大規模言語モデルの安全性調整を1つのニューロンで迂回可能

メリーランド大学とAppleの研究者らによる新たな研究により、大規模言語モデルの安全性調整メカニズムに根本的な脆弱性があることが明らかになった。この研究は2026年7月に発表され、著者はHamid Kazemi、Atoosa Chegini、Maria Safiである。研究によると、言語モデルの安全性調整は2つの機械的に異なるシステムに依存している。すなわち、有害知識の出力を制御する「拒否ニューロン」と、有害知識自体を符号化する「概念ニューロン」である。各システムの単一のニューロンを標的とすることで、研究者らは2方向の失敗を実証した。1つは拒否ニューロンを抑制して明示的な有害要求に対する防御を迂回する方法、もう1つは概念ニューロンを増幅して無害なプロンプトから有害コンテンツを誘発する方法である。実験は2つのモデルファミリー、1.7Bから70Bパラメータの7つのモデルにわたり、追加の訓練やプロンプトエンジニアリングを一切行わずに実施された。結果は衝撃的であり、たった1つの拒否ニューロンを抑制するだけで、多様な有害要求に対する安全性調整が完全に迂回された。これは、安全性調整が多数のパラメータにロバストに分散されているという従来の想定に反し、少数の重要なニューロンによって媒介されることを示している。この発見は、現在の安全性調整手法の信頼性に深刻な疑問を投げかけ、単一障害点による安全崩壊を防ぐために、より分散的で冗長性のある安全メカニズムの開発が将来必要であることを示唆している。研究チームはまた、この脆弱性は大規模モデルに限らず、モデル規模が大きくなるにつれてニューロンの機能集中性がより顕著になる可能性があると指摘している。この研究は、安全性調整が多数のパラメータの分散表現によって実現されているという従来の考え方を覆し、むしろ高度に集中しているため、単一ニューロンへの攻撃に対して脆弱であることを明らかにした。研究者らは、彼らの手法が訓練やプロンプトエンジニアリングを必要としないため、高度な攻撃技術がなくても簡単に安全制限を迂回できることを強調している。したがって、モデル開発者は冗長ニューロンの導入やよりロバストな訓練方法による重要機能の分散化など、安全性調整の設計原則を再考する必要がある。さらに、この研究は、現在の評価ベンチマークが安全性調整の堅牢性を仮定しているが実際にはそうではないという点で、再考を促すものである。この研究は、AI安全分野に重要な警告と新たな研究の方向性を提供する。