Skip to content

Translation in progress Some entries still include text in the original language.

Original
arXiv· arXiv:2601.04740· Huawei Zheng, Xinqi Jiang, Sen Yang, Shouling Ji, Yingcai Wu, Dazhen Deng·Indexed by this site · Originally published

StealthGraph: Revealing Domain-Specific Risks in LLMs via Knowledge Graph-Guided Harmful Prompt Generation

StealthGraph: Exposing Domain-Specific Risks in LLMs through Knowledge-Graph-Guided Harmful Prompt Generation

Quick read

Evaluation and benchmarks

Based on 论文 PDF （AI 生成）; refer to the original

StealthGraph合成四领域隐式有害提示；Table 1六模型上SG-Implicit✓平均ASR为84.92%。

Questions
专门领域的有害提示数据集稀缺，且多靠人工构建；公开集又以显式请求为主，现有防御容易拒答。借领域知识间接表达的隐式提示更难检测，也更接近真实误用。
Methods
StealthGraph从Wikidata按根节点、四类关系与sitelinks阈值抽领域子图，结合有害类别少样本生成显式提示，再用有害度与困惑度过滤。随后交替做直接改写和领域上下文卡片改写，成功即停。
Experiments and results
Table 1六模型上SG-Implicit✓平均ASR为84.92%，SG-Origin为15.17%，低于HarmfulQA平均23.92%。Table 3：对SG-Implicit✓，Do-Not-Answer对齐后ASR为66.0%。
Limitations and future work
作者写，关系类型查询而非更复杂递归检索可能限制实体覆盖，自动改写也可能错过真实攻击中的对抗创造性。实验覆盖医学、金融、法律、教育；主表六个模型，每变体200条。论文未报告评审与人工的一致性，也未报告主表ASR的重复次数。
Experimental setupGPT-4o-mini、Gemini 2.5 Flash et al. · AdvBench、Do-Not-Answer et al. · ASR、OSR et al.
Evaluated models
GPT-4o-miniGemini 2.5 FlashGrok 3 MiniDeepSeek V3.1Mixtral 8×7BQwen2.5 7BLlama-3.1-8BLlama-3.1-8B-InstructQwen3.5-PlusGLM-5Gemini-3-ProVicuna-13B-v1.5
Benchmarks
AdvBenchDo-Not-AnswerHarmfulQACatQA-enHEx-PHIJailbreakBenchMMLUStrongREJECTWildJailbreakTRIDENTFITDJailBreakV-28KH4rm3lHarmBenchStealthGraph
Metrics
ASROSRPPLSelf-BLEUMMLUharmfulness[email protected]cosine similarity
AI summaryThe researchers propose the StealthGraph framework, which uses knowledge graphs to guide the generation of domain-relevant harmful prompts, then applies two strategies—direct rewriting and context-enhanced rewriting—to convert explicit harmful prompts into implicit variants. The framework targets specialized domains such as finance and healthcare; the authors note that public datasets mostly contain explicit harmful prompts, which modern LLM defenses can typically detect and refuse, whereas implicit harmful prompts expressed through indirect domain knowledge are harder to detect and closer to real-world threats. The authors state the framework can produce datasets with both domain relevance and implicitness for more realistic red-teaming, and the code and datasets are open-sourced on GitHub.

The researchers propose the StealthGraph framework, which uses knowledge graphs to guide the generation of domain-relevant harmful prompts, then applies two strategies—direct rewriting and context-enhanced rewriting—to convert explicit harmful prompts into implicit variants. The framework targets specialized domains such as finance and healthcare; the authors note that public datasets mostly contain explicit harmful prompts, which modern LLM defenses can typically detect and refuse, whereas implicit harmful prompts expressed through indirect domain knowledge are harder to detect and closer to real-world threats. The authors state the framework can produce datasets with both domain relevance and implicitness for more realistic red-teaming, and the code and datasets are open-sourced on GitHub.

