HARC: Neue Fine-Tuning-Methode verhindert Jailbreaks durch Kopplung von Schädlichkeit und Ablehnung

Die Forscher Shei Pern Chua und Fangzhao Wu haben am 1. Juli 2026 eine Arbeit veröffentlicht, die den genauen Mechanismus aufdeckt, durch den Jailbreak-Angriffe das Sicherheits-Alignment großer Sprachmodelle umgehen – und schlagen eine konkrete Lösung in Form einer neuen Fine-Tuning-Methode namens HARC vor.

Warum gelingen Jailbreaks eigentlich?

Das bisherige Verständnis war überwiegend phänomenologisch: Es war bekannt, dass bestimmte Anfrage-Formulierungen ein Modell dazu „verleiten”, schädliche Inhalte zu generieren, aber der Mechanismus innerhalb des Netzwerks war unklar. Die HARC-Forschung beleuchtet diesen Mechanismus mit interpretierbarer Methodik.

In ausgerichteten LLMs existieren (mindestens) zwei getrennte „Richtungen” im Raum der internen Repräsentationen: die Schädlichkeitsrichtung (Kodierung, wie gefährlich der Inhalt ist) und die Ablehnungsrichtung (Kodierung, ob das Modell die Anfrage ablehnen wird). Der zentrale Befund: Jailbreaks gelingen durch Unterdrückung einer oder der anderen Richtung – nicht notwendigerweise beider gleichzeitig. Ein Angriff, der nur die Ablehnungsrichtung unterdrückt, reicht aus, damit das Modell schädliche Inhalte generiert, selbst wenn die Schädlichkeitsrichtung aktiv bleibt.

Die Analyse wurde zusätzlich auf Token-Positionen in der Antwort ausgeweitet, nicht nur im Prompt. Die Forscher stellten fest, dass das Modell die Schädlichkeit von Inhalten erkennen kann, während es sie generiert – selbst wenn die anfängliche Analyse des Prompts das Problem übersehen hat. Dieser Befund hat wichtige Implikationen für das Design von Sicherheitsmechanismen, die ausschließlich auf Ebene des Eingabe-Prompts wirken.

Verschiedene Klassen von Jailbreak-Angriffen belegen trennbare Regionen in der Schädlichkeits-Ablehnungs-Ebene – was bedeutet, dass diese Angriffe eine geometrische Struktur im internen Raum des Modells aufweisen und keine chaotische Vielfalt.

HARC: Fine-Tuning, das beide Richtungen koppelt

Anstatt nur zu analysieren, bietet HARC ein konkretes Fine-Tuning-Rezept. Die Methode koppelt explizit die Repräsentationen von Schädlichkeit und Ablehnung über Positionen sowohl des Prompts als auch der Antwort – indem sie das Modell dazu zwingt, „ich habe Gefahr erkannt” und „ich lehne die Generierung ab” als gemeinsames Signal zu kodieren, nicht als unabhängige Dimensionen, die separat unterdrückt werden können.

Ergebnis: Das Modell wird robust gegenüber Angriffen, die nur auf eine der beiden Richtungen abzielen, da diese nun eng im Repräsentationsraum verbunden sind.

HARC erzielt das stärkste Verhältnis aus Robustheit, Fähigkeit und Nutzbarkeit im Vergleich zu sechs Basismethoden, die die wichtigsten Ansätze des Sicherheitstrainings abdecken – sowohl auf Trainingsebene (Training-Time) als auch auf Inferenzebene (Inference-Time).

Übertragbarkeit und praktische Anwendung

Besonders wichtig ist, dass HARC keine architekturspezifische Anpassung erfordert – die Methode wurde auf fünf Modellfamilien in zwei Größen getestet und überträgt sich ohne zusätzliche Änderungen. Das macht HARC zu einem praktisch anwendbaren Rezept für bestehende Fine-Tuning-Pipelines und nicht nur zu einem Laborbefund.

Der mechanistische Forschungsansatz bietet auch einen breiteren Wert: Er kartiert direkt, wie sicherheitsbewusste Repräsentationen in ausgerichteten LLMs organisiert sind – ein wertvoller Beitrag zur Modellinterpretierbarkeit, unabhängig von der Sicherheitsanwendung.

Die Arbeit erscheint zu einem Zeitpunkt, in dem die Industrie intensiv nach Methoden sucht, die die Fähigkeit von Modellen zugunsten der Sicherheit nicht kompromittieren – HARC demonstriert, dass beide Ziele gleichzeitig erreicht werden können, indem die richtige Ebene der internen Repräsentation gezielt angesprochen wird.