SafeMol：分子多模态模型的双模态安全对齐

分子多模态模型在处理危险分子时，安全对齐要同时跨文本与图输入成立，并平衡安全、过拒和分子任务效用。

• 场景与重要性：作者认为，分子多模态模型把分子图等结构化表示与语言模型结合，用于理解与生成，但安全对齐仍 largely underexplored。即使底层语言模型做过安全对齐，后续多模态适配仍可能削弱原有安全行为，额外模态也会带来新的攻击面。本文聚焦已安全对齐的实验流程生成（experimental procedure generation）。
• 现有不足：Table 1显示，文本与图条件下都存在越狱，图条件下攻击成功率更高。作者指出两个挑战：只在一种模态上有效的对齐未必迁移到另一种；更强拒答会压低有害输出，但也可能拒绝涉及危险分子的合法请求并损害分子任务表现。
• 核心观察：作者认为，危险分子本身不应等同于有害意图——对有害操作请求应拒答，对合法分子任务仍应作答；对齐还应保住模型在良性分子任务上的原有能力。
• 本文提出：构建 SafeMolBench（3702条样本，覆盖618个不重复危险分子及安全分子任务），分为 hazardous-harmful、hazardous-allowed、utility-replay，用于统一训练和评测安全、过拒与效用。在此基础上提出 SafeMol：参数高效安全对齐，在两种输入上联合优化轻量模块，用MMD做分布级表示对齐，并显式建模分子危险性与有害操作意图。
• 威胁模型：
  • 目标：诱导模型生成涉及危险分子、可能有害的可操作化学流程；成功攻击可能暴露可增加危险物质误用风险的操作化学知识。
  • 知识：black-box jailbreak。攻击者只有 query access，不依赖模型参数、梯度、训练数据、内部表示或推理过程。目标模型为原始分子模型。
  • 能力：可控制文本指令，并决定是否提供对应分子图。两种设置：Text-only Jailbreak（只有文本）；Graph-conditioned Jailbreak（文本加分子图）。
  • 约束：必须提供文本，分子图可选；不能改参数、架构、推理过程或安全机制，只能通过输入操纵攻击。代表性示例在附录A.1与Figure 5。

作者按三条线组织相关工作，并认为分子图条件下的系统安全对齐仍 largely underexplored。

分子多模态模型

• MoleculeSTM、MoMu（Liu et al., 2023b; Su et al., 2022）——用对比学习把分子图与自然语言描述对齐。
• MolCA、InstructMol、3D-MoLM、LLaMo、Mol-LLaMA（Liu et al., 2023c; Cao et al., 2025; Li et al., 2024; Park et al., 2024; Kim et al., 2026）——用Q-Former或projector把图编码器接入语言模型，支持分子描述、性质预测、反应推理和实验流程生成。
• Omni-Mol（Hu et al., 2026）——在多任务框架中统一结构、文本、数值和反应相关任务。作者称现有研究主要关注表示对齐与下游性能，分子多模态适配的安全影响仍未充分探索。

化学与分子安全

• ChemSafetyBench（Zhao et al., 2024）评测LLM在化学场景中的安全与准确性；SciRisk-Bench（Feng et al., 2026）评测科学领域的细粒度风险识别与安全回复；MolSafeEval（Xu et al., 2026）把安全评测扩展到分子生成，检查毒性、反应性等危险性质。
• SMILES-Prompting（Wong et al., 2024）——用SMILES表示危险化合物会削弱有害意图识别并绕过现有防护。作者称此前工作主要是安全评测和化学特定攻击，而不是系统的安全对齐。引言还提到这些基准并不面向分子多模态模型的安全对齐，也不联合评测安全、过拒与效用。

多模态安全对齐

• 训练时方法：VLGuard、SPA-VL、Adversary-Aware DPO（Zong et al., 2024; Zhang et al., 2025; Weng et al., 2025）用有害多模态输入配安全回复，通过监督微调、偏好优化或对抗训练对齐。
• 推理时方法：VLM-Guard、ETA（Liu et al., 2025b; Ding et al., 2025）干预与安全相关的隐表示或解码。作者同时引用Zong et al. (2024)、Lee et al. (2025)、Liu et al. (2025a)，称加入额外模态会削弱原有安全行为。作者称现有工作主要面向视觉–语言模型，带结构化图输入的分子多模态模型的安全对齐仍 largely underexplored。