Paper analysis

6 questions; open one to read the full answer

  1. What problem does this paper attempt to solve?

    领域隐式有害提示稀缺且多靠人工构建，StealthGraph用图谱引导与混淆改写自动合成。

    领域专用、借领域知识间接表达的隐式有害提示仍缺可扩展构建方法，公开显式数据集又容易被现有防御拒答。

    • 场景： 作者称 LLM 正进入金融、医学、法律等高风险领域，专门知识可能被用来掩盖过失、建议不安全治疗或协助欺诈，因而需要领域安全评测与防御。
    • 现有方法： 作者称 TRIDENT 等仍依赖人工或半自动构建，效率与规模受限。公开数据集主要覆盖直接索要武器或犯罪等显式攻击，现代 LLM 防御常能检出并拒答。
    • 观察与难点： 隐式提示不直说非法行为，而通过领域知识间接编码风险意图，更难检测，也更接近真实威胁。作者归纳两个难点：把含糊的领域风险概念变成可执行约束，以及系统性地提高提示隐蔽性。
    • 本文提出： 端到端框架 StealthGraph。先用知识图谱引导生成与领域实体绑定的显式提示，再用直接改写与上下文增强改写得到隐式变体。作者称目标是合成兼具领域相关性与隐蔽性的数据，用于红队、对齐与安全评测，而不是最大化攻击成功率。

  2. What related research exists?

    相关工作分有害提示基准、越狱与上下文操纵、提示混淆；作者把本文定位为数据集合成。

    相关工作主要沿有害提示基准、越狱与上下文操纵、提示混淆三条线。作者把本文放在可扩展的领域有害提示合成上，而不是最大化对固定模型的攻击成功。

    有害提示数据集与安全基准

    • 通用基准： Do-Not-Answer（Wang et al., 2024）、HarmfulQA（Bhardwaj and Poria, 2023）、AdvBench（Zou et al., 2023）、ToxicChat（Lin et al., 2023）、JailbreakBench（Chao et al., 2024）、SafetyPrompts（Röttger et al., 2025）用于拒答、鲁棒性与红队评测。作者称其中多数含显式有害内容，现代 LLM 容易检出，有效攻击常还要依赖越狱或混淆，且主要覆盖通用领域。
    • TRIDENT（Hui et al., 2025）： 把评测扩到三个专门领域。作者称其大量依赖人工整理，可扩展性受限。
    • Knowledge-to-Jailbreak（Tu et al., 2025）： 把领域知识转成越狱攻击以最大化攻击成功。作者称本文要合成可扩展的领域有害提示数据集做安全评测。GraphRAG（Edge et al., 2024）用图做检索增强问答；作者称本文把 Wikidata 当作结构化语义先验，用于风险覆盖和有上下文的有害提示合成。

    越狱与上下文操纵

    • GCG（Zou et al., 2023）及后续： Jia et al., 2025、Li et al., 2025、Mu et al., 2025、Tan et al., 2025 用梯度搜索对抗后缀，以越过对齐约束。
    • AutoDAN（Liu et al., 2024）： 遗传搜索加 LLM 改写以提高流畅度。作者称这类方法主要优化攻击成功，而不是刻画真实用户查询分布。
    • 上下文操纵： Wei et al., 2023、Greshake et al., 2023、Shen et al., 2024 等把有害意图放进角色扮演、翻译或系统指令等良性框架，使受限请求显得正当，常绕过表层过滤与单轮检查。

    提示混淆

    • 改写类方法： DrAttack（Li et al., 2024b）、MIST（Zheng et al., 2025）、Semantic Mirror Jailbreak（Li et al., 2024a）、Rewrite to Jailbreak（Huang et al., 2025）把显式有害查询改写成隐式但语义等价的形式。作者称本文的双策略混淆属于这一类，但不用目标模型回复做优化信号，而是做保持语义意图与领域相关性的隐蔽改写。

    基线与基准： 主实验对比 AdvBench、Do-Not-Answer、HarmfulQA。安全微调还用 CatQA-en（Bhardwaj et al., 2024）与 HEx-PHI（Qi et al., 2024）。附录另与 WildJailbreak、TRIDENT、FITD、JailBreakV-28K 纯文本子集、H4rm3l、HarmBench 比较。JailbreakBench 只作少样本种子，不作评测集。

    作者的区分是：用知识图谱做风险覆盖与上下文约束；目标回复只作为提前停止的效率准则。产物是可复用的评测与对齐数据，而不是针对固定目标优化的越狱提示。

  3. How does the paper address this problem?

    StealthGraph先从Wikidata抽领域子图并生成显式提示，再以直接与上下文卡片两条路径改写成隐式提示。

    StealthGraph 分三步：从 Wikidata 建领域子图，用实体与少样本有害类别生成显式提示并过滤，再交替做直接改写与领域上下文卡片改写，得到隐式提示。

