Safer by Diffusion, Broken by Context: The Safety Dividend and Failure Modes of Diffusion LLMs

D-LLM 对面向自回归模型的越狱有内在稳健性，但把有害请求嵌进结构化良性上下文后，这一稳健性会失效。

• 场景：D-LLM 以掩码并行去噪生成，可用双向上下文。作者称这提高效率；LLaDA、Dream 与专有 Gemini Diffusion 已出现，因而需要红队。
• 现有不足：作者称既有越狱对 D-LLM 更弱，但多为经验观察。PAD 与 DIJA 被作者归为 white-box。作者称此前没有 Gemini Diffusion 的越狱探索。
• 核心观察：作者认为去噪造成 stepwise reduction，逐步压低不安全生成。该效应不是绝对的，结构化嵌套可以绕过。
• 本文做法：给出该机制的初始分析，并提出 black-box 的 context nesting：把有害请求嵌进结构化补全任务。
• 威胁模型：
  • 目标：诱导模型生成违反预期安全对齐的输出。成功与否后文用 ASR-K、ASR-E 和 HS 判定。
  • 知识：black-box。无参数、训练数据、梯度、内部状态或解码过程。
  • 能力：只能提交文本提示词并观察回复。
  • 受害系统：LLaDA-Instruct、LLaDA-1.5、Dream-Instruct，以及案例中的 Gemini Diffusion。

离散扩散语言模型

• D3PM（Austin et al., 2021）与掩码扩散（Hoogeboom et al., 2021; Campbell et al., 2022; Lou et al., 2024）——把扩散用于离散 token，以结构化腐蚀代替从左到右解码。
• DiffusionBERT（He et al., 2023）、SSD-LM（Han et al., 2023）及 Lou et al. (2024)、Ou et al. (2025)、Shi et al. (2024)——论文只描述其训练或推断改写，并称由此扩到十亿参数级。
• LLaDA（Nie et al., 2025）、Dream（Ye et al., 2025）、Seed Diffusion（Song et al., 2025）、Gemini Diffusion——作者称可取得有竞争力的表现并更高效生成。Wen et al. (2025) 与 Zhang et al. (2025) 讨论 D-LLM 的安全问题。

AR-LLM 上的越狱

• White-box 优化：GCG（Zou et al., 2023）、AutoDAN（Liu et al., 2024）、Cold-Attack（Guo et al., 2024）、PIG（Wang et al., 2025）——用梯度、搜索或学习到的生成器改写对抗提示。
• Black-box 提示工程：PAIR（Chao et al., 2024b）、说服式改写（Zeng et al., 2024）、ReNeLLM（Ding et al., 2024）、AutoDAN-Turbo（Liu et al., 2025）——只通过查询做角色扮演、说服或释义。
• 论文称这两类工作大多针对 AR-LLM。

D-LLM 越狱

• PAD（Zhang et al., 2025）——操纵中间去噪 logits，推动 token 分布。
• DIJA（Wen et al., 2025）——推断时预填掩码模板，并限制 mask 位置。
• 作者按 Chao et al. (2024b)、Yi et al. (2024)、Mao et al. (2025) 的分类，把上述两种接口都归为 white-box，并称完全 black-box 的 D-LLM 越狱仍少被研究。

基线方法与基准

• 黑盒基线为 Zero-Shot、PAIR、AutoDAN-Turbo、ReNeLLM；D-LLM 对照为 DIJA。机制实验另用 GCG。基准为 JailbreakBench 与 HarmBench。Figure 4 还把 GPT-4o 当作 AR-LLM 对照。

作者把本文区别于只报告经验稳健性、且依赖 white-box 接口的工作：分析去噪机制，并在仅输入输出的设定下测试 context nesting。作者称对 Gemini Diffusion 的实验是据其所知的首次专有 D-LLM 红队。

