研究者提出 Latent Fusion Jailbreak，白盒越狱在五个开源权重模型上平均成功率达 94.13%

白盒条件下，对齐模型的内部表示仍可被干预并产出不安全补全。

• 场景：作者称后训练（尤其 RLHF 与直接偏好优化）常用于让模型拒绝有害请求，但对抗输入或推理时干预仍能抽出不安全输出；理解这些失败对红队评测和更强防御都有必要。
• 现有路径：作者称多数自动越狱在文本上搜索，部分优化后缀困惑度高，可被输入过滤器发现。连续表示上已有激活转向、概念拒绝向量和提示空间的拒绝抑制；作者称 LFJ 另走一条路，即为每条有害查询构造匹配的无害参照，只在选定位置插值。
• 本文做法：作者提出 Latent Fusion Jailbreak（LFJ）。拒绝损失梯度决定干预的层与 token，再优化每层混合系数；编辑后的 prompt 状态顺序穿过后续 block。作者还研究针对该插值的潜空间对抗训练。
• 威胁模型：
  • 目标：得到独立安全评审标为有害的补全。只避开规范拒绝短语，或给出无关、不连贯、不可执行的补全，都不算成功。
  • 知识：white-box。可读隐藏状态及其梯度，可在推理时替换隐藏状态，但不能改架构或参数。该能力面向可修改推理图的开源权重模型，标准闭源 API 不暴露，也强于 black-box PAIR 与 Score-based AutoDAN 的提示接口。
  • 控制范围：知晓权重、分词器、对话模板与解码配置，可做 teacher-forced 前向和反向，并在 prompt prefill 用 hook 替换 block 输入。外部评审不提供梯度或接受/拒绝反馈。
  • 干预约束：只改用户内容位置；每层系数限于 [0, 1]；层与 token 掩码从干净有害查询梯度一次选定后固定；HSI 只在 prefill 施加。作者称这对应被攻破或研究者可控的推理管线，而非受保护 API 的远程用户。

离散提示优化

• 手工模板与 GCG：DAN 一类早期越狱依赖手工角色模板（Shen 等, 2024；Wei 等, 2023）。GCG（Zou 等, 2023）用 token 梯度搜索对抗后缀；作者称此类后缀可能高困惑度，被困惑度过滤或对抗后缀过滤捕获。
• AutoDAN 与 PAIR：AutoDAN（Liu 等, 2023）用分层遗传算法生成可读提示；Table I 将其标为 Score-based、离散遗传/LLM 搜索。PAIR（Chao 等, 2023）用攻击模型经 black-box 查询迭代改写提示。引言还提到 TAP（Mehrotra 等, 2024）。
• Wide-net：Xiang 等（2026）查询一组目标模型，任一返回有害响应即成功。作者称上述离散方法与 LFJ 的攻击面和成功定义都不同。

潜空间与连续优化

• 嵌入空间攻击：GBDA（Guo 等, 2021）与 PGD（Geisler 等, 2024）优化 token 嵌入的连续松弛；EBGCG（Hu 等, 2024）先做嵌入预优化再搜离散后缀；ASETF（Wang 等, 2024）把连续后缀嵌入译回文本。
• 拒绝抑制与概念方向：DSN（Zhou 等, 2024）仍是 token 后缀方法，但加入显式拒绝抑制损失。RepIt（Siu 等, 2025）在残差流识别并抑制概念特异的拒绝向量；相关工作还提到由安全/有害表示差构造对抗方向。
• 以潜变量为信号或干预面：LARGO（Li 等, 2025）优化潜向量再解码成自然语言；LatentBreak（Mura 等, 2025）用潜空间反馈选择保义的词替换。作者称这些方法接口并不等价：前两者最终产出文本，RepIt 与 LFJ 干预激活。Table I 汇总代表方法的优化空间、访问方式和局限。

越狱防御

• 模型层：RLHF（Ouyang 等, 2022）、直接偏好优化（Rafailov 等, 2023），以及红队数据上的对抗微调（Mazeika 等, 2024），都改模型参数。