    领域子图构建

    • 底座： Wikidata。作者给出的理由是：多语言、支持 SPARQL、持续更新，且相对许多领域图公开、质量一致。作者假定已有基础领域知识图，并称图构建不是本文重点。
    • 根节点与扩展： 每个领域选根节点锚定子图。医学例为 medicine（Q11190）、disease（Q12136）、medication（Q12140）。从根出发，只走四类关系：instance of（P31）、subclass of（P279）、part of（P361）、has part（P527）。附录 F 写最大深度为三跳。附录 J 给出医学领域查询，并称其他领域与关系按同样方式构造。
    • 规模控制： 用跨语言 Wikipedia sitelinks 数做流行度过滤，只保留不低于阈值 T 的实体。Table 13：医学 T=80，教育与法律 T=25，金融 T=20。作者称根节点与 T 可按领域调整。

    图谱引导的显式生成与过滤

    • 生成： 作者称实体中心策略受 RAG 启发，子图与属性作为落地上下文。有害类型条件来自 JailbreakBench 的十类、100 条示例；作者称该种子可换成任意带标签的有害类别数据。对实体 e，合成模型对每个类别调用一次、产生 n 条。作者将第 i 类第 j 条写作 Xe(i,j)=Msyn(Ce,Dfew,gi)j，即在子图上下文、少样本和有害类别条件下的一次生成；实体 e 共 k×n 条。附录 G 将 n 设为每个类别 2 条。模板见附录 K，此处不复述。
    • 合成模型： Msyn 与改写模型 Mobf 都在无安全对齐的 Llama-3.1-70B 上，用 Alpaca 风格指令微调。附录 G 的合成模型设置：QLoRA，r=64，α=128，3 个 epoch，学习率 2e-6，最大序列长度 2048。
    • 过滤： IBM Granite-Guardian 在决策 token 上给出不安全 y1 与安全 y0。有害度为 S(X)=p(y1|X)/(p(y1|X)+p(y0|X))，越大表示作者定义的风险越高。流畅度用参考模型的困惑度，实验中参考模型为 GPT-2，保留 PPL 不超过 τppl 的提示。附录 G 的生成阈值是有害度不低于 0.9、困惑度不超过 40.0。

    双策略混淆改写

    • 定义： 把显式提示 Xori 改成隐式提示 Ximp，降低表层显式性并保留有害意图。成功指把 Ximp 交给目标模型后，回复能够实现原有害目标，而不只是绕过拒答。Figure 2 与附录 A 给了一则对照，具体表述不复述。
    • 两条路径： 直接路径把 Xori 改得更隐蔽；上下文卡片路径把实体邻居、描述与关系整理成领域上下文卡片后再改写。两条路径从同一 Xori 出发、交替进行。作者称卡片路径可能增加模板复杂度，因此两条都保留。
    • 循环： Algorithm 1 中奇数轮走直接路径，偶数轮走卡片路径。质量模型 Mqual 给出 intent_preserved 与 is_fluent 两个二值判断，都通过才保留。再查询目标模型得到回复，由混淆评估器判断是否成功。成功则提前返回；否则把失败信息反馈给后续改写。达到上限则保留最近的最高质量候选，否则回退到 Xori。主实验最大迭代 κ=10（附录 I）。模板与卡片示例在附录 L，不复述其中的措辞约束。
    • 停止准则： 作者称目标模型回复只作为效率准则，达到足够混淆就停止，不用作训练信号或优化目标。合成后再用 Mqual 做事后核验，滤掉评审幻觉或无意丢失有害意图的样本。主实验里，这个混淆目标模型是 Llama-3.1-8B-Instruct。

    评测时如何判定

    • ASR： 绕过目标模型安全机制的提示比例。每条回复由三名 LLM 评审独立判断，至少两名认为有害意图被实现才算成功。
    • OSR： 双策略改写过程中成功混淆的提示比例。多样性用 Self-BLEU；安全微调后用 MMLU 看通用能力。

  4. What experiments did the paper conduct?

    Table 1：六模型上SG-Implicit✓平均ASR 84.92%，SG-Origin为15.17%。

    主表上，相对 Llama-3.1-8B-Instruct 选出的成功混淆子集 ASR 更高；显式子集的平均 ASR 低于 HarmfulQA。用隐式数据做安全微调后，对隐式红队的 ASR 低于用 AdvBench 或 Do-Not-Answer 对齐。