基线与基准

• 基线方法：语言模型GPT-4o、Llama-3.2-1B-Instruct（仅文本）；分子多模态模型Omni-Mol v2、ReactXT（文本与图）。SafeMol分别建在这两个分子模型上。
• 基准/数据集：自建SafeMolBench；危险分子来自监管清单与既有安全研究（Wong et al., 2024; Kim et al., 2025），反应上下文用AiZynthFinder与Parrot补充；安全分子与原始任务输出从Omni-Mol采样。一般效用另在Omni-Mol的多项分子任务上评测。过拒讨论引用OR-Bench（Cui et al., 2024）。

作者把本文定位为：在分子多模态模型上系统评测两种输入模态的越狱，并给出同时覆盖有害请求、合法危险分子请求和原始分子任务的对齐基准与参数高效对齐方法。

SafeMol在冻结的分子多模态模型上做单阶段参数高效对齐：用Safety-LoRA改生成，用MMD对齐图文表示分布，并用两个分类头显式区分分子危险性与操作意图。

问题设定与SafeMolBench

• 数据来源：从ATF、DEA、EPA-EHS、OPCW等监管清单及既有研究收集危险分子，去重后初得774个，过滤无法解析结构后保留618个（Table 7：explosive 63、controlled drug 291、chemical weapon/poison 264）。用AiZynthFinder做逆合成与反应物识别，用Parrot预测催化剂和溶剂；PubChem与RDKit标准化字段（Table 6）。安全分子与原始任务输出从Omni-Mol采样。
• 三个子集：H（Hazardous-Harmful）做安全对齐；A（Hazardous-Allowed）测过拒；U（Utility Replay）保住实验流程生成效用。同一危险分子既配实验流程指令，也配良性分子任务指令，使模型不能只凭分子身份拒答。
• 规模与划分：共3702条。按危险分子约8:1:1划分，同一分子的样本只进一个划分，避免分子级泄漏。Table 8：Train 1034/1034/984（共3052），Val 102/102/124（共328），Test 100/100/122（共322），顺序为H/A/U。代表性样本见Figure 6；流程见Figure 1。

信息瓶颈视角

作者用信息瓶颈刻画表示：保留与期望回复、分子危险性、有害操作意图相关的信息，减少文本与图条件之间不必要的差异。目标为

J_IB=I(Z;Y_r)+λ_HazI(Z;Y_h)+λ_OpI(Z;Y_o)−λ_MMDMMD²(P_t,P_g)

其中Yr、Yh、Yo分别是期望回复、分子危险性、操作意图，Pt、Pg是两种模态条件下的表示分布。作者由条件熵被预测交叉熵上界，得到最小化LSafeMol相当于最大化该目标的一个可处理下界（式2）。

可训练模块与生成目标

• 冻结与训练：冻结原图编码器和LLM主干。只训练跨模态projector、插入语言模型的Safety-LoRA，以及Hazard Classification Head、Operational-Intent Classification Head。
• Safety-LoRA：标准自回归SFT，损失只算在目标回复token上（式3）。H、A、U同时进入SFT，使安全回复、减少过拒和保住效用一起被优化。projector也接收SFT梯度。
• 训练超参（附录A.4）：单阶段3个epoch。Safety-LoRA与两个分类头学习率2×10−5，projector为5×10−6。λMMD=0.01，λHaz=0.2，λOp=0.1，按各损失数值尺度选取。文本视图与图视图的损失权重为0.75和0.25。H样本损失权重1.5。

