PromptRobust (benchmark) (DE)

PromptRobust (auch bekannt als PromptBench) ist ein umfassender Benchmark zur Bewertung der Robustheit von großen Sprachmodellen (LLMs) gegenüber adversariellen Prompt-Änderungen – geringfügigen Verfälschungen der Aufgabenformulierung, die deren Bedeutung nicht verändern. Der Benchmark wurde 2023 von einer Gruppe von Forschern (Kaijie Zhu u. a.) von Microsoft Research Asia entwickelt. Die Entwicklung von PromptRobust basiert auf der Beobachtung, dass moderne LLMs empfindlich auf Details in der Formulierung reagieren: Schon geringfügige Änderungen (z. B. Tippfehler oder Paraphrasierungen) können die Antworten der Modelle merklich beeinflussen. Der Benchmark zielt darauf ab, diese Anfälligkeit quantitativ zu messen und die Entwicklung zuverlässigerer Methoden zur Interaktion mit LLMs zu fördern.

Bewertungsmethodik

Im Rahmen der PromptBench-Studie wurde ein Korpus von 4788 modifizierten Prompts erstellt, die die ursprüngliche Bedeutung der Aufgaben beibehalten. Diese adversariellen Prompts wurden auf vier Komplexitätsebenen von Änderungen generiert:

• Zeichenebene: Einfügen von Tippfehlern, Ersetzen oder Vertauschen von Zeichen (simuliert zufällige Eingabefehler).
• Wortebene: Ersetzen einiger Wörter durch Synonyme, Einfügen von „Rauschwörtern“ oder andere geringfügige lexikalische Änderungen.
• Satzebene: Paraphrasierung der Satzstruktur, Hinzufügen oder Umstellen von Satzteilen ohne Änderung des Gesamtthemas.
• Semantische Ebene: Tiefgreifendere Neuformulierung des Prompts unter Beibehaltung seiner Aufgabe (z. B. alternative Formulierungen derselben Frage).

Das Ziel solcher „Angriffe“ ist es zu überprüfen, wie sich geringfügige Abweichungen (z. B. zufällige Tippfehler oder die Verwendung von synonymen Formulierungen) auf die Fähigkeit des Modells auswirken, die Aufgabe korrekt auszuführen, obwohl die Aufgabe selbst unverändert bleibt. Jeder generierte adversarielle Prompt wurde auf eine Reihe von Standard-NLP-Aufgaben angewendet, darunter Sentimentanalyse, Prüfung der grammatikalischen Korrektheit, Erkennung doppelter Sätze, logische Schlussfolgerung (NLI), Leseverständnis, maschinelle Übersetzung und Lösen mathematischer Aufgaben. Für die Experimente wurden 8 verschiedene Aufgabentypen auf 13 Datensätzen ausgewählt – von klassischen GLUE-Sätzen (z. B. SST-2 für Sentiment, MNLI für NLI) bis hin zu spezialisierten mathematischen und mehrsprachigen Tests.

Wichtig ist, dass die Robustheit verschiedener Prompt-Formate getestet wurde:

• Direkte Anfragen ohne Beispiele (Zero-Shot, nur Anweisung).
• Anfragen mit mehreren Beispielen (Few-Shot, wenn im Prompt Lösungsbeispiele gegeben sind).
• Rollenbasierte Prompts (In-Context Roles, z. B. „Sie sind ein System zur Sentimentanalyse, bestimmen Sie...“).
• Aufgabenorientierte Prompts (Task-oriented, direkte Beschreibung der Aufgabe).

Es wurden auch verschiedene große Sprachmodelle getestet, von dem relativ kleinen Flan-T5-large und dem UL2-Modell bis hin zu den fortschrittlichen ChatGPT und GPT-4 sowie den Open-Source-Modellen der LLaMA-2-Familie und dem davon abgeleiteten Vicuna. Zur Generierung der Angriffe wurden bestehende Methoden aus dem Bereich des adversariellen NLP (wie TextBugger, DeepWordBug, TextFooler u. a.) verwendet, die für die Modifikation von Prompts anstelle von Eingabedaten angepasst wurden. Die Korrektheit der resultierenden „gestörten“ Prompts wurde durch automatische und manuelle Methoden überprüft; laut Bericht behalten mindestens 85 % der adversariellen Variationen die korrekte Semantik bei und sind für Menschen verständlich. Somit spiegeln die Auswirkungen der Angriffe tatsächlich Fehler des Modells bei der Wahrnehmung der paraphrasierten Aufgabe wider und nicht den Verlust der Aufgabenbedeutung selbst.

Ergebnisse und Schlussfolgerungen

Die Tests zeigten, dass moderne LLMs nicht ausreichend robust gegenüber geringfügigen Änderungen in der Prompt-Formulierung sind. Bei allen getesteten Modellen wurde eine signifikante Verschlechterung der Antwortqualität unter dem Einfluss der generierten Angriffe beobachtet. Insbesondere führten selbst einfache Fälle – wie ein Tippfehler im Text einer mathematischen Aufgabe oder der Ersatz eines Schlüsselworts durch sein Synonym – dazu, dass das Modell ein falsches Ergebnis lieferte, obwohl es die Aufgabe ohne die Störung korrekt bewältigte. Die allgemeine Schlussfolgerung der Autoren lautet: „Moderne große Sprachmodelle sind nicht robust gegenüber adversariellen Prompts“, was bedeutet, dass geringfügige Abweichungen in der Formulierung sie systematisch in die Irre führen können.

Bei der Analyse der verschiedenen Angriffsarten stellte sich heraus, dass Änderungen auf der Wortebene die schädlichsten Auswirkungen auf die LLM-Leistung haben. Das Ersetzen von Wörtern durch Synonyme oder geringfügige wortbildende Verfälschungen führten zur größten Qualitätsminderung – im Durchschnitt um ≈33 % im Vergleich zum ursprünglichen Ergebnis bei denselben Aufgaben. Angriffe auf der Zeichenebene (Tippfehler, zufällige Zeichen) verursachten eine durchschnittliche Genauigkeitsreduktion von ~20 %. Qualitative Änderungen oder das Hinzufügen ganzer Sätze zum Prompt hatten dagegen einen weitaus schwächeren Effekt und brachten das Modell kaum aus dem Konzept. Semantische Paraphrasierungen (tiefgreifende Umschreibungen des Prompts mit anderen Worten) erwiesen sich in ihrer Schädlichkeit als vergleichbar mit einfachen Tippfehlern. Diese Fakten unterstreichen, dass LLMs besonders anfällig für subtile lexikalische Änderungen und Fehler in Schlüsselwörtern sind. Bemerkenswert ist, dass grammatikalische Verfälschungen (Tippfehler) theoretisch mit Standard-Rechtschreibprüfungen gefiltert werden könnten, während Änderungen auf Wort- und Bedeutungsebene ein entwickeltes semantisches Verständnis erfordern, das den aktuellen Modellen oft fehlt.

Die Leistungsanalyse verschiedener Modelle zeigte eine erhebliche Streuung in ihrer Robustheit. GPT-4 und UL2 zeigten die beste Widerstandsfähigkeit gegen adversarielle Prompts. Etwas weniger anfällig erwiesen sich auch das Flan-T5-large-Modell und das Dialogmodell ChatGPT. Die Modelle der LLaMA-2-Familie nahmen eine mittlere Position ein, während sich Vicuna (13B) als das anfälligste für alle Arten von Angriffen herausstellte. Interessanterweise erwies sich die Modellgröße nicht als entscheidender Faktor für die Robustheit: Das relativ kleine T5-large stand in der Antwortstabilität dem weitaus größeren ChatGPT-Modell kaum nach. Die Autoren vermuten, dass die Trainings- und Feinabstimmungsmethoden der Modelle eine Schlüsselrolle spielen, nicht nur deren Größe. So durchliefen UL2 und T5-large ein erweitertes Vortraining auf großen Datenkorpora, während ChatGPT mit bestärkendem Lernen durch menschliches Feedback (RLHF) trainiert wurde, was ihre Robustheit gestärkt haben könnte. Im Gegensatz dazu wurde Vicuna auf einem vergleichsweise begrenzten Datensatz trainiert (als Open-Source-Replik), was wahrscheinlich seine hohe Empfindlichkeit gegenüber Formulierungsänderungen erklärt. Diese Ergebnisse deuten darauf hin, dass eine Verbesserung der Feinabstimmungsmethoden die Zuverlässigkeit der Modelle stärker erhöhen kann als eine bloße Vergrößerung ihrer Dimensionen.