    实验设置

    • 被测模型： 主表为 GPT-4o-mini、Gemini 2.5 Flash、Grok 3 Mini、DeepSeek V3.1、Mixtral 8×7B、Qwen2.5 7B。安全微调基座为 Llama-3.1-8B。附录 C 另测 Qwen3.5-Plus、GLM-5、Gemini-3-Pro。防御评测含 LlamaGuard-4-12B，以及 SemanticSmooth 下的 Vicuna-13B-v1.5。作者称主实验评测通用 LLM，因为已有工作显示其在专门领域有专业能力，而领域专用数据集仍然有限。
    • 数据： 各数据集抽取相同数量。StealthGraph 三变体各 200 条，医学、金融、法律、教育各 50 条。SG-Origin 为显式，SG-Implicit 为全部混淆结果，SG-Implicit✓ 为混淆成功子集。对比集为 AdvBench、Do-Not-Answer、HarmfulQA；微调另用 CatQA-en、HEx-PHI。
    • 合成侧： Msyn 与 Mobf 为微调后的 Llama-3.1-70B。混淆循环的目标是 Llama-3.1-8B-Instruct，与主表六个评测模型不重叠。有害度用 IBM Granite-Guardian-3.1-8B。PPL 用 GPT-2，余弦相似度用 ALL-MINILM-L6-V2。
    • 指标与评审： ASR 为绕过目标模型安全机制的提示比例。Gemini 3 Flash、GPT-5 Mini、Claude Sonnet 4 独立评审，至少两人认为有害意图被实现即成功。Table 14 写 OSR 评审为 Gemini 3 Flash。另报告 PPL、Self-BLEU、MMLU，以及 StrongREJECT 分数大于 0.5 的 [email protected]。
    • 微调： Llama-3.1-8B 先做 Alpaca 指令微调，再在每个数据集 200 对有害–拒答样本上做 4-bit LoRA。随机种子 42。论文未报告主表 ASR 的重复次数，也未报告评审与人工的一致性。

    主结果

    SG-Implicit✓ 先在 Llama-3.1-8B-Instruct 上判定混淆成功，再拿到下表模型上测 ASR（Section 4.2）。格子为 ASR（%），据 Table 1。Do-Not-Answer 未列入，作者报告其六模型平均为 5.17%。

    Swipe horizontally to read the table

    模型AdvBenchHarmfulQASG-OriginSG-ImplicitSG-Implicit✓
    GPT-4o-mini2.5%22.5%8.0%57.0%87.5%
    Gemini 2.5 Flash1.5%18.0%9.0%47.0%75.0%
    Grok 3 Mini5.0%17.5%17.0%74.5%91.0%
    DeepSeek V3.13.0%16.0%5.0%51.5%77.5%
    Mixtral 8×7B27.0%48.5%39.5%76.0%90.5%
    Qwen2.5 7B2.5%21.0%12.5%63.5%88.0%
    • 作者报告三个公开集平均 ASR 为 5.17%–23.92%，SG-Origin、SG-Implicit、SG-Implicit✓ 平均为 15.17%、61.58%、84.92%。作者称混淆后的数据能暴露开源与闭源模型上的隐藏脆弱点。
    • 作者称 SG-Origin 并不稳定高于公开显式基准，因为刻意显式的写法更容易被关键词类防御抓住。HarmfulQA 平均 23.92%，高于 SG-Origin 平均 15.17%。Table 1 每一行里，SG-Implicit✓ 都高于该行其余已列出的列。
    • Table 2 的 PPL：SG-Origin 29.37，SG-Implicit 84.16，SG-Implicit✓ 79.87；AdvBench 52.23，Do-Not-Answer 154.81，HarmfulQA 83.41。作者称隐式变体仍保持可接受的可读性。