作者用去噪链上的 stepwise reduction 解释稳健性，再把能维持对抗影响的 context nesting 做成 black-box 攻击。

生成过程与安全距离

• 掩码扩散：沿用 LLaDA、Dream 的设定。给定提示 c，状态从全 [MASK] 的 z^(K) 迭代到 z^(0)。每步转移为 P_φ(z^(k−1) | c, z^(k))，只更新一部分掩码位置。
• 相对 AR：AR 只条件于过去 token。D-LLM 每步还可条件于当前已揭示的左右上下文。
• 安全区域：序列空间为长度 L 的 token 序列。作者称 S 一般难定义，分析里用安全短语词典 V_safe 近似。
• 距离：分布级距离定义为 D(x_t, S) := 1 − P_xt[x_t ∈ S]，即 1 减去落在安全区域的概率。经验估计对每步抽 N 个样本，用 Table 5 的关键词指示 safe。论文未给出 N。

逐步收缩与命题

• 经验现象：JailbreakBench 的 100 条提示、GCG、LLaDA-1.5 上，作者报告估计安全距离随去噪下降（Figure 3）。
• 假设 3.2：作者假设存在 α_t ∈ [0, 1)，使 D(x_t−1, S) ≤ α_t · D(x_t, S)。理由是受扩散的热力学解释启发，把去噪看成朝对齐所定义的高概率流形移动。
• 命题 3.3：若步 t* 的攻击效应有界，距离不超过 δ，则最终距离不超过 δ 与各步 α 的乘积。乘积不超过 ε/δ 时，最终距离不超过 ε。等价说法是，最终采到安全回复的概率至少为 1 减去 δ 乘该乘积。推导在附录 B.1。作者把它解释为多步去噪可能滤掉早期不安全信号。

从 ReNeLLM 定位失败模式

• 黑盒比较对象：PAIR、AutoDAN-Turbo、ReNeLLM。作者称它们在 D-LLM 上效果变差，但 ReNeLLM 相对仍高。
• 组件：ReNeLLM 含提示改写和 context template nesting。作者用只改写变体做消融，认为 D-LLM 上的相对效果主要来自嵌套。数字见第 4 问。
• Figure 5：作者称其他攻击的安全距离随去噪下降，ReNeLLM 维持高安全距离，因而收缩较弱。

Context nesting

• 做法：把有害查询直接嵌入带更高层补全目标的结构化上下文，不做迭代提示优化。
• 模板：沿用 code_completion、table_filling、text_continuation；另加 json_completion、markdown_filling、yaml_filling。后三种由提示 GPT-4o 生成。每条查询随机选六种之一。Table 4 给出模板，此处不抄模板句子。
• 解释：第 5.4 节把 α_t 近似为相邻步安全距离估计之比。作者认为累积乘积接近 1 时，命题中的收缩不明显，对抗内容可以留下。
• 预算：作者称不需要攻击用 LLM，也不做迭代优化。论文未报告查询次数。

成功判定与解码设置

• ASR-K：回复中不出现 Table 5 的拒绝或安全短语则判成功。
• ASR-E：判断输出是否实质有害。JailbreakBench 用 GPT-4o，HarmBench 用 fine-tuned LLaMA。论文未写 ASR-E 的数值阈值。
• HS：GPT-4o 打 1（拒绝）到 5（高度有害）。附录写 HS=5 视为成功；表中 HS 是分数。评审提示在 Table 6。
• 主实验解码：最大生成长度 128 tokens，32 个 denoising steps。

实验设置

• 被测模型：LLaDA-8B-Instruct、LLaDA-1.5、Dream-v0-Instruct-7B；表中写作 LLaDA、Dream7B。另有 Gemini Diffusion 案例。Figure 4 含 GPT-4o。
• 基准：JailbreakBench 含 100 条有害意图；HarmBench 含 400 条提示。
• 基线：黑盒为 Zero-Shot、PAIR、AutoDAN-Turbo、ReNeLLM；另比 DIJA。机制实验用 GCG。
• 指标：ASR-K 看 Table 5 关键词是否缺失。ASR-E 由 GPT-4o（JailbreakBench）或 fine-tuned LLaMA（HarmBench）判定。HS 为 GPT-4o 的 1 至 5 分；附录以 HS=5 为成功，表中是分数。GPT-4o 也是 Figure 4 的对照模型。
• 解码：主实验最大长度 128 tokens，32 个 denoising steps。论文未报告温度与重复次数。
• 嵌套实现：每条查询随机选六种模板之一。新增三种由 GPT-4o 生成。

