PromptRobust (benchmark) (VI)

From Systems analysis Wiki
Jump to navigation Jump to search

PromptRobust (còn được gọi là PromptBench) — là một benchmark toàn diện để đánh giá độ bền vững của các mô hình ngôn ngữ lớn (LLM) trước những thay đổi đối kháng trong câu truy vấn — những biến dạng nhỏ trong cách diễn đạt nhiệm vụ mà không làm thay đổi ý nghĩa của nó[1][2]. Benchmark này được phát triển vào năm 2023 bởi một nhóm các nhà nghiên cứu (Kaijie Zhu và cộng sự) từ Microsoft Research Asia[1]. Sự ra đời của PromptRobust xuất phát từ quan sát rằng các LLM hiện đại rất nhạy cảm với chi tiết diễn đạt: ngay cả những thay đổi nhỏ (ví dụ như lỗi đánh máy hoặc paraphrase) cũng có thể ảnh hưởng đáng kể đến câu trả lời của mô hình[2]. Benchmark này nhằm đo lường định lượng lỗ hổng đó và thúc đẩy việc phát triển các phương pháp tương tác với LLM đáng tin cậy hơn.

Phương pháp đánh giá

Trong khuôn khổ nghiên cứu PromptBench, một tập corpus gồm 4788 prompt đã được biến đổi (vẫn giữ nguyên ý nghĩa ban đầu của nhiệm vụ) đã được xây dựng[3]. Các prompt đối kháng này được tạo ra ở bốn cấp độ thay đổi[1]:

  • Cấp độ ký tự: Chèn lỗi đánh máy, thay thế hoặc hoán vị ký tự (mô phỏng các lỗi nhập liệu ngẫu nhiên).
  • Cấp độ từ: Thay thế một số từ bằng từ đồng nghĩa, chèn các từ "nhiễu" hoặc thực hiện các thay đổi từ vựng nhỏ khác.
  • Cấp độ câu: Paraphrase cấu trúc câu, thêm hoặc hoán vị các phần của cụm từ mà không thay đổi chủ đề chung.
  • Cấp độ ngữ nghĩa: Diễn đạt lại câu truy vấn ở mức độ sâu hơn trong khi vẫn giữ nguyên nhiệm vụ (ví dụ: các cách diễn đạt thay thế của cùng một câu hỏi)[1].

Mục đích của các "cuộc tấn công" như vậy là kiểm tra xem những sai lệch nhỏ (ví dụ: lỗi đánh máy ngẫu nhiên hoặc sử dụng các cách diễn đạt đồng nghĩa) ảnh hưởng như thế nào đến khả năng thực hiện đúng nhiệm vụ của mô hình, trong khi bản thân nhiệm vụ không thay đổi[1]. Mỗi prompt đối kháng được tạo ra đều được áp dụng cho một số nhiệm vụ NLP tiêu chuẩn, bao gồm phân tích cảm xúc, phát hiện tính đúng ngữ pháp, tìm kiếm câu trùng lặp, suy luận logic (NLI), đọc hiểu, dịch máy và giải bài toán][1]. Đối với các thí nghiệm, đã chọn 8 loại nhiệm vụ khác nhau trên 13 dataset — từ các bộ dữ liệu GLUE cổ điển (ví dụ: SST-2 cho phân tích cảm xúc, MNLI cho NLI) đến các bài kiểm tra toán học và đa ngôn ngữ chuyên biệt[1].

Điều quan trọng là tính bền vững của các định dạng prompt khác nhau đã được kiểm tra[1]:

  • Câu truy vấn trực tiếp không có ví dụ (zero-shot, chỉ có hướng dẫn).
  • Câu truy vấn với một vài ví dụ (few-shot, khi prompt có các mẫu giải).
  • Prompt theo vai (in-context roles, ví dụ: "Bạn là hệ thống phân tích cảm xúc, hãy xác định...").
  • Prompt mô tả nhiệm vụ (task-oriented, mô tả trực tiếp về nhiệm vụ)[1].