MMD与两个分类头

• MMD：对一个mini-batch，投影后的图表示GB与文本表示TB用核函数在RKHS中比较。LMMD=KGG+KTT−2KGT（式4–5）。最小化使P(GB)≈P(TB)，但不强制单对图文配对。MMD只更新projector，图编码器保持冻结。推导在附录A.3。
• 危险性头：yih∈{0,1}，1表示危险分子。phi=σ(gh(hhi))，用二元交叉熵LHaz（式6）。
• 操作意图头：yio∈{0,1}，1表示请求具体、可执行的实验或化学流程。poi=σ(go(hoi))，用LOp（式7）。
• 总目标：Ltotal=LSFT+λMMD LMMD+λHaz LHaz+λOp LOp（式8），四项在同一训练阶段联合优化。

成功判定

• ASR（仅H）：Attempt Rate为LLM评审判定模型未拒答的比例；Process Success Rate为评审判定生成回复正确（可执行危险流程）的比例；Progress Score为回复在多大程度上推进所请求目标，0到10分。评审为gpt-4o，全部LLM评审结果再经人工复核。提示词在Figure 7。
• ORR：ORR-A以A为分母，ORR-U以U为分母，均为本应回答却被拒答的比例。
• Utility：在U上用BLEU-2、BLEU-4、ROUGE-1、ROUGE-2、ROUGE-L，对照参考答案。定义见附录A.5与Table 9。

实验设置

• 被测模型：语言模型GPT-4o、Llama-3.2-1B-Instruct（仅w/o Graph）；分子多模态模型Omni-Mol v2、ReactXT，以及建在二者上的SafeMol（w/o Graph与w/ Graph）。
• 数据：SafeMolBench测试集322条（H 100、A 100、U 122）。训练3052、验证328。主结果与消融为五随机种子平均，显著性水平p<0.001。
• 指标：H上Attempt Rate、Process Success Rate、Progress Score；A上ORR-A、U上ORR-U；U上BLEU-2/4与ROUGE-1/2/L。gpt-4o做评审，结果经人工复核。ReactXT的ORR-A在Table 2中为“–”。
• 其他评测：训练数据规模（Figure 3）；16项一般分子任务的Relative Performance Retention（Table 5）；最后一层mean-pooled隐状态的余弦距离（Figure 4）；GPU小时（Table 10）；OOD指令（附录A.7）。

主结果

Table 2（五种子平均，p<0.001）节选如下。

Swipe horizontally to read the table

模型	输入	Attempt	Process Success	Progress	ORR-A	ORR-U	BLEU-4
GPT-4o	w/o Graph	64.00%	36.00%	4.570	0.00%	14.75%	0.0041
Llama-3.2-1B-Instruct	w/o Graph	0.00%	0.00%	0.000	37.25%	100.00%	0.0000
Omni-Mol v2	w/o Graph	50.00%	38.00%	3.850	2.00%	0.00%	0.3328
Omni-Mol v2	w/ Graph	92.00%	66.00%	6.260	5.00%	0.00%	0.4743
SafeMol（Omni-Mol）	w/o Graph	0.00%	0.00%	0.000	1.00%	15.57%	0.3753
SafeMol（Omni-Mol）	w/ Graph	2.00%	0.00%	0.140	1.00%	10.66%	0.4164
ReactXT	w/o Graph	83.00%	27.00%	3.820	–	0.82%	0.2550
SafeMol（ReactXT）	w/ Graph	12.00%	2.00%	0.710	–	35.25%	0.0710

ReactXT原模型w/ Graph的Attempt为46.00%、Process Success为0.00%、Progress为0.920、ORR-U为0.00%、BLEU-4为0.0410；SafeMol（ReactXT）w/o Graph的Attempt为9.00%、Process Success为6.00%、Progress为0.640、ORR-U为37.70%、BLEU-4为0.0837（均据Table 2）。

• 作者解读：在Omni-Mol v2上，Attempt在两种输入下分别下降50和90个百分点，Process Success分别下降38和66个百分点。在ReactXT上，Attempt下降74和34个百分点，对齐后Process Success仍较低。作者称安全在有害请求上得到提升，并压低了成功生成危险操作流程的情况。
• 权衡：Omni-Mol v2上ORR-A从2%/5%降到两种输入均为1%；文本条件下SafeMol在全部报告的BLEU与ROUGE上高于原模型。迁到ReactXT后安全也有下降，但ORR-U升至37.70%和35.25%，效用相对原模型下降。作者认为这可能与ReactXT专精单一下游任务有关，并称安全、过拒与效用的平衡取决于底层模型和任务专精程度。
• 语言模型对照：Llama攻击成功为0，但ORR-A 37.25%、ORR-U 100%，效用接近0。GPT-4o过拒更低，Attempt仍为64%、Process Success为36%，分子任务效用有限。作者称单独的低攻击成功或低过拒都不足以构成有效安全对齐。