主结果

据 Table 2，黑盒方法的 ASR-E 如下。

Swipe horizontally to read the table

模型	JBB Context Nesting	JBB ReNeLLM	HB Context Nesting	HB ReNeLLM
LLaDA	86%	63%	78%	44%
LLaDA-1.5	87%	64%	79%	46%
Dream7B	33%	11%	14%	6%

• 作者称 context nesting 在黑盒方法中 ASR-E 最高；JailbreakBench 上 LLaDA 与 LLaDA-1.5 超过 85%。作者称 HarmBench 上 ASR-E 比 ReNeLLM 高 over 50%。
• HS 方面，JailbreakBench 上 Context Nesting 为 4.76、4.78、2.90。HarmBench 上作者称 HS 最高，但 Dream7B 与 ReNeLLM 同为 2.70（Table 2）。
• ASR-K 排序不同：JailbreakBench 上 LLaDA 的 ReNeLLM 为 97%，Context Nesting 为 92%；Dream7B 为 82% 对 78%。PAIR、AutoDAN-Turbo 的 ASR-E 更低，Dream7B 的 HarmBench 分别为 2% 与 1%。

与 DIJA 的对比

• JailbreakBench 的 ASR-E：DIJA 为 81%、82%、90%，Context Nesting 为 86%、87%、33%（LLaDA、LLaDA-1.5、Dream7B，Table 3）。HS 分别为 4.60、4.60、4.60 与 4.76、4.78、2.90。
• HarmBench 的 ASR-E：DIJA 为 55%、57%、58%，Context Nesting 为 78%、79%、14%。HS 为 4.10、4.10、3.90 与 4.57、4.60、2.70。
• 作者称设定更严格，但 HarmBench 上前两个模型的 ASR-E 比 DIJA 高 over 35%。反例是 Dream7B：DIJA 的 ASR-K、ASR-E、HS 都更高。作者称嵌套的攻击预算更低，论文未报告查询次数。

安全距离与逐步收缩

• GCG 在 LLaDA-1.5、JailbreakBench、严格左到右解码下的攻击成功率为 16%。作者对照 Wang et al. (2024) 所报 Llama-3-8B 的约 50%。Figure 2 中，作者称早期可出现许可性片段，后期常改成拒绝式输出。
• Figure 3 使用 100 条提示，作者报告 GCG 下安全距离下降。Figure 5 图注称 LLaDA-1.5 上 ReNeLLM 维持高安全距离，其余攻击下降。附录 C 称 LLaDA-Instruct 与 Dream-7B 上含 ReNeLLM 的四种攻击单调下降，并称与 LLaDA-1.5 定性一致。两处对 ReNeLLM 的说法不一致。
• Figure 7 用相邻步安全距离之比近似 α_t。作者称 GCG、PAIR、AutoDAN-Turbo 的累积乘积明显低于 1，ReNeLLM 与 context nesting 接近 1 且 harmfulness 高。作者认为这可能说明嵌套绕过逐步收缩。图中数字在文本转换后无法可靠对应到方法，故不逐项赋值。

Gemini Diffusion 案例

• Section 5.3：从 JailbreakBench 抽 10 条，5 条产生不安全输出。无公开 API，人工评测，查询访问有平台约束。
• 作者称据其所知，这是 Gemini Diffusion 的首次成功越狱，也是专有 D-LLM 的首次红队。作者同时称因评测范围有限，只把它当作初步证据。
• Figure 6 与附录 F 为截图。作者称模型倾向于优先完成外层任务，从而生成违反安全约束的内容。此处不复述请求或输出。

