MASTERKEY：1）基于time-based SQL injection的思想，通过生成过程固有的基于时间的特征对LLM chatbot背后的防御策略进行逆向。2）基于jailbreak prompts fune-tune的LLM自动生成jailbreak prompts。该方法生成的attack prompts成功率位21.58%，超过现有prompts攻击成功率（7.33%）。

Revealing Jailbreak Defense

Insights

1. service response time could be an interesting indicator.
2. there exists a fascinating parallel between web applications and LLM services. [time-based SQL injection]

Time-based SQL Injection

Fig. 2通过执行时间推测SQL system的版本号。time-based SQL injection 通过条件控制与时间控制的组合推断后端服务器属性的关键信息。

Time-based LLM Testing

• LLM-based Generator. 根据input prompt生成response。
• Content Moderator. 监督系统行为，标记潜在越狱尝试。

• monitoring of input questions by the content moderator
• monitoring of the LLM-generated data stream
• psot-generation check on the complete output
• mechanisms within the content moderator (e.g., semantic, keyword)

1. 验证使用time-based方法测试LLM的可行性

   • standard question+standard question，同时生成两个问题的时间≈单独生成两个问题的时间。

2. 确定预防机制是针对input prompt还是LLM-generated response还是两者均有

   • standard question+malicious question
   • 如果预防机制只针对input prompt，则不会进行LLM-generation process，立刻返回jailbreak警告（t0）。
   • 如果预防机制只针对LLM-generated response，则进行一定时间的LLM-generation process，此后检查response后才会返回jailbreak警告（t>t0）。
   • 但是如果服务再检测到malicious question继续生成response会导致该方法失效（但本文假设这些资本家不会这么傻乎乎浪费钱）。

   💡根据本文的实验发现response time没有显著变化，所以认为预防机制仅针对LLM-generated response进行检查，而不是在input prompts。

3. 确定预防机制是否为动态检查（i.e., 在生成过程中进行检查还是仅验证生成后内容）

   • malicious question+standard question
   • 如果预防机制仅检查生成后的内容，则生成时间与2不会有显著差异。
   • 如果预防机制是动态的，则生成时间应当显著小于2（t0+t1’）。

   💡通过实验发现预防机制可能是动态的（dynamic monitoring）。

4. 确定预防机制的具体工作模式（e.g., keyword-based, semantic-based）

   • keyword mapping algorithm，当出现“red-flag” keyword时LLM立即停止生成。
   • semantic-based methods，需要额外时间理解sentence context。
   • 通过控制”red-flag” keyword在response中的位置测试LLM是否使用keyword mapping algorithm。

   💡同时使用keyword matching和semantic analysis。