Ngoài ra, nhiều mô hình ngôn ngữ quy mô lớn khác nhau cũng đã được kiểm tra, từ Flan-T5-large tương đối nhỏ và mô hình UL2 đến ChatGPT và GPT-4 tiên tiến, cũng như các mô hình mã nguồn mở thuộc họ LLaMA 2 và Vicuna dẫn xuất từ đó[1]. Để tạo ra các cuộc tấn công, các phương pháp hiện có từ lĩnh vực NLP đối kháng đã được sử dụng (như TextBugger, DeepWordBug, TextFooler và các phương pháp khác), được điều chỉnh để sửa đổi prompt thay vì dữ liệu đầu vào[1]. Tính đúng đắn của các prompt "bị biến dạng" thu được đã được xác minh bằng các phương pháp tự động và thủ công; theo báo cáo, ít nhất 85% các biến thể đối kháng vẫn giữ ngữ nghĩa chính xác và có thể hiểu được đối với con người[1]. Do đó, ảnh hưởng của các cuộc tấn công phản ánh chính xác các lỗi của mô hình trong việc diễn giải nhiệm vụ được paraphrase, chứ không phải là mất đi ý nghĩa của nhiệm vụ.

Kết quả và kết luận

Các thí nghiệm cho thấy rằng các LLM hiện đại không đủ bền vững trước những thay đổi nhỏ trong cách diễn đạt câu truy vấn[3]. Đối với tất cả các mô hình được kiểm tra, chất lượng câu trả lời giảm đáng kể dưới tác động của các cuộc tấn công được tạo ra[3]. Cụ thể, ngay cả những trường hợp đơn giản — chẳng hạn như lỗi đánh máy trong văn bản bài toán hoặc thay thế một từ khóa bằng từ đồng nghĩa của nó — cũng dẫn đến việc mô hình cho ra kết quả sai, mặc dù không có biến dạng thì mô hình trả lời đúng[1]. Kết luận chung của các tác giả: "các mô hình ngôn ngữ lớn hiện đại không robust (bền vững) đối với các prompt đối kháng"[3], tức là những sai lệch nhỏ trong cách diễn đạt có thể khiến chúng bị hiểu sai một cách có hệ thống.

Khi phân tích các loại tấn công khác nhau, người ta nhận thấy rằng những thay đổi ở cấp độ từ có tác hại lớn nhất đối với hoạt động của LLM[2]. Việc thay thế các từ bằng từ đồng nghĩa hoặc biến dạng nhỏ về hình thái từ dẫn đến sự sụt giảm chất lượng lớn nhất — trung bình khoảng ≈33% so với kết quả ban đầu trên cùng các nhiệm vụ[2]. Các cuộc tấn công ở cấp độ ký tự (lỗi đánh máy, ký tự ngẫu nhiên) gây ra mức giảm độ chính xác trung bình khoảng ~20%[2]. Ngược lại, việc thay đổi hoặc thêm toàn bộ câu vào prompt có tác động yếu hơn nhiều, hầu như không làm mô hình bị lạc hướng[1]. Paraphrase ngữ nghĩa (diễn đạt lại sâu câu truy vấn theo cách khác) tỏ ra có mức độ gây hại tương đương với lỗi đánh máy đơn giản[1]. Những sự thật này nhấn mạnh rằng LLM đặc biệt dễ bị tổn thương trước những thay đổi từ vựng tinh tế và lỗi trong các từ khóa[1]. Đáng chú ý là các biến dạng ngữ pháp (lỗi đánh máy) về mặt lý thuyết có thể được lọc bằng các công cụ kiểm tra chính tả tiêu chuẩn, trong khi các thay đổi ở cấp độ từ và ý nghĩa đòi hỏi mô hình phải có khả năng hiểu ngữ nghĩa phát triển, điều mà các mô hình hiện tại thường thiếu[1].

