跳转至

引君入瓮与恢复：通过投毒内部拒绝信号防御白盒编辑越狱

文章背景与核心概要

开源大语言模型（LLM）极易受到表征工程攻击的威胁，攻击者无需进行基于梯度的训练，仅通过投影矩阵编辑就能绕过安全对齐。为了应对这一挑战，研究人员提出了一种名为 Bait-and-Recover（引君入瓮与恢复） 的新型权重级防御机制。该方法通过在攻击者测量内部激活的位置放置“诱饵适配器”（Bait adapter），并在后续层放置配对的“恢复适配器”（Recovery adapter），主动对残差信号进行投毒，从而干扰编辑搜索过程，同时保持干净的下游计算。

在严格的行为保持约束下，该方法成功将开源模型的最低拒绝率从 16.25% 提升至 71.75%。这种通过观察路径投毒来使攻击的核心测量假设失效的策略，为行为级安全训练提供了一个实用的补充方案。

论文元数据 (Paper Metadata)

摘要 (Abstract)

开源大语言模型面临着来自表征工程攻击的低成本白盒威胁。攻击者可以在单张 GPU 上、无需基于梯度训练的情况下，在几分钟内估计出拒绝方向并搜索能够抑制安全对齐同时保留通用能力的投影矩阵编辑。

Open-weight large language models face a low-cost white-box threat from representation engineering attacks. Attackers can estimate refusal directions and search for projection-matrix edits that suppress safety alignment while preserving general capabilities, within minutes on a single GPU and without gradient-based training.

我们提出了 Bait-and-Recover，这是一种权重级防御方法，它在攻击者读取激活的观测点放置一个诱饵适配器，并在随后的层中放置一个配对的恢复适配器。通过梯度路由进行训练，该方法将观测路径与行为路径解耦。通过主动对用于测量的残差信号进行投毒，Bait-and-Recover 扰乱了攻击者的编辑搜索，而恢复层则恢复了干净的下游计算。在四个开源模型中，在严格的行为保持预算（\(\text{KL} \le 0.10\)）下，我们的防御将针对白盒编辑搜索的最低拒绝率从 16.25% 提升至 71.75%，且对通用基准测试的影响微乎其微。通过使这些攻击的核心测量假设失效，观测路径投毒为行为级安全训练提供了一个实用的补充。

We propose Bait-and-Recover, a weight-level defense that places a bait adapter where attackers read activations and a paired recovery adapter at the subsequent layer. Trained via gradient routing, this decouples the observation path from the behavior path. By actively poisoning the residual signal used for measurement, Bait-and-Recover disrupts the attacker's edit search, while the recovery layer restores clean downstream computation. Across four open-weight models, our defense raises the minimum refusal rate against white-box edit searches from 16.25% to 71.75% under a strict behavior-preservation budget (\(\text{KL} \le 0.10\)), with negligible impact on general benchmarks. By invalidating the core measurement assumption of these attacks, observation-path poisoning offers a practical complement to behavior-level safety training.

核心要点与结果 (Key Takeaways & Results)

  • 威胁分析： 攻击者可以通过估计内部拒绝方向并在几分钟内编辑投影矩阵，快速执行白盒编辑越狱。
    • The Threat: Attackers can rapidly execute white-box editing jailbreaks by estimating internal refusal directions and editing projection matrices within minutes.
  • 防御机制： Bait-and-Recover 引入了：
  • 位于观测点以对攻击者读取的残差信号进行投毒的诱饵适配器（Bait Adapter）。
  • 放置在下游以恢复模型正常功能并确保安全性保持的恢复适配器（Recovery Adapter）。
    • The Defense Mechanism: Bait-and-Recover introduces:
    • A Bait Adapter located at the observation point to poison the residual signals read by attackers.
    • A Recovery Adapter placed downstream to restore normal model functionality and ensure safety preservation.
  • 性能影响：
  • 将模型的最低拒绝率从 16.25% 提高到 71.75%。
  • 在严格的行为保持预算（\(\text{KL} \le 0.10\)）下运行。
  • 对通用模型效用基准测试的影响微乎其微。
    • Performance Impact:
    • Boosts the minimum model refusal rate from 16.25% to 71.75%.
    • Operates under a strict behavior-preservation budget (\(\text{KL} \le 0.10\)).
    • Maintains negligible impact on general model utility benchmarks.

全文与资源 (Full-Text & Resources)