# 越狱攻击

开源权重模型的安全对齐高度稀疏，剪掉少量安全关键神经元或消融单个拒绝方向就能让模型输出有害内容。ABS-Align在偏好微调过程中逐步剪除这些已识别的安全关键神经元，迫使拒绝行为由网络其他部分重新建立，微调结束后再恢复被剪神经元。在Gemma-2-2B-IT、Llama-3-8B-Instruct、Llama-3.2-3B-Instruct和Qwen-3-4B四个模型上，该方法对TwinBreak、NeuroStrike、拒绝方向消融及十种SORRY-Bench黑盒攻击的成功率普遍下降，部分攻击降幅约90%，同时TruthfulQA提升而通用能力变化很小。

开源权重模型的安全对齐高度稀疏，剪掉少量安全关键神经元或消融单个拒绝方向就能让模型输出有害内容。ABS-Align在偏好微调过程中逐步剪除这些已识别的安全关键神经元，迫使拒绝行为由网络其他部分重新建立，微调结束后再恢复被剪神经元。在Gemma-2-2B-IT、Llama-3-8B-Instruct、Llama-3.2-3B-Instruct和Qwen-3-4B四个模型上，该方法对TwinBreak、NeuroStrike、拒绝方向消融及十种SORRY-Bench黑盒攻击的成功率普遍下降，部分攻击降幅约90%，同时TruthfulQA提升而通用能力变化很小。

在 18 对 Base–Instruct 模型上，有害性信息在注意力更新中更易解码，而拒绝证据主要由 MLP 写入，且后训练只增强写入、不提升识别。

在 18 对 Base–Instruct 模型上，有害性信息在注意力更新中更易解码，而拒绝证据主要由 MLP 写入，且后训练只增强写入、不提升识别。

该工作提出扰动嵌入向量（PEV）越狱攻击：仅在提示词的嵌入表示上叠加独立高斯噪声并反复重采样，无需梯度计算或修改模型权重，在六个开放权重LLM上对JailbreakBench全部100条有害提示均取得100%越狱成功率，且首次成功越狱的平均耗时通常在一分钟以内，比所比较的既有方法更快更省算力。

该工作提出扰动嵌入向量（PEV）越狱攻击：仅在提示词的嵌入表示上叠加独立高斯噪声并反复重采样，无需梯度计算或修改模型权重，在六个开放权重LLM上对JailbreakBench全部100条有害提示均取得100%越狱成功率，且首次成功越狱的平均耗时通常在一分钟以内，比所比较的既有方法更快更省算力。

该工作提出 LADE，一种仅依赖首 token 输出概率分布的模型无关防御框架：通过对比有害与良性查询，从暗知识中选出概率差异最大的 token 作为潜在安全信号，经分词器映射对齐到目标模型，再用 kNN 距离在生成前过滤有害查询；在 Llama-2-7B-Chat、Llama-3-8B-Instruct、Qwen2-7B-Instruct、Qwen3-8B、Gemma-7B-it、Mistral-7B-Instruct-v0.3 等模型上，LADE 在多种越狱攻击下取得最低或接近最低的平均合规率，并在八个模型中的六个上取得最佳安全—可用性平均表现。

该工作提出 LADE，一种仅依赖首 token 输出概率分布的模型无关防御框架：通过对比有害与良性查询，从暗知识中选出概率差异最大的 token 作为潜在安全信号，经分词器映射对齐到目标模型，再用 kNN 距离在生成前过滤有害查询；在 Llama-2-7B-Chat、Llama-3-8B-Instruct、Qwen2-7B-Instruct、Qwen3-8B、Gemma-7B-it、Mistral-7B-Instruct-v0.3 等模型上，LADE 在多种越狱攻击下取得最低或接近最低的平均合规率，并在八个模型中的六个上取得最佳安全—可用性平均表现。