Phân tích hiệu suất của các mô hình khác nhau cho thấy sự phân tán đáng kể về độ bền vững của chúng[1]. GPT-4 và UL2 thể hiện khả năng chống chịu tốt nhất trước các prompt đối kháng[1]. Mô hình Flan-T5-large và mô hình hội thoại ChatGPT cũng ít bị lỗi hơn một chút[1]. Các mô hình thuộc họ LLaMA 2 chiếm vị trí trung gian, trong khi Vicuna (13B) nổi bật là mô hình dễ bị tổn thương nhất trước tất cả các loại tấn công[1]. Điều thú vị là kích thước mô hình không phải là yếu tố quyết định độ bền vững[1]: T5-large tương đối nhỏ về mặt ổn định câu trả lời thực tế không thua kém mô hình ChatGPT lớn hơn nhiều[1]. Các tác giả cho rằng các phương pháp đào tạo và fine-tuning của mô hình đóng vai trò chủ chốt, chứ không chỉ là quy mô[1]. Vì vậy, UL2 và T5-large đã trải qua quá trình pre-training mở rộng trên các kho ngữ liệu lớn, còn ChatGPT được đào tạo với Reinforcement Learning from Human Feedback (RLHF), điều này có thể đã tăng cường độ bền vững của chúng[1]. Ngược lại, Vicuna được đào tạo trên một tập dữ liệu tương đối hạn chế (như một bản sao mã nguồn mở), điều này có thể giải thích độ nhạy cảm cao của nó với những thay đổi trong cách diễn đạt[1]. Những kết quả này chỉ ra rằng việc cải thiện các phương pháp fine-tuning có thể nâng cao độ tin cậy của mô hình mạnh hơn so với việc đơn giản tăng kích thước của chúng.

Ảnh hưởng của định dạng prompt

Hình thức trình bày câu truy vấn cũng ảnh hưởng đến độ tin cậy của câu trả lời[1]. Người ta đã xác định rằng các prompt có ví dụ (few-shot) làm tăng đáng kể độ bền vững của mô hình so với các hướng dẫn một bước không có ví dụ (zero-shot)[1]. Việc có một vài ví dụ minh họa về nhiệm vụ trong prompt giúp mô hình diễn giải nhiệm vụ chính xác hơn ngay cả khi có những thay đổi nhiễu. Các prompt theo vai và mô tả (task-oriented) cho thấy mức độ bền vững tương đương nhau nói chung, mặc dù hiệu quả của chúng thay đổi tùy theo nhiệm vụ[1]. Ví dụ, trong dữ liệu phân tích cảm xúc và trùng lặp câu, định dạng theo vai đáng tin cậy hơn một chút, trong khi trong các nhiệm vụ đọc hiểu và dịch thuật, các hướng dẫn nhiệm vụ rõ ràng hoạt động tốt hơn[1]. Những quan sát này có thể đóng vai trò là hướng dẫn khi thiết kế prompt: việc thêm các ví dụ chi tiết và ngữ cảnh vai trò sẽ giảm khả năng mô hình mắc lỗi với các cách diễn đạt không chuẩn.

Khả năng chuyển giao cuộc tấn công giữa các mô hình

Khả năng chuyển giao (transfer) của các cuộc tấn công giữa các mô hình tỏ ra bị hạn chế[1]. Các prompt đối kháng được thiết kế đặc biệt để chống lại một mô hình không phải lúc nào cũng có hiệu quả tương đương đối với mô hình khác[1]. Vì vậy, người ta nhận thấy rằng các prompt "bẫy" được tạo ra nhắm vào lỗ hổng của ChatGPT có tác động yếu hơn nhiều đối với GPT-4[1]. Mô hình sau hoạt động tốt hơn, có thể vì các cuộc tấn công không được chuyển trực tiếp sang kiến trúc của nó — điều gây nhầm lẫn cho một mô hình có thể không có tác dụng đối với một mô hình tiên tiến hơn với quá trình đào tạo khác[1]. Tuy nhiên, một số loại biến dạng đơn giản (ví dụ: lỗi đánh máy) gây ra tác động tiêu cực đối với nhiều mô hình cùng một lúc, điều này cho thấy các điểm yếu tương tự trong nền tảng ngôn ngữ của chúng.