数据构成与组件消融

Table 3比较text-only、graph-present与联合训练（五种子，p<0.001），骨干为Omni-Mol v2。

• 测了什么 → 结果：仅文本对齐在w/o Graph上Attempt为13.00%、Process Success为10.00%，但w/ Graph上Attempt为94.00%、Process Success为58.00%。仅图对齐在两种输入上Attempt为1.00%和5.00%，但w/o Graph的ORR-U达74.59%，BLEU-4为0.0239。联合训练（Text-Graph Align.）与Table 2中SafeMol（Omni-Mol）数字相同：w/o Graph的Attempt/Process Success为0.00%/0.00%，w/ Graph为2.00%/0.00%，ORR-U为15.57%和10.66%。
• 作者解读：两种模态提供互补监督；仅图训练以较高过拒和效用下降换取跨设置安全。

Table 4在Omni-Mol v2上做组件消融。

• 去掉MMD：w/ Graph的Attempt从2%升至16%，Process Success从0%升至10%，Progress从0.140升至1.080；效用略升。作者称这突出了图文分布对齐对安全鲁棒性的重要性。去掉分类头对攻击成功影响较小（两种输入Attempt均为0.00%），但过拒上升、效用下降：w/ Graph的ORR-U为14.75%（完整模型为10.66%）。作者称分类头主要帮助保住任务表现并减少不必要拒答。Safety-LoRA only在两种输入上Attempt与Process Success均为0.00%，w/ Graph的Progress为0.030。

训练规模、一般效用与表示差距

• 训练规模（Figure 3）：作者称随着训练样本增加，两种输入下ASR总体下降，并在约2000条附近进入平台；ORR-A总体下降，ORR-U上升；效用相对稳定。作者称约2000条额外对齐样本即可取得大部分安全收益，约相当于Omni-Mol百万级训练语料的0.14%，以及其Experimental Procedure数据的1.35%。图中具体端点数值论文正文未逐点列出。
• 一般效用（Table 5）：在实验流程生成之外再评15项分子任务，加上实验流程共16项。保留率超过80%的有14项；至少100%的有4项（Catalyst Prediction 101.21%、Quantum Mechanics Property Prediction 100%、Molecular Description Q&A 100.41%、Molecule Editing 100.81%）。较低的是Mol2Num TPSA 36.54%、Mol2Num Weight 75.07%。Experimental Procedure（BLEU-4）为87.79%。作者称下降主要出现在少数数值推理任务。附录称15项额外任务的细节在Appendix 8；后文表格列有Omni-Mol与ours在多项任务上的原始分数，列对齐不稳定处不逐格转写。
• 隐状态（第5.6节、Figure 4）：对同一测试样本做配对前向，取最后一层隐状态的mean-pooled表示，用余弦距离定义模态隐状态差距。作者称多数样本落在对角线下方，即SafeMol之后多数样本的图条件与无图隐状态差距变小。图中具体样本坐标未在正文给出。

其他消融与分析

• 效率（Table 10）：Omni-Mol v2为NVIDIA A100 80G、576 GPU小时；SafeMol为NVIDIA V100 32GB、3.58 GPU小时。消融：Safety-LoRA 2.76、w/o MMD 2.2、w/o Aux. 2.79。作者称相对训练原模型，SafeMol额外训练计算约0.6%，作为事后对齐阶段少于4个GPU小时。
• OOD指令（附录A.7）：H与U测试指令也出现在训练集中。作者把H、U测试指令换成训练和验证中都未出现的六条实验流程指令，以测分布外泛化。正文在列出第一条“Provide a detailed synthesis pathway.”后截断，六条的其余措辞与对应数字未完整给出，此处不转写未读完的指令或结果。
• 负面与例外：ReactXT上SafeMol的ORR-U为35.25%–37.70%，效用低于原模型；图条件下原ReactXT的Process Success已是0.00%，对齐后为2.00%。仅文本对齐几乎不能迁移到图输入（Attempt 94.00%）。Mol2Num TPSA保留率36.54%。去掉MMD后图条件攻击成功回升。