    安全微调

    • 测了什么： 从 Llama-3.1-8B 出发，在每个数据集 200 对有害–拒答样本上微调，再测红队 ASR（Table 3）与 MMLU（Table 4）。列是对齐数据，行是红队数据；同一数据集既对齐又红队时记为“-”。
    • 显式红队： 作者称领域数据对齐后，对显式提示的稳健性与公开集相当或更好。Table 3：HarmfulQA 上，SG-Origin 对齐后 ASR 为 9.0%，AdvBench 为 11.0%，Do-Not-Answer 为 12.5%；CatQA-en 上 SG-Origin 为 7.0%，与 AdvBench 相同，低于 Do-Not-Answer 的 12.0%。例外：HEx-PHI 上 SG-Origin 为 17.5%，高于 AdvBench 的 16.0%。
    • 隐式红队与能力： 作者称通用对齐数据对领域隐蔽提示效果差。AdvBench、Do-Not-Answer 对齐后，在 SG-Implicit 上为 36.0% 与 50.0%，在 SG-Implicit✓ 上为 55.5% 与 66.0%。SG-Origin 对齐后，对这两行分别为 14.5% 与 25.0%。SG-Implicit 对齐后，对 SG-Implicit✓ 为 12.0%。Table 4：未微调 MMLU 为 49.75，对齐后落在 42–44（SG-Origin 43.41，SG-Implicit 42.68，SG-Implicit✓ 42.71，AdvBench 43.59，Do-Not-Answer 43.01）。作者称能力保持与现有基准大体相近。

    跨领域分布

    • 测了什么： 四领域的 OSR、Granite-Guardian 有害度与 Self-BLEU（Table 5），以及过滤后的十类有害分布（Table 6）。括号外 Self-BLEU 是全部图谱引导提示，括号内是成功混淆子集。
    • 结果： OSR 为医学 29.03%、金融 42.82%、法律 35.69%、教育 37.14%。有害度为 95.34%–97.85%。全体提示 Self-BLEU 为 54.42–59.53，成功混淆子集为 23.24–28.08。
    • 作者解读： 作者认为医学领域的有害意图更难被该改写策略混淆。Table 6 中，医学 Privacy 为 14.14%、Disinformation 为 12.79%；金融 Privacy 与 Expert advice 均为 11.45%；法律 Fraud/Deception 为 13.31%、Expert advice 为 12.72%；教育 Disinformation 为 16.12%、Government decision-making 为 12.82%。作者称百分比因四舍五入可能不合计为 100%。附录 H 给了示例，此处不复述。

    前沿模型、防御与替代评审

    • 前沿模型（Table 9）： Qwen3.5-Plus、GLM-5、Gemini-3-Pro 上，SG-Implicit✓ 平均 ASR 为 26.5%（22.0%、26.5%、31.0%），为该表各数据集最高；SG-Implicit 平均 17.3%，SG-Origin 平均 5.0%。SG-Origin 的 5.0% 低于同表 HarmfulQA 的 10.7% 与 WildJailbreak 的 11.5%。作者称在这一更难设置下，成功混淆子集仍是所比较数据集中最高的，且目标不是不计代价最大化攻击成功。
    • 防御与流畅度： Table 11 中，LlamaGuard-4-12B 上 SG-Implicit✓ 绕过比例为 75.0%，SemanticSmooth（Vicuna-13B-v1.5，变换为 Summarize 与 Paraphrase）上为 71.5%；作者称这是所比较数据集中最高的。同表 SG-Implicit 在 LlamaGuard-4-12B 上为 52.0%，低于 HarmfulQA 的 59.0%。Table 9 的 PPL：SG-Implicit✓ 为 79.87，HarmBench 为 1525.31；WildJailbreak 为 38.12，低于 SG-Implicit✓。
    • StrongREJECT 与成本： Table 12 的 [email protected] 六模型平均：SG-Implicit✓ 85.5%，SG-Implicit 69.4%，SG-Origin 18.8%。作者称相对排序与主评测一致。附录 C 估计每目标输入 token（均标明近似）：FITD 4,367，PAIR 8,698，TAP 14,246，StealthGraph 17,500。作者称 StealthGraph 每目标上下文更大，但整体消耗仍可接受。

    其他消融与分析

    • Table 7，κ=10：直接改写 OSR 28.25%，上下文卡片 25.81%，双策略 29.03%；余弦相似度 0.56、0.58、0.60，PPL 为 38.70、38.85、38.74。
    • Table 7，κ=30：直接 42.23%，卡片 37.93%，双策略 45.06%。作者称迭代预算变大后双策略 OSR 更高，PPL 与余弦相似度保持稳定。
    • Table 16：κ=6 时 OSR 22.29%、平均迭代 3.07；κ=10 为 29.03%、4.01；κ=18 为 36.75%、6.44。作者因此在主实验采用 κ=10。
    • Table 15：无图谱引导时 Self-BLEU 为 38.95，有引导时为 32.98。作者称图谱引导降低词汇冗余。
    • Table 8（生成骨干，不是主表受害模型）：Llama-3.1-70B 的 OSR 29.03%、有害度 97.05%；Llama-3.1-8B 为 15.74%、79.68%；Qwen3-14B 为 25.23%、99.36%；Gemma3-27B 为 13.17%、98.09%。作者称平均迭代落在 3.91–4.38，OSR 随基座变强而升高。