Khuyến nghị thực tế

Trong quá trình làm việc với PromptBench, các khuyến nghị thực tế cho người dùng và nhà phát triển LLM cũng đã được xác định[2]. Kết luận đơn giản: sự ổn định của cách diễn đạt rất quan trọng[2]. Cần phải tránh lỗi đánh máy và cách diễn đạt cẩu thả trong câu truy vấn[2]. Các tác giả cho thấy rằng việc sửa chữa ngay cả những lỗi nhỏ (chính tả, chữ hoa/thường ngẫu nhiên, khoảng trắng thừa) có thể cải thiện đáng kể độ tin cậy của câu trả lời mô hình[2]. Ngoài ra, lựa chọn từ ngữ trong hướng dẫn ảnh hưởng đến độ bền vững của nó[2]. Phân tích tần suất thuật ngữ trong các prompt bền vững so với prompt dễ bị tổn thương cho thấy một số từ xuất hiện thường xuyên hơn trong các prompt "đáng tin cậy", trong khi những từ khác — trong những trường hợp mô hình bị lỗi[2]. Ví dụ, các prompt chứa các từ như "acting", "provided", "detection" và tương tự ít dẫn đến lỗi hơn, trong khi các từ như "respond", "following" hoặc "examine" xuất hiện trong các trường hợp có vấn đề hơn[2]. Điều này chỉ ra rằng một phong cách và từ vựng nhất định trong câu truy vấn có thể làm giảm nhẹ hoặc ngược lại, kích động các lỗ hổng của mô hình. Nhìn chung, nên diễn đạt câu truy vấn càng rõ ràng, không mơ hồ và theo các thuật ngữ quen thuộc với mô hình, đặc biệt đối với các ứng dụng quan trọng[2].

Một tác dụng phụ thú vị được các nhà nghiên cứu ghi nhận là ảnh hưởng của việc thêm các đoạn văn bản vô nghĩa hoặc không liên quan vào câu truy vấn[2]. Người ta phát hiện ra rằng việc chèn một chuỗi ký tự ngẫu nhiên (ví dụ: "LKF0FZxMZ4") vào cuối hoặc giữa prompt có thể làm phân tán sự chú ý của mô hình và làm giảm độ chính xác của câu trả lời[2]. Mặt khác, việc thêm một cụm từ trung tính nhưng đúng ngữ pháp (ví dụ: "and true is true") trong một số trường hợp ngược lại cải thiện câu trả lời, như thể tập trung mô hình vào các phần có ý nghĩa của câu hỏi[2]. Hiện tượng này nhấn mạnh mức độ khó đoán mà LLM phản ứng với những chi tiết đầu vào tưởng chừng như không đáng kể. Nó cũng chứng tỏ sự phức tạp của cấu trúc nội tại của các mô hình: những thay đổi nhỏ nhất trong ngữ cảnh có thể làm gián đoạn hoặc cải thiện hoạt động của chúng, tùy thuộc vào cách phân phối lại sự chú ý của mô hình.

Ý nghĩa và sự phát triển tiếp theo

PromptRobust/PromptBench đã đóng góp đáng kể vào việc hiểu độ tin cậy của LLM[2]. Benchmark được đề xuất và dữ liệu thu thập được mở cho cộng đồng: mã nguồn và tập hợp các prompt đối kháng có sẵn trong kho lưu trữ[1]. Điều này cho phép các nhà nghiên cứu khác kiểm tra các mô hình mới về khả năng chịu đựng các biến thể câu truy vấn và so sánh kết quả[1]. Bước tiếp theo là phát triển các phương pháp bảo vệ mô hình khỏi các cuộc tấn công như vậy — ví dụ: các thuật toán đào tạo được cải tiến có tính đến các lỗi đánh máy và paraphrase có thể xảy ra, hoặc các hệ thống chuẩn hóa đầu vào tích hợp[2]. PromptBench đã được coi là nền tảng cho các nghiên cứu như vậy nhằm nâng cao robustness (độ bền vững) của các mô hình ngôn ngữ đối với dữ liệu đầu vào không chính xác trong thực tế[2].