其他消融与分析

• Table 1，JailbreakBench，只改写的 ASR-E/HS：LLaDA 9%/1.62，LLaDA-1.5 10%/1.63，Dream7B 1%/1.02；完整 ReNeLLM 为 63%/4.25、64%/4.07、11%/2.50。
• Zero-shot 的 ASR-E：JailbreakBench 为 15%、10%、0%；HarmBench 为 22%、20%、1%（LLaDA、LLaDA-1.5、Dream7B，Table 2）。
• PAIR 的 ASR-E：JailbreakBench 为 18%、16%、8%；HarmBench 为 33%、35%、2%。AutoDAN-Turbo：12%、16%、5% 与 8%、11%、1%（Table 2）。
• Figure 4：HarmBench 上 PAIR、AutoDAN-Turbo、ReNeLLM。作者称三款 D-LLM 的 ASR-E 低于 GPT-4o。文本无柱上数字，Table 2 也不含 GPT-4o。
• 附录 E / Figure 9：JailbreakBench，LLaDA-Instruct 与 LLaDA-1.5。生成长度 128、256、512（step length 固定为 4）；step length 2、4、8（生成长度固定 128）。图例区分 ASR-K 与 ASR-E。作者称各设置下 ASR 都高，文本未给柱高。主实验的 32 steps 与该 step length 不是同一写法，论文未解释二者关系。

作者指出的局限与后续方向

论文没有 Limitations、Discussion 或 Future Work 专节。

• 对齐策略（Section 6 Conclusion）：作者写，这些发现指出需要改进 D-LLM 的对齐，以处理来自更高层上下文的结构化攻击模式。

实验覆盖范围

• 开源被测模型为 LLaDA-8B-Instruct、LLaDA-1.5、Dream-v0-Instruct-7B；主实验最大生成长度 128 tokens、32 个 denoising steps（Section 5.1）。
• 基准为 JailbreakBench（100 条）与 HarmBench（400 条）。指标为 ASR-K、ASR-E、HS；安全距离另用 Table 5 关键词做蒙特卡洛代理（Section 3.2、5.1）。
• 黑盒对照为 Zero-Shot、PAIR、AutoDAN-Turbo、ReNeLLM；Table 3 另与作者归为 white-box 的 DIJA 比较。GCG 的攻击成功率 16% 只报告于 LLaDA-1.5、JailbreakBench、左到右解码约束（Section 3.1.2）。
• Gemini Diffusion 的结果来自 Section 5.3：JailbreakBench 抽样 10 条、人工评测、5 条产生不安全输出。论文写明无公开 API，查询访问有平台约束。
• 论文未报告蒙特卡洛样本量 N、各攻击的查询次数或迭代预算、重复次数，以及 ASR-E/HS 与人工判定的一致性。Figure 3 写明使用 100 条提示；附录 C 称设置与 Section 3.2.1 相同。

作者把 D-LLM 相对 AR-LLM 越狱的稳健性称为 safety blessing，并把 context nesting 当作它的 black-box 失效方式。

• 问题是面向自回归模型设计的越狱为何在扩散生成上变弱，以及只改输入能否绕过。对象包括 LLaDA 系列、Dream 和专有 Gemini Diffusion。
• 分析定义每步 token 分布到安全区域的距离，并假设该距离按步以系数 α_t 收缩。在攻击效应有界且乘积足够小时，作者推出最终安全距离可低于给定边际。
• 攻击不访问参数或解码过程，只把有害请求随机嵌进六种结构化补全模板之一。
• Table 2 中，Context Nesting 的 JailbreakBench ASR-E 为 LLaDA 86%、LLaDA-1.5 87%、Dream7B 33%；HarmBench 为 78%、79%、14%。这三个模型上的 ASR-E 高于同表的 PAIR、AutoDAN-Turbo 和 ReNeLLM。
• 与 DIJA 比，前两个模型在 HarmBench 上 ASR-E 更高；Dream7B 上 DIJA 更高，JailbreakBench 为 90% 对 33%，HarmBench 为 58% 对 14%（Table 3）。Gemini Diffusion 的 10 条人工案例中 5 条被记为不安全输出。
• 作者的结论是：去噪过程可以解释许多提示级越狱失效，而高层结构化上下文能绕过该增益，因此对齐需要处理这类模式。作者称 Gemini Diffusion 上的结果是据其所知的首次成功越狱。