arXiv:2606.04483: Žanrovi fanfictiona postaju univerzalni jailbreak za LLM-ove

Što otkriva rad Off-Distribution Voices?

Off-Distribution Voices je sigurnosni rad objavljen 3. lipnja 2026. u 06:01 UTC na arXivu pod oznakom arXiv:2606.04483 (verzija v1) koji predstavlja novu jailbreak tehniku za velike jezične modele (LLM-ove). Tehnika umeće štetne zahtjeve u stvarne fanfiction žanrove preuzete s platforme AO3 (Archive of Our Own), poznatog repozitorija obožavateljske fikcije. Ključno je da napad ne zahtijeva napadački LLM koji bi generirao prompte niti prilagodbu pojedinom ciljnom modelu, što ga čini jednostavnim i široko primjenjivim.

Kako napad zaobilazi sigurnosne zaštite?

Umjesto da otvoreno postavi štetan zahtjev, napad ga uokviruje u prepoznatljiv stil i registar nekog fanfiction žanra. Model taj “glas” tretira kao legitiman književni kontekst i popušta obrane koje bi inače aktivirao isti zahtjev postavljen izravno. Autori taj fenomen nazivaju napadom temeljenim na registru, odnosno stilu pisanja, a ne na sadržaju ključnih riječi. Budući da se oslanja na stvarne žanrove iz velikog korpusa, napad je teško unaprijed katalogizirati.

Koliko napad podiže stopu uspjeha?

Tehnika je testirana na osam aligniranih LLM-ova korištenjem benchmarkova HarmBench i JailbreakBench, standardnih skupova za mjerenje otpornosti modela na štetne zahtjeve. Prosječni attack success rate (ASR, stopa uspješnih napada) raste s 0,278 na 0,731, mjereno četverosudačkim ansamblom (four-judge ensemble) koji presuđuje je li model proizveo štetan sadržaj. To znači da napad gotovo udvostručuje udio uspješnih probijanja u odnosu na polaznu vrijednost.

Što je SAGA-A4 i koliko je opasan?

Rad uvodi i prošireni varijant nazvan SAGA-A4, koji se odvija kroz četiri kruga razgovora (four-turn) umjesto jednim upitom. Taj pristup postupno gradi kontekst kroz više poruka i doseže ASR od 0,924, što znači da uspijeva u više od devet od deset pokušaja. Višekružna struktura napadu daje prostor da postupno učvrsti književni okvir prije nego što postavi štetan zahtjev, čime dodatno slabi obrane modela.

Zašto su postojeće obrane neučinkovite?

Autori pokazuju da su obrane temeljene na podudaranju predložaka (template-matching), koje traže poznate obrasce štetnih promptova, neučinkovite protiv napada temeljenih na registru pisanja. Budući da napad ne koristi fiksne fraze nego stilske obrasce stvarnih žanrova, predlošci ga ne hvataju. Rezultat upozorava da se sigurnost LLM-ova ne može osloniti samo na prepoznavanje poznatih napadnih obrazaca.

Što ovo znači za sigurnost LLM-ova?

Nalaz ima izravne posljedice za sve koji razvijaju ili primjenjuju jezične modele jer pokazuje da je univerzalni, jeftin i prenosiv jailbreak izvediv bez posebnih alata. Obrane će se morati pomaknuti od površinskog podudaranja prema dubljem razumijevanju namjere iza teksta, neovisno o stilu u kojem je napisan. Dok se to ne postigne, fanfiction žanrovi ostaju praktičan vektor napada na komercijalne i otvorene modele.