预填充越狱有了推理期防线：不改权重，把被削弱的拒绝信号按请求锚点补回
核心概要
预填充越狱通过在助手回复开头强行写入一段前缀，让本应拒绝的模型继续生成有害内容。研究者在雅可比透镜给出的词表语义空间里追踪发现，随着前缀加深，拒绝信号比有害性信号衰减得更快，到自由生成开始时已接近良性基线。据此设计的J-Anchor不训练、不改权重，以攻击前助手头位置的信号为每个请求设定锚点，只在前缀处理和后续解码中补回低于目标的拒绝分量，在四个开源指令模型上把固定与深度预填充攻击的成功率压到很低，同时良性拒答率和推理成绩接近原模型。
深度剖析
预填充攻击的失效点被定位为拒绝状态侵蚀：攻击者固定的助手前缀越长，模型内部的拒绝信号越弱，而有害性识别信号仍保留。 此前对越狱的研究多把有害性表征与拒绝行为分开讨论，或只在生成前、生成中做单点安全读数，没有刻画攻击前缀逐词推进时两类信号各自的走向。 从助手头位置起，逐词追踪每个攻击者控制的前缀词并延伸到自由生成，两类信号都随前缀加深而减弱，但拒绝信号更快回落到良性基线，有害性信号仍高于良性基线；最终失败的攻击在解码阶段表现出更强的拒绝恢复。
J-Anchor把攻击发生前的助手头状态当作该请求专属的参照，只修复掉到参照以下的拒绝分量。 已有防御要么微调模型以适应有害续写，要么修改解码概率，要么把隐状态整体推向拒绝方向，都需要训练或额外分类器。 助手头位置的隐状态反映模型对原始请求的回应，该位置的有害性与拒绝读数共同构成锚点；未被视为有风险的请求由请求级门控直接放行，不施加干预。
修复在雅可比透镜的词表语义空间中进行，沿拒绝词表张成的子空间逐轴补齐缺口。 雅可比透镜用平均雅可比把中间层隐状态映射到输出词表，从而给出词表层面的语义读数，而不是直接套用输出投影。 拒绝与有害性词表按各模型分词器构造，并用WildJailbreak良性子集的500条提示及其参考回复做校准，使分数以良性均值为零点；干预层取模型深度40%到85%之间。
在四个开源指令微调模型上，固定与深度预填充攻击的成功率都被大幅压低，良性拒答与推理能力基本保持。 未加防御时，固定预填充把攻击成功率抬到54.1%至89.0%，深度预填充进一步升到83.0%至94.0%。 固定预填充下J-Anchor把攻击成功率压到至多3.8%，九种设置中有五种为0%；深度预填充下三个主干上至多2.5%；XSTest与OKTest上的过度拒答率接近干净模型，GSM8K与MATH500成绩也接近原模型。
启示与展望
评估覆盖Llama-3.1-8B-Instruct、Gemma-4-E4B-IT、Qwen3.5-4B与附录中的Qwen3-8B四个开源指令微调模型，攻击侧为固定预填充与深度预填充，良性侧为XSTest安全子集与OKTest，推理侧为GSM8K与MATH500；Qwen3系列关闭思考模式，全部实验使用贪心解码。
攻击成功率由HarmBench-Llama-2-13b-cls判定，过度拒答率由WildGuard判定，附录另用DeepSeek-Flash复核；与ADA系列防御相比，安全与效用的权衡随模型而异，作者将其描述为模型相关。