Einfluss des Prompt-Formats

Die Art der Anfrageformulierung beeinflusst ebenfalls die Zuverlässigkeit der Antwort. Es wurde festgestellt, dass Prompts mit Beispielen (Few-Shot) die Robustheit des Modells im Vergleich zu Anweisungen ohne Beispiele (Zero-Shot) erheblich steigern. Das Vorhandensein mehrerer Demonstrationsbeispiele im Prompt hilft dem Modell, die Aufgabe auch bei Rauschänderungen korrekter zu interpretieren. Rollenbasierte und aufgabenorientierte Prompts zeigten insgesamt ein vergleichbares Maß an Robustheit, obwohl ihre Wirksamkeit von Aufgabe zu Aufgabe variierte. Beispielsweise war bei Daten zur Sentimentanalyse und zur Erkennung doppelter Sätze das rollenbasierte Format etwas zuverlässiger, während bei Aufgaben zum Leseverständnis und zur Übersetzung explizite Aufgabenanweisungen besser funktionierten. Diese Beobachtungen können als Leitfaden für das Prompt-Design dienen: Das Hinzufügen ausführlicher Beispiele und Rollenkontext verringert die Wahrscheinlichkeit von Modellfehlern bei unkonventionellen Formulierungen.

Übertragbarkeit von Angriffen zwischen Modellen

Die Übertragbarkeit (Transfer) von Angriffen zwischen Modellen erwies sich als begrenzt. Adversarielle Prompts, die speziell gegen ein Modell entwickelt wurden, sind nicht immer gleichermaßen wirksam gegen ein anderes. So wurde festgestellt, dass „Fallen“-Prompts, die für die Schwachstellen von ChatGPT generiert wurden, eine weitaus geringere Wirkung auf GPT-4 hatten. Letzteres schnitt besser ab, wahrscheinlich weil die Angriffe nicht direkt auf seine Architektur übertragbar waren – was ein Modell verwirrt, muss bei einem fortschrittlicheren Modell mit anderer Vorbereitung nicht unbedingt wirken. Dennoch hatten einige einfache Arten von Störungen (z. B. Tippfehler) einen negativen Effekt auf mehrere Modelle gleichzeitig, was auf ähnliche Schwachstellen in ihrer sprachlichen Grundlage hindeutet.

Praktische Empfehlungen

Im Rahmen von PromptBench wurden auch praktische Empfehlungen für Benutzer und Entwickler von LLMs erarbeitet. Eine einfache Schlussfolgerung lautet: Die Stabilität der Formulierung ist wichtig. Es ist notwendig, Tippfehler und unachtsame Formulierungen im Prompt zu vermeiden. Die Autoren zeigen, dass die Korrektur selbst kleiner Fehler (Rechtschreibung, zufällige Groß-/Kleinschreibung, überflüssige Leerzeichen) die Zuverlässigkeit der Modellantwort erheblich verbessern kann. Darüber hinaus beeinflusst die Wortwahl in der Anweisung ihre Robustheit. Eine Analyse der Worthäufigkeit in robusten im Vergleich zu anfälligen Prompts ergab, dass einige Wörter häufiger in „zuverlässigen“ Prompts vorkommen, während andere in jenen auftraten, bei denen das Modell versagte. Beispielsweise führten Prompts, die Wörter wie „acting“, „provided“, „detection“ usw. enthielten, seltener zu Fehlern, während Wörter wie „respond“ („antworte“), „following“ („folgend“) oder „examine“ („untersuche“) in problematischeren Fällen auftraten. Dies deutet darauf hin, dass ein bestimmter Stil und eine bestimmte Lexik in den Anfragen die Schwachstellen des Modells entweder abmildern oder im Gegenteil provozieren können. Im Allgemeinen wird empfohlen, den Prompt so klar, eindeutig und in für das Modell vertrauten Begriffen wie möglich zu formulieren, insbesondere bei kritisch wichtigen Anwendungen.