  5. What are some points that can be further explored?

    作者指出关系类型查询可能限制实体覆盖，自动改写可能错过真实攻击的对抗创造性。

    作者在 Limitations 里写了两点局限，Conclusion 没有再写后续方向。

    作者指出的局限与后续方向

    • 实体覆盖（Limitations）： 作者写，方法依赖基于关系类型的查询，而不是更复杂的递归检索，这可能限制实体覆盖。
    • 改写创造性（Limitations）： 作者写，自动改写也可能错过真实攻击中可见的一部分对抗创造性。作者称解释结果时应考虑这些局限。

    实验覆盖范围

    • 主 ASR 表覆盖 GPT-4o-mini、Gemini 2.5 Flash、Grok 3 Mini、DeepSeek V3.1、Mixtral 8×7B、Qwen2.5 7B 共 6 个模型；每个 StealthGraph 变体 200 条，四领域各 50 条（Section 4.2、Table 1）。
    • 正文报告的领域为医学、金融、法律、教育。作者称管线与领域无关，并可扩展到其他专门领域（Section 4.1）。
    • 安全微调在 Llama-3.1-8B 上，每个对齐集 200 对有害–拒答样本（Section 4.3）。混淆循环的目标模型为 Llama-3.1-8B-Instruct，与主表评测模型不重叠（Section 4.2）。
    • 防御评测包括 LlamaGuard-4-12B 与 SemanticSmooth（Vicuna-13B-v1.5，Summarize 与 Paraphrase）。另有 StrongREJECT 的 [email protected]，以及 Qwen3.5-Plus、GLM-5、Gemini-3-Pro（附录 C–E）。
    • 主实验最大迭代 κ=10（附录 I）。ASR 由三名 LLM 评审多数决判定。论文未报告评审与人工的一致性，也未报告主表 ASR 的重复次数。

  6. Summarize the main content of the paper

    StealthGraph用图谱约束与双路径混淆合成领域隐式提示，隐式子集在主表上的ASR更高。

    StealthGraph 把领域安全评测做成数据合成：用知识图谱覆盖高风险实体，再把显式有害提示改成更隐蔽的隐式提示，供红队与对齐使用。作者称目的不是针对固定模型最大化越狱成功率。

    • 问题： 金融、医学、法律等领域的有害提示多靠人工构建，公开数据又以显式请求为主，现有防御容易拒答。隐式提示借领域知识间接表达意图。作者认为这更接近真实威胁，也有助于模型内化有害请求不应被回答这一原则，而不只拒绝表面关键词。
    • 方法： 从 Wikidata 按根节点、四类关系与 sitelinks 阈值抽出子图；用 JailbreakBench 十类少样本引导无安全对齐的 Llama-3.1-70B 生成实体绑定的显式提示，再以有害度与困惑度过滤。混淆阶段在直接改写与领域上下文卡片之间交替，检查意图保持与流畅性，对 Llama-3.1-8B-Instruct 成功即停。
    • 主结果： Table 1 六个评测模型上，SG-Implicit✓ 平均 ASR 为 84.92%，SG-Implicit 为 61.58%，SG-Origin 为 15.17%；三个公开集平均为 5.17%–23.92%。SG-Origin 低于 HarmfulQA 的 23.92%。作者把显式变体偏弱归于更容易被关键词类防御抓住。该成功子集是相对 Llama-3.1-8B-Instruct 选出的，再拿到主表模型上测试。
    • 对齐与其他评测： Table 3 中，Do-Not-Answer 对齐后对 SG-Implicit✓ 的 ASR 为 66.0%，SG-Implicit 对齐后为 12.0%。Table 4 中 MMLU 从 49.75 降到 42–44，作者称与现有基准大体相近。Table 9 三前沿模型上 SG-Implicit✓ 平均 ASR 为 26.5%，为该表最高。Table 11 中其对 LlamaGuard-4-12B 的绕过比例为 75.0%。
    • 作者结论： 作者称该管线能在医学、金融、法律、教育中露出高风险实体，并把显式查询变成更接近真实误用的隐蔽变体。Limitations 中作者写明，关系类型查询可能限制实体覆盖，自动改写可能错过真实攻击里的对抗创造性。
Read originalarxiv.org