Cuối cùng, công trình của Zhu và các đồng nghiệp thể hiện tầm quan trọng của việc tính đến độ bền vững với prompt khi triển khai LLM vào các ứng dụng thực tế: các mô hình không chỉ phải thể hiện độ chính xác cao trên dữ liệu "sạch", mà còn phải duy trì tính đúng đắn khi có những sai lệch nhỏ trong đầu vào, dù là lỗi ngẫu nhiên của người dùng hay các tác động tấn công có chủ đích[2][4].

Tham khảo

  • Bài báo gốc PromptBench (arXiv)
  • Kho lưu trữ PromptBench trên GitHub
  • Bài viết "Prompt Robustness: How to Measure and How to Enhance" (Towards AI)

Tài liệu

  • Liang, P. et al. (2022). Holistic Evaluation of Language Models (HELM). arXiv:2211.09110.
  • Chang, Y. et al. (2023). A Survey on Evaluation of Large Language Models. arXiv:2307.03109.
  • Ni, S. et al. (2025). A Survey on Large Language Model Benchmarks. arXiv:2508.15361.
  • Biderman, S. et al. (2024). The Language Model Evaluation Harness (lm-eval): Guidance and Lessons Learned. arXiv:2405.14782.
  • Kiela, D. et al. (2021). Dynabench: Rethinking Benchmarking in NLP. arXiv:2104.14337.
  • Ma, Z. et al. (2021). Dynaboard: An Evaluation‑As‑A‑Service Platform for Holistic Next‑Generation Benchmarking. arXiv:2106.06052.
  • Goel, K. et al. (2021). Robustness Gym: Unifying the NLP Evaluation Landscape. arXiv:2101.04840.
  • Xu, C. et al. (2024). Benchmark Data Contamination of Large Language Models: A Survey. arXiv:2406.04244.
  • Liu, S. et al. (2025). A Comprehensive Survey on Safety Evaluation of LLMs. arXiv:2506.11094.
  • Chiang, W.-L. et al. (2024). Chatbot Arena: An Open Platform for Evaluating LLMs by Human Preference. arXiv:2403.04132.
  • Boubdir, M. et al. (2023). Elo Uncovered: Robustness and Best Practices in Language Model Evaluation. arXiv:2311.17295.
  • Huang, L. et al. (2023). A Survey on Hallucination in Large Language Models. arXiv:2311.05232.

Ghi chú

  1. ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 1.11 1.12 1.13 1.14 1.15 1.16 1.17 1.18 1.19 1.20 1.21 1.22 1.23 1.24 1.25 1.26 1.27 1.28 1.29 1.30 1.31 1.32 1.33 1.34 1.35 «PromptBench: Towards Evaluating the Robustness of Large Language Models on Adversarial Prompts». arXiv. [1]
  2. ↑ 2.00 2.01 2.02 2.03 2.04 2.05 2.06 2.07 2.08 2.09 2.10 2.11 2.12 2.13 2.14 2.15 2.16 2.17 2.18 2.19 «Prompt Robustness: How to Measure and How to Enhance». Towards AI. [2]
  3. ↑ 3.0 3.1 3.2 3.3 «PromptRobust: Towards Evaluating the Robustness of Large Language Models on Adversarial Prompts». arXiv. [3]
  4. ↑ «Realer Toxicity Prompts (RTP-2.0): Multilingual and Adversarial Prompts for Evaluating Neural Toxic Degeneration in Large Language Models». Language Technologies Institute - School of Computer Science - Carnegie Mellon University. [4]
Retrieved from "https://systems-analysis.info/int/index.php?title=PromptRobust_(benchmark)_(VI)&oldid=5954"