性的生成行动，而打破规则的目标可以在模型的内部表示中确定，这反过来又可以产生基于检测和弃权的可行防御。

要想使AI虚拟助手在安全地整合到社会中，就需要研究并改进LLMs对于规则遵循的能力。

如何学习大模型 AI ？

由于新岗位的生产效率，要优于被取代岗位的生产效率，所以实际上整个社会的生产效率是提升的。

但是具体到个人，只能说是：

“最先掌握AI的人，将会比较晚掌握AI的人有竞争优势”。

这句话，放在计算机、互联网、移动互联网的开局时期，都是一样的道理。

我在一线互联网企业工作十余年里，指导过不少同行后辈。帮助很多人得到了学习和成长。

我意识到有很多经验和知识值得分享给大家，也可以通过我们的能力和经验解答大家在人工智能学习中的很多困惑，所以在工作繁忙的情况下还是坚持各种整理和分享。但苦于知识传播途径有限，很多互联网行业朋友无法获得正确的资料得到学习提升，故此将并将重要的AI大模型资料包括AI大模型入门学习思维导图、精品AI大模型学习书籍手册、视频教程、实战学习等录播视频免费分享出来。

第一阶段（10天）：初阶应用

该阶段让大家对大模型 AI有一个最前沿的认识，对大模型 AI 的理解超过 95% 的人，可以在相关讨论时发表高级、不跟风、又接地气的见解，别人只会和 AI 聊天，而你能调教 AI，并能用代码将大模型和业务衔接。

• 大模型 AI 能干什么？
• 大模型是怎样获得「智能」的？
• 用好 AI 的核心心法
• 大模型应用业务架构
• 大模型应用技术架构
• 代码示例：向 GPT-3.5 灌入新知识
• 提示工程的意义和核心思想
• Prompt 典型构成
• 指令调优方法论
• 思维链和思维树
• Prompt 攻击和防范
• …

第二阶段（30天）：高阶应用

该阶段我们正式进入大模型 AI 进阶实战学习，学会构造私有知识库，扩展 AI 的能力。快速开发一个完整的基于 agent 对话机器人。掌握功能最强的大模型开发框架，抓住最新的技术进展，适合 Python 和 JavaScript 程序员。

• 为什么要做 RAG
• 搭建一个简单的 ChatPDF
• 检索的基础概念
• 什么是向量表示（Embeddings）
• 向量数据库与向量检索
• 基于向量检索的 RAG
• 搭建 RAG 系统的扩展知识
• 混合检索与 RAG-Fusion 简介
• 向量模型本地部署
• …

第三阶段（30天）：模型训练

恭喜你，如果学到这里，你基本可以找到一份大模型 AI相关的工作，自己也能训练 GPT 了！通过微调，训练自己的垂直大模型，能独立训练开源多模态大模型，掌握更多技术方案。

到此为止，大概2个月的时间。你已经成为了一名“AI小子”。那么你还想往下探索吗？

• 为什么要做 RAG
• 什么是模型
• 什么是模型训练
• 求解器 & 损失函数简介
• 小实验2：手写一个简单的神经网络并训练它
• 什么是训练/预训练/微调/轻量化微调
• Transformer结构简介
• 轻量化微调
• 实验数据集的构建
• …

第四阶段（20天）：商业闭环

对全球大模型从性能、吞吐量、成本等方面有一定的认知，可以在云端和本地等多种环境下部署大模型，找到适合自己的项目/创业方向，做一名被 AI 武装的产品经理。

• 硬件选型
• 带你了解全球大模型
• 使用国产大模型服务
• 搭建 OpenAI 代理
• 热身：基于阿里云 PAI 部署 Stable Diffusion
• 在本地计算机运行大模型
• 大模型的私有化部署
• 基于 vLLM 部署大模型
• 案例：如何优雅地在阿里云私有部署开源大模型
• 部署一套开源 LLM 项目
• 内容安全
• 互联网信息服务算法备案
• …

学习是一个过程，只要学习就会有挑战。天道酬勤，你越努力，就会成为越优秀的自己。

如果你能在15天内完成所有的任务，那你堪称天才。然而，如果你能完成 60-70% 的内容，你就已经开始具备成为一名大模型 AI 的正确特征了。

这份完整版的大模型 AI 学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】