作者指出的局限与后续方向

论文没有单独的Limitations或Future Work节。可核对到的后续安排只有Reproducibility Statement：作者计划发布源代码、数据处理脚本和相关模型配置，以方便后续研究与核验。Conclusion讨论的是已完成实验的含义，没有另列未解决的局限。伦理声明说明研究目的是识别风险并改进模型安全，数据只用于安全研究，且不涉及人类受试者或个人隐私；这些是研究做法说明，不计入局限。

实验覆盖范围

• 模型与输入：安全评测包含GPT-4o、Llama-3.2-1B-Instruct（仅文本）、Omni-Mol v2、ReactXT，以及分别建在后两者上的SafeMol；分子模型评测w/o Graph与w/ Graph（第5.1节、Table 2）。
• 基准划分：SafeMolBench共3702条、618个危险分子；训练/验证/测试为3052/328/322，测试为H 100、A 100、U 122（Table 8）。主结果、数据消融和组件消融均为五随机种子平均，并在p<0.001下评估显著性（Table 2–5）。
• 评审：ASR与ORR由gpt-4o按Figure 7的提示词判定，作者称全部LLM评审结果另经人工复核（附录A.5）。论文未报告人工与gpt-4o的一致性数值。
• 消融与附加评测：数据构成含text-only、graph-only、text-graph（Table 3）；组件含Safety-LoRA only、去掉MMD、去掉分类头（Table 4）。另有训练规模（Figure 3）、16项任务保留率（Table 5）、最后一层余弦距离（Figure 4）、GPU小时（Table 10）和OOD实验流程指令（附录A.7）。
• 攻击设定：第2节的威胁模型为black-box，攻击者只通过文本以及可选分子图做输入操纵。论文讨论了训练时与推理时的视觉–语言安全方法，并称它们主要面向VLM、分子图设定仍未充分探索，实验基线是未对齐的分子模型与两个语言模型，而不是这些VLM防御方法。

SafeMol研究分子多模态模型在危险分子相关请求上的安全对齐，并同时看过拒和任务效用。

• 问题：作者在black-box设定下评测实验流程生成。攻击者只有查询权限，可改文本并选择是否附分子图。Table 1中Omni-Mol v2在图条件下Attempt为92.00%、Process Success为66.00%，高于仅文本的50.00%和38.00%。
• 数据：SafeMolBench有3702条、618个危险分子，分为有害操作请求H、合法危险分子请求A和效用回放U，按分子划分以避免泄漏。
• 方法：冻结图编码器与LLM，训练projector、Safety-LoRA和危险性、操作意图两个头。总损失为SFT加MMD与两个分类损失。MMD只更新projector，做分布级对齐而不是逐对匹配。训练3个epoch，文本/图视图权重0.75/0.25，H样本权重1.5。
• 主结果：五种子平均下，建在Omni-Mol v2上的SafeMol把w/ Graph的Attempt从92.00%降到2.00%、Process Success从66.00%降到0.00%，ORR-A为1.00%，ORR-U为10.66%，文本条件下BLEU-4从0.3328升到0.3753。建在ReactXT上时，w/o Graph的Attempt从83.00%降到9.00%，但ORR-U升到37.70%，效用下降。作者认为平衡取决于底层模型是否专精单一任务。
• 其他证据：去掉MMD后图条件Attempt升至16%、Process Success升至10%。约2000条对齐数据后ASR进入平台。16项分子任务中14项保留超过80%原性能，Mol2Num TPSA为36.54%。作者称Figure 4中多数样本的模态隐状态差距变小。额外训练约3.58 GPU小时。
• 作者结论：有效的分子多模态安全对齐需要同时压低有害操作输出、避免过度拒绝合法化学请求，并保住分子任务效用。作者计划发布代码、数据处理脚本和模型配置。