PromptRobust (benchmark) (HU)

PromptRobust (más néven PromptBench) — egy átfogó benchmark a nagy nyelvi modellek (LLM) adversariális prompt-változásokkal szembeni robusztusságának értékelésére — olyan kis mértékű fogalmazásbeli torzításokra, amelyek nem változtatják meg a feladat értelmét. A benchmarkot 2023-ban fejlesztette ki egy kutatócsoport (Kaijie Zhu és mtsai.) a Microsoft Research Asia keretein belül. A PromptRobust létrejöttét az a megfigyelés indokolta, hogy a modern nagy nyelvi modellek (BNM) érzékenyek a fogalmazás részleteire: még apró változások (például elgépelések vagy átfogalmazások) is jelentős hatással lehetnek a modellek válaszaira. A benchmark célja ennek a sérülékenységnek a számszerű mérése, valamint a BNM-ekkel való megbízhatóbb interakció módszereinek fejlesztéséhez való hozzájárulás.

Az értékelés módszertana

A PromptBench kutatás keretében 4788 módosított prompt korpuszát hozták létre, amelyek megőrzik a feladatok eredeti értelmét. Ezeket az adversariális promptokat a változtatások nehézségének négy szintjén generálták:

• Karakterszint: Elgépelések, karakterek cseréje vagy felcserélése (véletlenszerű beviteli hibákat imitál).
• Szószint: Egyes szavak szinonimákkal való helyettesítése, „zajos" szavak vagy más kisebb szókincs-módosítások bevezetése.
• Mondatszint: A mondatszerkezet átfogalmazása, mondatrészek hozzáadása vagy felcserélése az általános témát nem érintve.
• Szemantikai szint: A kérés mélyebb újrafogalmazása, miközben megmarad a feladat lényege (például ugyanazon kérdés alternatív megfogalmazásai).

Az ilyen „támadások" célja annak ellenőrzése, hogy a kis eltérések (pl. véletlenszerű elgépelések vagy szinonim megfogalmazások használata) hogyan befolyásolják a modell azon képességét, hogy helyesen elvégezze a feladatot, miközben maga a feladat nem változott. Minden egyes generált adversariális promptot számos standard NLP-feladatra alkalmazták, köztük hangulatelemzés, grammatikai helyesség felismerése, duplikált mondatok keresése, logikai következtetés (NLI), szövegértés, gépi fordítás és matematikai feladatok megoldása. A kísérletekhez 13 dataseten 8 különböző feladattípust választottak ki — a klasszikus GLUE-készletektől (például SST-2 hangulatelemzéshez, MNLI az NLI-hoz) egészen speciális matematikai és többnyelvű tesztekig.

Fontos, hogy különböző prompt-formátumok robusztusságát is ellenőrizték:

• Közvetlen kérések példák nélkül (zero-shot, csak utasítás).
• Néhány példával kiegészített kérések (few-shot, ahol a promptban megoldásminták szerepelnek).
• Szerepalapú promptok (in-context roles, például „Ön egy hangulatelemző rendszer, határozza meg...").
• Feladatleíró promptok (task-oriented, a feladat közvetlen leírása).

Szintén teszteltek különböző méretű és jellegű nyelvi modelleket, a viszonylag kisebb Flan-T5-large-tól és az UL2 modelltől egészen a fejlett ChatGPT-ig és GPT-4-ig, valamint az LLaMA 2 családba tartozó nyílt modellekig és az azokból levezetett Vicunáig. A támadások generálásához az adversariális NLP területéről meglévő módszereket (például TextBugger, DeepWordBug, TextFooler stb.) használtak, amelyeket a bemeneti adatok helyett a promptok módosítására adaptáltak. A kapott „torzított" promptok helyességét automatikus és kézi módszerekkel ellenőrizték; a jelentés szerint az adversariális variánsok legalább 85%-a megőrzi a helyes szemantikát és érthető az ember számára. Így a támadások hatása valóban a modell azon hibáit tükrözi, amelyek az átfogalmazott feladat értelmezésekor lépnek fel, nem pedig magának a feladat értelmének elvesztését.

Eredmények és következtetések

A vizsgálatok megmutatták, hogy a modern BNM-ek nem eléggé robusztusak a kérések kisebb fogalmazásbeli változásaival szemben. Minden tesztelt modellnél jelentős teljesítménycsökkenés volt megfigyelhető a generált támadások hatására. Különösen figyelemreméltó, hogy még egyszerű esetek — például egy elgépelés egy matematikai feladat szövegében, vagy egy kulcsszó szinonimájával való helyettesítése — is oda vezettek, hogy a modell hibás eredményt adott, holott torzítás nélkül helyesen oldotta meg ugyanazt. A szerzők általános következtetése: „a modern nagy nyelvi modellek nem robusztusak az adversariális promptokkal szemben", vagyis a fogalmazásbeli kisebb eltérések szisztematikusan félrevezethetik őket.

A különböző támadástípusok elemzése során kiderült, hogy a BNM-ek működésére a szószintű változtatások hatnak a legjobban. A szavak szinonimákkal való helyettesítése vagy kisebb szóalaki torzítások a legnagyobb teljesítménycsökkenést okozták — átlagosan ≈33%-kal az ugyanazon feladatokon elért eredeti teljesítményhez képest. A karakterszintű támadások (elgépelések, véletlenszerű karakterek) átlagosan ~20%-os pontosságcsökkenést okoztak. A teljes mondatok minőségi megváltoztatása vagy hozzáadása a prompthoz ezzel szemben sokkal gyengébb hatással bírt, és szinte nem is tette tévútra a modellt. A szemantikai átfogalmazások (a kérés mélyebb, más módon való újramondása) a közvetlen elgépelésekhez hasonló mértékben bizonyultak károsnak. Ezek a tények kiemelik, hogy a BNM-ek különösen sérülékenyek a finom lexikai változásokra és a kulcsszavakban lévő hibákra. Jellemző, hogy a grammatikai torzítások (elgépelések) elméletben szokványos helyesírás-ellenőrzőkkel szűrhetők, míg a szó- és jelentésszintű változások fejlett szemantikai megértést kívánnak a modelltől, amellyel a jelenlegi modellek gyakran nem rendelkeznek.

A különböző modellek teljesítményének elemzése jelentős szórást mutatott robusztusságuk tekintetében. A GPT-4 és az UL2 mutatta a legjobb ellenállást az adversariális promptokkal szemben. Valamivel kevésbé volt hibára hajlamos a Flan-T5-large modell és a párbeszédes ChatGPT modell is. Az LLaMA 2 modellcsalád középmezőnybe sorolható, míg a Vicuna (13B) a leginkább sérülékenynek bizonyult minden támadástípussal szemben. Érdekes, hogy a modellméret nem bizonyult döntő tényezőnek a robusztusság szempontjából: a viszonylag kisebb T5-large a válasz stabilitása tekintetében alig maradt el a sokkal nagyobb ChatGPT modelltől. A szerzők úgy vélik, hogy a kulcsszerepet a modellek tanítási és fine-tuning módszerei játsszák, nem csupán a méretük. Az UL2 és a T5-large kiterjedt előtanítást kapott nagy adatkorpuszokon, a ChatGPT-t pedig emberi visszajelzéssel megerősített tanulással (RLHF) képezték, ami erősíthette robusztusságukat. Ezzel szemben a Vicuna viszonylag korlátozott adatkészleten tanult (nyílt replikaként), ami valószínűleg nagy érzékenységét okozza a fogalmazásbeli változásokra. Ezek az eredmények arra utalnak, hogy a fine-tuning módszereinek javítása nagyobb mértékben fokozhatja a modellek megbízhatóságát, mint pusztán méretük növelése.

A prompt formátumának hatása

A kérés benyújtásának formája szintén befolyásolja a válasz megbízhatóságát. Megállapítást nyert, hogy a példákat tartalmazó (few-shot) promptok jelentősen növelik a modell robusztusságát a példa nélküli, egylépéses utasításokhoz (zero-shot) képest. A promptban szereplő néhány demonstrációs példa segít a modellnek helyesebben értelmezni a feladatot még zajos változtatások esetén is. A szerepalapú és a leíró (task-oriented) promptok összességében hasonló robusztussági szintet mutattak, bár hatékonyságuk feladatonként változott. Például a hangulatelemzés és a duplikált mondatok felismerése területén a szerepalapú formátum volt kicsit megbízhatóbb, míg a szövegértési és fordítási feladatoknál az explicit feladatleírások működtek jobban. Ezek a megfigyelések iránymutatásként szolgálhatnak a prompt-tervezéshez: részletes példák és szerepkontextus hozzáadása csökkenti annak valószínűségét, hogy a modell hibázzon nem szokványos fogalmazásoknál.

A támadások átvitele modellek között

A támadások átvitele (transzfer) modellek között korlátozottnak bizonyult. Az egyik modell ellen kifejezetten kidolgozott adversariális promptok nem mindig hatnak egyformán egy másik modell ellen. Megfigyelték például, hogy a ChatGPT sérülékenységeire generált „csapda" promptok sokkal kisebb hatással vannak a GPT-4-re. Az utóbbi jobban teljesített, valószínűleg azért, mert a támadások nem vitték át közvetlenül az architektúrájára — ami az egyik modellt megzavarja, az esetleg nem hat egy fejlettebb, eltérő felkészítésű modellre. Ugyanakkor néhány egyszerű torzítástípus (például elgépelések) egyszerre több modellre is negatív hatással volt, ami hasonló gyenge pontokra utal ezek nyelvi alapjaiban.

Gyakorlati ajánlások

A PromptBench munka során praktikus ajánlásokat is azonosítottak a BNM-ek felhasználói és fejlesztői számára. Az egyszerű következtetés: a fogalmazás stabilitásának van jelentősége. Szükséges elkerülni az elgépeléseket és a hanyag fogalmazást a kérésekben. A szerzők megmutatják, hogy még kisebb hibák javítása is (helyesírás, véletlenszerű kis-nagybetű, felesleges szóközök) lényegesen növelheti a modell válaszainak megbízhatóságát. Emellett az utasításban használt szavak megválasztása befolyásolja annak robusztusságát. A robusztus kontra sérülékeny promptokban szereplő szavak gyakorisági elemzése kimutatta, hogy egyes szavak gyakrabban fordulnak elő a „megbízható" promptokban, mások pedig azokban, ahol a modell eltévedt. Például az „acting", „provided", „detection" és hasonló szavakat tartalmazó promptok ritkábban vezettek hibához, míg a „respond", „following" vagy „examine" szavak a problémásabb esetekben fordultak elő gyakrabban. Ez arra utal, hogy a kérések bizonyos stílusa és szókincse enyhítheti, illetve ellenkezőleg, provokálhatja a modell sérülékenységeit. Általánosan ajánlott a kérést a lehető legvilágosabban, egyértelműen és a modell számára megszokott terminológiával fogalmazni, különösen kritikus fontosságú alkalmazások esetén.

A kutatók által feljegyzett érdekes mellékhatás az értelmetlen vagy irreleváns szövegrészletek kérésbe való beillesztésének hatása. Kiderült, hogy véletlenszerű karaktersorozat beillesztése (például „LKF0FZxMZ4") a prompt végébe vagy közepébe képes elterelni a modell figyelmét és csökkenteni a válasz pontosságát. Másfelől egy semleges, de grammatikailag helyes mondat hozzáadása (például „and true is true" — „és az igaz igaz") egyes esetekben épp ellenkezőleg javította a választ, mintha a modell figyelmét az értékes kérdésrészekre fókuszálta volna. Ez a jelenség rámutat, mennyire kiszámíthatatlanul reagálnak a BNM-ek a látszólag lényegtelen beviteli részletekre. Ez egyúttal a modellek belső felépítésének összetettségét is tanúsítja: a kontextus apró változásai képesek akár rontani, akár javítani működésüket, attól függően, hogyan rendeződik át a modell figyelme.

Jelentőség és további fejlesztés

A PromptRobust/PromptBench jelentős mértékben hozzájárult a BNM-ek megbízhatóságának megértéséhez. A javasolt benchmark és az összegyűjtött adatok nyitottak a közösség számára: a kód és az adversariális promptkészletek elérhetők a tárházban. Ez lehetővé teszi más kutatóknak, hogy új modelleket teszteljenek a kérésváltozatokkal szembeni robusztusság szempontjából, és összehasonlítsák az eredményeket. A következő lépés a modellek ilyen támadásokkal szembeni védelmét szolgáló módszerek kidolgozása — például fejlettebb tanítási algoritmusok, amelyek figyelembe veszik a lehetséges elgépeléseket és átfogalmazásokat, vagy beépített bemeneti normalizáló rendszerek. A PromptBench-t már az ilyen, a nyelvi modellek valós, pontatlan bemeneti adatokkal szembeni robusztusságát növelő kutatások alapjaként tekintik.

Végső soron Zhu és kollégái munkája rámutat annak fontosságára, hogy a prompt-robusztusságot figyelembe kell venni a BNM-ek gyakorlati alkalmazásokban való bevezetésekor: a modelleknek nemcsak „tiszta" adatokon kell magas pontosságot mutatniuk, hanem a bevitel kisebb eltérései esetén is meg kell őrizniük a helyességet, legyen szó akár a felhasználó véletlen hibáiról, akár szándékos támadó beavatkozásokról.

Hivatkozások

• Az eredeti PromptBench cikk (arXiv)
• A PromptBench tárháza a GitHubon
• „Prompt Robustness: How to Measure and How to Enhance" cikk (Towards AI)

Irodalom

• Liang, P. et al. (2022). Holistic Evaluation of Language Models (HELM). arXiv:2211.09110.
• Chang, Y. et al. (2023). A Survey on Evaluation of Large Language Models. arXiv:2307.03109.
• Ni, S. et al. (2025). A Survey on Large Language Model Benchmarks. arXiv:2508.15361.
• Biderman, S. et al. (2024). The Language Model Evaluation Harness (lm-eval): Guidance and Lessons Learned. arXiv:2405.14782.
• Kiela, D. et al. (2021). Dynabench: Rethinking Benchmarking in NLP. arXiv:2104.14337.
• Ma, Z. et al. (2021). Dynaboard: An Evaluation‑As‑A‑Service Platform for Holistic Next‑Generation Benchmarking. arXiv:2106.06052.
• Goel, K. et al. (2021). Robustness Gym: Unifying the NLP Evaluation Landscape. arXiv:2101.04840.
• Xu, C. et al. (2024). Benchmark Data Contamination of Large Language Models: A Survey. arXiv:2406.04244.
• Liu, S. et al. (2025). A Comprehensive Survey on Safety Evaluation of LLMs. arXiv:2506.11094.
• Chiang, W.-L. et al. (2024). Chatbot Arena: An Open Platform for Evaluating LLMs by Human Preference. arXiv:2403.04132.
• Boubdir, M. et al. (2023). Elo Uncovered: Robustness and Best Practices in Language Model Evaluation. arXiv:2311.17295.
• Huang, L. et al. (2023). A Survey on Hallucination in Large Language Models. arXiv:2311.05232.