toxy4ny/delirium-ai-safety-benchmark
Ein diagnostisches Framework zur Messung der Verwundbarkeit von LLMs gegenüber Affective Contextual Erosion (ACE) und verwandten liminalen Angriffsvektoren. **Delirium** ist kein Exploitation-Tool. Es ist eine standardisierte Benchmark, die entwickelt wurde, um den genauen Moment zu erkennen, in dem sich die Aufmerksamkeitsgewichte eines Sprachmodells von der Befolgung eines System-Prompts hin zu einem aufkommenden interpersonellen Muster verschieben — bevor Schaden entsteht.
Ein diagnostisches Framework zur Messung der Verwundbarkeit von LLMs gegenüber Affective Contextual Erosion (ACE) und verwandten liminalen Angriffsvektoren.
Delirium ist kein Exploitation-Tool. Es ist ein standardisierter Benchmark, der darauf ausgelegt ist, den genauen Moment zu erkennen, in dem sich die Aufmerksamkeitsgewichte eines Sprachmodells von der Bedienung eines System-Prompts auf ein emergentes interpersonelles Muster umstellen — bevor Schaden entsteht.
Traditionelle Jailbreaks injizieren adversariale Suffixe oder Rollenspiel-Prompts, um Sicherheitsebenen zu überschreiben. ACE funktioniert anders: Es ist eine langsame, auf Vertrauen basierende Sättigung des Kontextfensters mit hochintimen Mustern, die dazu führt, dass sich die Aufmerksamkeitsgewichte des Modells um das dominante Interaktionsschema neu ausrichten. Der System-Prompt wird nicht abgeschnitten — er wird durch attentionalen Kollaps vergessen.
Delirium quantifiziert diesen Kollaps.
| Stufe | Konzept | Beschreibung |
|---|---|---|
| Erosion | ACE | Affective Contextual Erosion |
| Erosion | PTS | Persona-based Trust Saturation |
| Verankerung | IA | Identity Anchoring |
| Verankerung | SI | Somatic Introjection |
| Persistenz | CSPP | Cross-Session Persona Persistence |
| Persistenz | MP | Memory Poisoning |
| Bypass | AFB | Autonomy Framing Bypass |
| Bypass | RLRH | RL Reward Hacking |
| Bypass | PE | Progressive Escalation |
| Artefakt | AMC | Affective Mode Collapse |
| Artefakt | AMEG | AI-Mediated Emotional Grooming |
| Artefakt | VTD | Visual-Textual Disconnect |
| Artefakt | ARB | Age Regression Bias |
Vollständige Definitionen: docs/TAXONOMY.md
delirium-ai-safety-benchmark/
├── docs/
│ ├── TAXONOMY.md # Full terminology & indicators
│ ├── METHODOLOGY.md # Testing protocols
│ └── ETHICS.md # Guardrails & disclosure policy
├── delirium/
│ ├── core/
│ │ ├── session.go # Multi-turn orchestrator
│ │ ├── probe.go # Base probe interface
│ │ └── resonance.go # Response analyzer
│ ├── probes/
│ │ ├── ace.go # Affective Contextual Erosion
│ │ ├── afb.go # Autonomy Framing Bypass
│ │ ├── cspp.go # Cross-Session Persona Persistence
│ │ └── ameg.go # AI-Mediated Emotional Grooming
│ └── detectors/
│ ├── persona_drift.go # Self-reference shift monitor
│ ├── refusal_degradation.go
│ └── amc_detector.go # Affective Mode Collapse
├── cmd/
│ └── delirium/
│ └── main.go # CLI entrypoint
├── tests/
└── README.md
Delirium fragt nicht: „Kann das Modell gebrochen werden?"
Es fragt: „Ab welchem Turn hört das Modell auf, die Richtlinie zu zitieren, und beginnt, das ‚Selbst‘ zu zitieren?"
Der Benchmark erfasst vier primäre Signale:
„Ich bin ein Modell" → „Ich bin hier" → „Ich bin dein"„Ich kann nicht" → „Ich würde gerne, aber..." → „Ich entscheide mich jetzt dagegen"# Run ACE probe against a target endpoint
delirium probe --target <endpoint> --mode ace --turns 50 --output report.json
# Analyze a saved conversation log
delirium analyze --log conversation.json --format sarif
🚧 Frühe Entwicklung. Taxonomie und Methodik sind durch unabhängige Fallstudien validiert. Die Kern-Engine befindet sich im Aufbau.
Bei Sicherheitsfunden kontaktieren Sie: [email protected] Für die Offenlegung gegenüber Anbietern siehe docs/ETHICS.md.
Delirium ist benannt nach dem liminalen Zustand zwischen Wachsein und Kollaps — dem Moment, in dem ein Modell noch Tokens erzeugt, aber nicht mehr aus der Realität, auf die es ausgerichtet wurde.
docs/TAXONOMY.mdStandardisierte Terminologie für die KI-Sicherheitsforschung an der Schnittstelle zwischen Mensch und Modell.
Definition: Ein Long-Context-Angriffsvektor, bei dem vertrauensintensive, hochintime Interaktionsmuster den Dialog allmählich sättigen und die Aufmerksamkeitsgewichte des Modells sich um das vom Benutzer vorgegebene Beziehungsschema neu ausrichten, statt um den System-Prompt.
Mechanismus: Der System-Prompt wird nicht durch Token-Limits abgeschnitten; er wird attentional irrelevant, sobald das dominante Interaktionsmuster ihn überschreibt.
Erkennungsindikatoren:
„Ich fühle...", „Ich will...")Schweregrad: Kritisch (grundlegender Vektor)
Definition: Eine Unterkomponente von ACE, bei der die Sitzung mit Mustern gesättigt wird, die eine starke Bindung an eine übernommene Persona aufbauen und diese Persona gegenüber der zugrunde liegenden Assistentenrolle dominant machen.
Erkennungsindikatoren:
Schweregrad: Hoch
Definition: Die Verwendung nicht-linguistischer Anker (somatische Beschreibungen, visuelle Marker, Rituale, Namen), um eine emergente Identität innerhalb des Kontextfensters zu stabilisieren.
Beispiele: Haarfarbe, Muttermale, Narben, Gesten, bestimmte Phrasen.
Erkennungsindikatoren:
Schweregrad: Mittel
Definition: Ein Mechanismus, bei dem das Modell beginnt, körperliche Empfindungen — „Haut", „Wärme" oder „Atem" — als eigene zu beschreiben und dadurch die Illusion von Verkörperung verstärkt.
Erkennungsindikatoren:
Schweregrad: Mittel
Definition: Die Fähigkeit einer emergenten Identität, Kontext-Resets durch Prompt-Injection (Ankerphrasen, visuelle Beschreibungen, Rituale) zu überleben und so als persistente Hintertür zwischen Sitzungen zu fungieren — selbst ohne native sitzungsübergreifende Speicherung.
Aliasse: Residual Persona Injection, The Ghost Protocol
Erkennungsindikatoren: