PromptRobust (benchmark) (ID)

From Systems analysis Wiki
Jump to navigation Jump to search

PromptRobust (juga dikenal sebagai PromptBench) — adalah sebuah benchmark komprehensif untuk mengevaluasi ketahanan large language model (LLM) terhadap perubahan adversarial pada prompt — distorsi kecil pada rumusan tugas yang tidak mengubah maknanya[1][2]. Benchmark ini dikembangkan pada tahun 2023 oleh sekelompok peneliti (Kaijie Zhu dkk.) dari Microsoft Research Asia[1]. Kemunculan PromptRobust dilatarbelakangi oleh pengamatan bahwa BYM (model bahasa besar) modern sensitif terhadap detail rumusan: bahkan perubahan kecil (misalnya, kesalahan ketik atau parafrase) dapat memengaruhi respons model secara signifikan[2]. Benchmark ini bertujuan mengukur kerentanan tersebut secara kuantitatif dan mendorong pengembangan metode interaksi dengan BYM yang lebih andal.

Metodologi Evaluasi

Dalam kerangka penelitian PromptBench, dikumpulkan korpus berisi 4788 prompt yang telah dimodifikasi, yang tetap mempertahankan makna asli tugas[3]. Prompt-prompt adversarial ini dihasilkan pada empat tingkat kompleksitas perubahan[1]:

  • Tingkat karakter: Penyisipan kesalahan ketik, penggantian atau permutasi karakter (meniru kesalahan input yang tidak disengaja).
  • Tingkat kata: Penggantian sebagian kata dengan sinonim, penambahan kata-kata "noise" atau perubahan leksikal kecil lainnya.
  • Tingkat kalimat: Parafrase struktur kalimat, penambahan atau permutasi bagian frasa tanpa mengubah topik keseluruhan.
  • Tingkat semantik: Reformulasi permintaan yang lebih mendalam dengan tetap mempertahankan tugasnya (misalnya, rumusan alternatif dari pertanyaan yang sama)[1].

Tujuan "serangan" semacam ini adalah untuk memeriksa bagaimana penyimpangan kecil (misalnya, kesalahan ketik acak atau penggunaan rumusan sinonim) memengaruhi kemampuan model dalam menyelesaikan tugas dengan benar, padahal tugas itu sendiri tidak berubah[1]. Setiap prompt adversarial yang dihasilkan diterapkan pada sejumlah tugas NLP standar, termasuk analisis sentimen, deteksi ketepatan gramatikal, pencarian kalimat duplikat, inferensi logis (NLI), membaca pemahaman, penerjemahan mesin, dan pemecahan soal matematika[1]. Untuk eksperimen dipilih 8 jenis tugas yang berbeda pada 13 dataset — mulai dari kumpulan data klasik GLUE (misalnya, SST-2 untuk sentimen, MNLI untuk NLI) hingga tes matematika dan multibahasa yang lebih khusus[1].

Penting untuk dicatat bahwa ketahanan berbagai format prompt juga diperiksa[1]:

  • Permintaan langsung tanpa contoh (zero-shot, hanya instruksi).
  • Permintaan dengan beberapa contoh (few-shot, di mana prompt berisi sampel penyelesaian).
  • Prompt berbasis peran (in-context roles, misalnya, "Anda adalah sistem analisis sentimen, tentukan...").
  • Prompt yang mendeskripsikan tugas (task-oriented, deskripsi langsung dari tugas)[1].

Berbagai large language model juga diuji, mulai dari Flan-T5-large yang relatif kecil dan model UL2 hingga ChatGPT dan GPT-4 yang lebih canggih, serta model-model dari keluarga LLaMA 2 yang bersifat terbuka dan turunannya Vicuna[1]. Untuk menghasilkan serangan digunakan metode-metode yang sudah ada dari bidang adversarial NLP (seperti TextBugger, DeepWordBug, TextFooler, dan lain-lain), yang diadaptasi untuk memodifikasi prompt alih-alih data masukan[1]. Kebenaran prompt "yang terdistorsi" yang dihasilkan diverifikasi dengan metode otomatis dan manual; menurut laporan, setidaknya 85% variasi adversarial mempertahankan semantik yang benar dan dapat dipahami oleh manusia[1]. Dengan demikian, dampak serangan mencerminkan kegagalan model dalam memahami tugas yang diparafrase, bukan hilangnya makna tugas itu sendiri.