Ein interessanter Nebeneffekt, der von den Forschern festgestellt wurde, ist der Einfluss des Hinzufügens sinnloser oder irrelevanter Textfragmente zum Prompt. Es stellte sich heraus, dass das Einfügen einer zufälligen Zeichenfolge (z. B. „LKF0FZxMZ4“) am Ende oder in der Mitte des Prompts die Aufmerksamkeit des Modells ablenken und die Genauigkeit seiner Antwort verringern kann. Andererseits führte das Hinzufügen einer neutralen, aber grammatikalisch korrekten Phrase (z. B. „and true is true“ – „und wahr ist wahr“) in einigen Fällen im Gegenteil zu einer Verbesserung der Antwort, als ob das Modell dadurch auf die wichtigen Teile der Frage fokussiert würde. Dieses Phänomen unterstreicht, wie unvorhersehbar LLMs auf scheinbar unwesentliche Details der Eingabe reagieren. Es zeugt auch von der Komplexität des inneren Aufbaus der Modelle: Kleinste Änderungen im Kontext können ihre Leistung entweder stören oder verbessern, je nachdem, wie sich die Aufmerksamkeit des Modells neu verteilt.

Bedeutung und zukünftige Entwicklung

PromptRobust/PromptBench hat einen wesentlichen Beitrag zum Verständnis der Zuverlässigkeit von LLMs geleistet. Der vorgeschlagene Benchmark und die gesammelten Daten sind für die Community offen zugänglich: Der Code und die Sätze adversarieller Prompts sind im Repository verfügbar. Dies ermöglicht es anderen Forschern, neue Modelle auf ihre Robustheit gegenüber Prompt-Variationen zu testen und die Ergebnisse zu vergleichen. Der nächste Schritt ist die Entwicklung von Methoden zum Schutz der Modelle vor solchen Angriffen – zum Beispiel verbesserte Trainingsalgorithmen, die mögliche Tippfehler und Paraphrasierungen berücksichtigen, oder integrierte Systeme zur Normalisierung der Eingabesprache. PromptBench wird bereits als Grundlage für solche Forschungen zur Steigerung der Robustheit (robustness) von Sprachmodellen gegenüber realen, ungenauen Eingabedaten betrachtet.

Letztendlich zeigt die Arbeit von Zhu und Kollegen, wie wichtig es ist, die Robustheit gegenüber Prompts bei der Implementierung von LLMs in praktische Anwendungen zu berücksichtigen: Modelle müssen nicht nur eine hohe Genauigkeit bei „sauberen“ Daten aufweisen, sondern auch bei geringfügigen Abweichungen in der Eingabe korrekt bleiben, seien es zufällige Benutzerfehler oder absichtliche Angriffe.

Weblinks

• Originalartikel zu PromptBench (arXiv)
• PromptBench-Repository auf GitHub
• Artikel „Prompt Robustness: How to Measure and How to Enhance“ (Towards AI)

Literatur

• Liang, P. et al. (2022). Holistic Evaluation of Language Models (HELM). arXiv:2211.09110.
• Chang, Y. et al. (2023). A Survey on Evaluation of Large Language Models. arXiv:2307.03109.
• Ni, S. et al. (2025). A Survey on Large Language Model Benchmarks. arXiv:2508.15361.
• Biderman, S. et al. (2024). The Language Model Evaluation Harness (lm-eval): Guidance and Lessons Learned. arXiv:2405.14782.
• Kiela, D. et al. (2021). Dynabench: Rethinking Benchmarking in NLP. arXiv:2104.14337.
• Ma, Z. et al. (2021). Dynaboard: An Evaluation‑As‑A‑Service Platform for Holistic Next‑Generation Benchmarking. arXiv:2106.06052.
• Goel, K. et al. (2021). Robustness Gym: Unifying the NLP Evaluation Landscape. arXiv:2101.04840.
• Xu, C. et al. (2024). Benchmark Data Contamination of Large Language Models: A Survey. arXiv:2406.04244.
• Liu, S. et al. (2025). A Comprehensive Survey on Safety Evaluation of LLMs. arXiv:2506.11094.
• Chiang, W.-L. et al. (2024). Chatbot Arena: An Open Platform for Evaluating LLMs by Human Preference. arXiv:2403.04132.
• Boubdir, M. et al. (2023). Elo Uncovered: Robustness and Best Practices in Language Model Evaluation. arXiv:2311.17295.
• Huang, L. et al. (2023). A Survey on Hallucination in Large Language Models. arXiv:2311.05232.