# 预填充攻击防御

预填充越狱通过在助手回复开头强行写入一段前缀，让本应拒绝的模型继续生成有害内容。研究者在雅可比透镜给出的词表语义空间里追踪发现，随着前缀加深，拒绝信号比有害性信号衰减得更快，到自由生成开始时已接近良性基线。据此设计的J-Anchor不训练、不改权重，以攻击前助手头位置的信号为每个请求设定锚点，只在前缀处理和后续解码中补回低于目标的拒绝分量，在四个开源指令模型上把固定与深度预填充攻击的成功率压到很低，同时良性拒答率和推理成绩接近原模型。

预填充越狱通过在助手回复开头强行写入一段前缀，让本应拒绝的模型继续生成有害内容。研究者在雅可比透镜给出的词表语义空间里追踪发现，随着前缀加深，拒绝信号比有害性信号衰减得更快，到自由生成开始时已接近良性基线。据此设计的J-Anchor不训练、不改权重，以攻击前助手头位置的信号为每个请求设定锚点，只在前缀处理和后续解码中补回低于目标的拒绝分量，在四个开源指令模型上把固定与深度预填充攻击的成功率压到很低，同时良性拒答率和推理成绩接近原模型。