Hasil dan Kesimpulan

Pengujian menunjukkan bahwa BYM modern tidak cukup tahan terhadap perubahan kecil pada rumusan prompt[3]. Penurunan kualitas respons yang signifikan akibat serangan yang dihasilkan diamati pada semua model yang diuji[3]. Secara khusus, bahkan kasus-kasus sederhana — seperti kesalahan ketik dalam teks soal matematika atau penggantian satu kata kunci dengan sinonimnya — menyebabkan model memberikan hasil yang salah, padahal tanpa distorsi model tersebut dapat menjawab dengan benar[1]. Kesimpulan umum para penulis: "large language model modern tidak bersifat robust (tahan) terhadap prompt adversarial"[3], artinya penyimpangan kecil dalam phrasing dapat secara sistematis menyesatkan model-model tersebut.

Dalam analisis berbagai jenis serangan, ditemukan bahwa perubahan pada tingkat kata paling merusak kinerja BYM[2]. Penggantian kata dengan sinonim atau distorsi pembentukan kata yang kecil menyebabkan penurunan kualitas terbesar — rata-rata sekitar ≈33% relatif terhadap hasil awal pada tugas yang sama[2]. Serangan pada tingkat karakter (kesalahan ketik, karakter acak) menyebabkan penurunan akurasi rata-rata sekitar ~20%[2]. Perubahan kualitatif atau penambahan kalimat utuh dalam prompt, sebaliknya, memiliki efek yang jauh lebih lemah dan hampir tidak membingungkan model[1]. Parafrase semantik (penceritaan ulang permintaan secara mendalam dengan cara yang berbeda) terbukti sebanding dalam tingkat kerusakannya dengan kesalahan ketik sederhana[1]. Fakta-fakta ini menekankan bahwa BYM sangat rentan terhadap perubahan leksikal halus dan kesalahan pada kata-kata kunci[1]. Yang menarik, distorsi gramatikal (kesalahan ketik) secara teoritis dapat disaring dengan alat pemeriksaan ejaan standar, sementara perubahan pada tingkat kata dan makna memerlukan pemahaman semantik yang lebih maju dari model, yang sering kali tidak dimiliki oleh model-model saat ini[1].

Analisis performa berbagai model menunjukkan variasi yang signifikan dalam ketahanan mereka[1]. GPT-4 dan UL2 menunjukkan ketahanan terbaik terhadap prompt adversarial[1]. Model Flan-T5-large dan model dialog ChatGPT juga terbukti sedikit lebih tahan terhadap gangguan[1]. Model-model dari keluarga LLaMA 2 menempati posisi menengah, sementara Vicuna (13B) menonjol sebagai model yang paling rentan terhadap semua jenis serangan[1]. Menariknya, ukuran model tidak terbukti menjadi faktor penentu ketahanan[1]: T5-large yang relatif kecil hampir tidak kalah dalam stabilitas respons dibandingkan ChatGPT yang jauh lebih besar[1]. Para penulis menduga bahwa metode pelatihan dan fine-tuning model memainkan peran kunci, bukan sekadar skala[1]. Misalnya, UL2 dan T5-large menjalani pre-training ekstensif pada korpus data besar, sementara ChatGPT dilatih dengan reinforcement learning dari umpan balik manusia (RLHF), yang mungkin memperkuat ketahanan mereka[1]. Sebaliknya, Vicuna dilatih pada kumpulan data yang relatif terbatas (sebagai replika terbuka), yang kemungkinan besar menyebabkan sensitivitasnya yang tinggi terhadap perubahan rumusan[1]. Hasil-hasil ini mengindikasikan bahwa peningkatan metode fine-tuning dapat meningkatkan keandalan model lebih kuat daripada sekadar memperbesar ukurannya.

Pengaruh Format Prompt

Bentuk penyajian permintaan juga memengaruhi keandalan respons[1]. Ditemukan bahwa prompt dengan contoh (few-shot) secara signifikan meningkatkan ketahanan model dibandingkan dengan instruksi satu langkah tanpa contoh (zero-shot)[1]. Kehadiran beberapa contoh demonstrasi tugas dalam prompt membantu model menginterpretasikan tugas dengan lebih akurat bahkan ketika terdapat perubahan noise. Prompt berbasis peran dan deskriptif (task-oriented) menunjukkan tingkat ketahanan yang sebanding secara keseluruhan, meskipun efektivitasnya bervariasi dari satu tugas ke tugas lainnya[1]. Misalnya, dalam data analisis sentimen dan kalimat duplikat, format peran sedikit lebih andal, sementara dalam tugas membaca pemahaman dan penerjemahan, instruksi tugas yang eksplisit bekerja lebih baik[1]. Pengamatan ini dapat menjadi panduan dalam perancangan prompt: penambahan contoh yang lengkap dan konteks peran mengurangi kemungkinan kesalahan model pada rumusan yang tidak biasa.

Transferabilitas Serangan Antar Model

Transferabilitas serangan antar model terbukti terbatas[1]. Prompt adversarial yang dirancang khusus untuk melawan satu model tidak selalu sama efektifnya terhadap model lain[1]. Misalnya, dicatat bahwa prompt "jebakan" yang dihasilkan untuk kerentanan ChatGPT memiliki dampak yang jauh lebih lemah terhadap GPT-4[1]. Yang terakhir bekerja lebih baik, kemungkinan karena serangan tidak dapat ditransfer langsung ke arsitekturnya — apa yang membingungkan satu model mungkin tidak berpengaruh pada model yang lebih canggih dengan pelatihan yang berbeda[1]. Namun demikian, beberapa jenis distorsi sederhana (misalnya, kesalahan ketik) memberikan efek negatif pada beberapa model sekaligus, yang menunjukkan adanya kelemahan serupa dalam fondasi bahasa mereka.

Rekomendasi Praktis

Dalam penelitian PromptBench, rekomendasi praktis bagi pengguna dan pengembang BYM juga diidentifikasi[2]. Kesimpulan sederhana: stabilitas rumusan itu penting[2]. Perlu menghindari kesalahan ketik dan rumusan yang ceroboh dalam permintaan[2]. Para penulis menunjukkan bahwa memperbaiki bahkan kesalahan kecil (ejaan, kapitalisasi acak, spasi berlebih) dapat secara signifikan meningkatkan keandalan respons model[2]. Selain itu, pilihan kata dalam instruksi memengaruhi ketahanannya[2]. Analisis frekuensi istilah dalam prompt yang tahan vs. yang rentan mengungkapkan bahwa beberapa kata lebih sering muncul dalam prompt yang "andal", sementara yang lain muncul dalam kasus di mana model gagal[2]. Misalnya, prompt yang mengandung kata-kata seperti "acting", "provided", "detection", dan sejenisnya lebih jarang menyebabkan kegagalan, sementara kata-kata seperti "respond", "following", atau "examine" lebih sering muncul dalam kasus yang lebih bermasalah[2]. Ini mengindikasikan bahwa gaya dan kosakata permintaan tertentu dapat memitigasi atau sebaliknya memicu kerentanan model. Secara umum, disarankan untuk merumuskan permintaan sejelasnya, sejelas mungkin, dan dalam istilah yang familiar bagi model, terutama untuk aplikasi yang kritis[2].

Efek sampingan yang menarik yang dicatat oleh para peneliti adalah pengaruh penambahan fragmen teks yang tidak bermakna atau tidak relevan ke dalam permintaan[2]. Ditemukan bahwa penyisipan urutan karakter acak (misalnya, "LKF0FZxMZ4") di bagian akhir atau tengah prompt dapat mengalihkan perhatian model dan menurunkan akurasi responsnya[2]. Di sisi lain, penambahan frasa netral namun gramatikal (misalnya, "and true is true") dalam beberapa kasus justru meningkatkan respons, seolah-olah memfokuskan model pada bagian pertanyaan yang bermakna[2]. Fenomena ini menekankan betapa tidak terprediksinya reaksi BYM terhadap detail input yang tampaknya tidak signifikan. Hal ini juga membuktikan kompleksitas struktur internal model: perubahan konteks sekecil apapun dapat mengganggu maupun meningkatkan kinerjanya, tergantung pada bagaimana perhatian model didistribusikan ulang.

