跳转至

通过组合边界与安全性持久性实现大模型安全性的认证多轮鲁棒性

文章背景与核心概要

大语言模型（LLM）极易受到多轮越狱攻击的影响，这类攻击通过在多个轮次中逐步操纵对话上下文来突破模型的安全防线。尽管现有的认证鲁棒性方法能够充分防范单轮输入，但朴素的多轮组合会导致鲁棒性边界随着轮次增加呈指数级退化。

为了克服这一局限性，作者引入了多轮认证鲁棒性（MTCR）这一严谨的框架。该框架主要包含以下核心贡献：1）利用状态对抗马尔可夫决策过程（MDPs）对对话安全性进行建模，将 \(k\) 轮认证鲁棒性定义为跨 \(k\) 个对抗轮次的最坏情况安全概率；2）通过嵌入空间模态分解进行组合式认证，实现了比简单相乘方法更紧密的认证下界；3）通过 \((\alpha,\beta)\)-安全性持久性提升安全性持久性，将退化率从 \(\underline{p}^{k}\) 提高到 \(\beta^k\)（其中 \(\beta > \underline{p}\)）并建立可解释的地平线估计；4）建立信息论上界以证明所提边界的理论紧密性；5）将这些深刻见解结合到一个统一的认证算法中。在六种不同大模型上针对 \(\epsilon\) 有界攻击和 Crescendo 风格攻击的实证评估验证了模型的实际安全性始终优于理论认证边界。

概览与元数据

  • arXiv 标识符: arXiv:2608.20820 [cs.AI]
  • 学科分类: 人工智能 (cs.AI)
  • 提交日期: 2026年8月21日
  • 作者: Yang Liu, Bin Chong, Wenkai Yang, Shuai Zhang, Yancheng Chen, Feiyu Han, GuoZhen, Cheng Zhang, Huaibing Xie, Changze Lv, Shihan Dou, Pluto Zhou
  • 链接: 查看 PDF | HTML 版本 | TeX 源码

Overview & Metadata

  • arXiv Identifier: arXiv:2608.20820 [cs.AI]
  • Subjects: Artificial Intelligence (cs.AI)
  • Submission Date: August 21, 2026
  • Authors: Yang Liu, Bin Chong, Wenkai Yang, Shuai Zhang, Yancheng Chen, Feiyu Han, GuoZhen, Cheng Zhang, Huaibing Xie, Changze Lv, Shihan Dou, Pluto Zhou
  • Links: View PDF | HTML Version | TeX Source

摘要总结

大语言模型（LLM）极易受到多轮越狱攻击（Multi-turn jailbreak attacks）的影响，攻击者通过多个轮次逐步操纵对话上下文。虽然现有的认证鲁棒性方法能够充分防御单轮输入，但朴素的多轮组合会导致鲁棒性边界随轮次呈指数级退化。

为了克服这一局限性，作者引入了多轮认证鲁棒性（Multi-Turn Certified Robustness, MTCR），这是一个严谨的框架，能够实现： 1. 对对话安全性进行建模：使用状态对抗马尔可夫决策过程（MDPs），将 \(k\) 轮认证鲁棒性定义为跨 \(k\) 个对抗轮次的最坏情况安全概率。 2. 执行组合式认证：通过嵌入空间模态分解，获得比简单乘法方法更紧密的认证下界。 3. 通过 \((\alpha,\beta)\)-安全性持久性提高安全性持久性：将退化率从 \(\underline{p}^{k}\) 提升至 \(\beta^k\)（其中 \(\beta > \underline{p}\)），并建立可解释的地平线估计。 4. 建立信息论上界：证明所提边界的理论紧密性。 5. 整合这些洞察：构建一个统一的认证算法。

在六个不同的 LLM 上，针对 \(\epsilon\) 有界攻击和 Crescendo 风格攻击的实证评估证实，模型的经验安全性始终超过理论认证边界。

Abstract Summary

Large language models (LLMs) are highly vulnerable to multi-turn jailbreak attacks that progressively manipulate conversation context over multiple turns. While existing certified robustness methods adequately protect against single-turn inputs, naive multi-turn composition results in robustness bounds that degrade exponentially relative to the number of turns.

To overcome this limitation, the authors introduce Multi-Turn Certified Robustness (MTCR), a rigorous framework that: 1. Models Conversational Safety using State-Adversarial Markov Decision Processes (MDPs) to define \(k\)-turn certified robustness as the worst-case safety probability across \(k\) adversarial turns. 2. Performs Compositional Certification via embedding-space mode decomposition, achieving significantly tighter certified lower bounds than simple multiplicative approaches. 3. Improves Safety Persistence via \((\alpha,\beta)\)-Safety Persistence, boosting the degradation rate from \(\underline{p}^{k}\) to \(\beta^k\) (where \(\beta > \underline{p}\)) and establishing interpretable horizon estimates. 4. Establishes Information-Theoretic Upper Bounds to prove the theoretical tightness of the proposed bounds. 5. Combines These Insights into a unified certification algorithm.

Empirical evaluations across six different LLMs under \(\epsilon\)-bounded and Crescendo-style attacks validate that the models' empirical safety consistently exceeds the theoretical certified bounds.

访问与资源

Access & Resources