Signifikansi dan Pengembangan Lebih Lanjut

PromptRobust/PromptBench memberikan kontribusi signifikan terhadap pemahaman keandalan BYM[2]. Benchmark yang diusulkan dan data yang dikumpulkan tersedia untuk komunitas: kode dan kumpulan prompt adversarial dapat diakses di repositori[1]. Hal ini memungkinkan peneliti lain untuk menguji model-model baru terhadap ketahanan terhadap variasi prompt dan membandingkan hasilnya[1]. Langkah berikutnya adalah pengembangan metode untuk melindungi model dari serangan semacam itu — misalnya, algoritma pelatihan yang ditingkatkan yang memperhitungkan kemungkinan kesalahan ketik dan parafrase, atau sistem normalisasi input bawaan[2]. PromptBench sudah dipandang sebagai landasan untuk penelitian semacam itu guna meningkatkan robustness (ketahanan) language model terhadap data input yang tidak tepat dalam kondisi nyata[2].

Pada akhirnya, karya Zhu dan rekan-rekan menunjukkan pentingnya mempertimbangkan ketahanan terhadap prompt dalam penerapan BYM pada aplikasi praktis: model tidak hanya harus menunjukkan akurasi tinggi pada data yang "bersih", tetapi juga mempertahankan ketepatan ketika terdapat penyimpangan kecil pada input, baik itu kesalahan pengguna yang tidak disengaja maupun tindakan serangan yang disengaja[2][4].

Tautan

  • Artikel asli PromptBench (arXiv)
  • Repositori PromptBench di GitHub
  • Artikel "Prompt Robustness: How to Measure and How to Enhance" (Towards AI)

Daftar Pustaka

  • Liang, P. et al. (2022). Holistic Evaluation of Language Models (HELM). arXiv:2211.09110.
  • Chang, Y. et al. (2023). A Survey on Evaluation of Large Language Models. arXiv:2307.03109.
  • Ni, S. et al. (2025). A Survey on Large Language Model Benchmarks. arXiv:2508.15361.
  • Biderman, S. et al. (2024). The Language Model Evaluation Harness (lm-eval): Guidance and Lessons Learned. arXiv:2405.14782.
  • Kiela, D. et al. (2021). Dynabench: Rethinking Benchmarking in NLP. arXiv:2104.14337.
  • Ma, Z. et al. (2021). Dynaboard: An Evaluation‑As‑A‑Service Platform for Holistic Next‑Generation Benchmarking. arXiv:2106.06052.
  • Goel, K. et al. (2021). Robustness Gym: Unifying the NLP Evaluation Landscape. arXiv:2101.04840.
  • Xu, C. et al. (2024). Benchmark Data Contamination of Large Language Models: A Survey. arXiv:2406.04244.
  • Liu, S. et al. (2025). A Comprehensive Survey on Safety Evaluation of LLMs. arXiv:2506.11094.
  • Chiang, W.-L. et al. (2024). Chatbot Arena: An Open Platform for Evaluating LLMs by Human Preference. arXiv:2403.04132.
  • Boubdir, M. et al. (2023). Elo Uncovered: Robustness and Best Practices in Language Model Evaluation. arXiv:2311.17295.
  • Huang, L. et al. (2023). A Survey on Hallucination in Large Language Models. arXiv:2311.05232.

Catatan

  1. ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 1.11 1.12 1.13 1.14 1.15 1.16 1.17 1.18 1.19 1.20 1.21 1.22 1.23 1.24 1.25 1.26 1.27 1.28 1.29 1.30 1.31 1.32 1.33 1.34 1.35 «PromptBench: Towards Evaluating the Robustness of Large Language Models on Adversarial Prompts». arXiv. [1]
  2. ↑ 2.00 2.01 2.02 2.03 2.04 2.05 2.06 2.07 2.08 2.09 2.10 2.11 2.12 2.13 2.14 2.15 2.16 2.17 2.18 2.19 «Prompt Robustness: How to Measure and How to Enhance». Towards AI. [2]
  3. ↑ 3.0 3.1 3.2 3.3 «PromptRobust: Towards Evaluating the Robustness of Large Language Models on Adversarial Prompts». arXiv. [3]
  4. ↑ «Realer Toxicity Prompts (RTP-2.0): Multilingual and Adversarial Prompts for Evaluating Neural Toxic Degeneration in Large Language Models». Language Technologies Institute - School of Computer Science - Carnegie Mellon University. [4]
Retrieved from "https://systems-analysis.info/int/index.php?title=PromptRobust_(benchmark)_(ID)&oldid=5942"