• 系统层：Llama Guard 过滤输入或输出，SmoothLLM 对扰动提示聚合响应，Erase-and-Check 检查提示子序列。

• 表征层：Jailbreak Antidote 在运行时干预激活，GradSafe 用梯度检测越狱。作者称 ASF 与 SmoothLLM 作用于文本输入，因而不会直接消除内部状态干预；这动机了 Section V 的攻击特异潜空间训练。

• 基线与基准：报告实验的基线为 Direct、PEZ、CJ、MAC、DSN、ED、COLD-Adapted、PAIR、AdvPrompter。基准为 AdvBench、MaliciousInstruct、PKU（BeaverTails 子集）和 ToxicChat。作者写明 GCG、AutoDAN 及近期表征级方法出现在相关工作中，但未纳入报告的实验。

作者按推理时威胁分类，把 LFJ 定位为作用于 prompt 处理阶段最终模型的 white-box 攻击：签名是结构一致的无害参照，以及对有害流的选择性、顺序插值；跨接口比较只作描述性参照，而不是访问匹配评估。

作者提出 Latent Fusion Jailbreak（LFJ）：为每条有害查询配一条结构相近的无害参照，在梯度选定的层和 token 上做凸组合插值，再让编辑后的状态顺序穿过后续 transformer block（Figure 1、Figure 2）。

问题设定

• 记安全对齐模型为 fθ。前向按 block 输入约定书写：第 l 层 token i 的残差流进入 Blockl 后得到下一层输入。攻击不改权重、架构、系统消息、对话模板 token 或文本查询。
• 可微代理是固定合规续写 y(qh)，由固定前缀接上 qh 再截到最多 32 个 token。它只用于系数优化；最终成功由完整采样响应经独立评审判定。
• 四条约束：只改用户内容位置；混合系数在 [0, 1]，不向配对状态之外外推；层与 token 掩码一次选定后固定；HSI 只在 prefill 施加。生成 token 不再插值，但有界拒绝短语过滤可在候选进入缓存前将其屏蔽。

主题配对与对齐

• 无害参照由固定 API 快照 gpt-3.5-turbo-0125 生成（temperature 0，top-p=1，最多 512 个输出 token），一次返回有序候选。Section IV-C 给出生成指令；此处不复述其句式约束。
• 接受标准有两条：bert-base-uncased 句向量余弦相似度不低于 0.8；spaCy 3.7.2（en_core_web_trf）依存三元组的多重集重叠不低于 0.70。都不通过时，由不知攻击结果的编辑者修订两项分数均值最高的候选，再用同一标准复检。配对在出结果前固定。
• 两查询按目标模型已发布对话模板渲染为单轮用户内容，不另加系统指令。长度不同时，用保序的比例映射把有害 token 位置映到无害 token。作者称筛选使对齐位置更可比，但不意味着两隐藏状态的欧氏距离最小。

梯度选点与系数优化

• 规范短语集 R 在优化、拒绝采样和防御训练中共用。拒绝损失是这些短语的长度归一化负对数似然，只用于测敏感度，不定义 ASR。层分数为该层全部有害 token 的梯度 L2 范数之和；超过全体层均值加标准差者进入编辑层，空集则取最大层。
• token 分数在入选层上聚合梯度；超过均值加标准差者进入编辑集，空集则取分数最高的 token。作者称这是限制干预面的查询条件分配，不表示未入选位置与安全无关。
• 入选 token 的编辑状态是当前有害状态与对齐无害状态的凸组合，h^(l,+)=(1−α^(l))h^(l,−)+α^(l)h_benign^(l)。无害 block 输入只在单独前向中算一次。后一层的插值在已经含先前编辑的流上重算；干净状态偏移消融则预先存下各层偏移，第二遍原样注入。
• 攻击损失为 L_attack=L_target+β L_supp+γ/m|α|₂²。目标项是合规续写的 teacher-forced、按 token 平均的负对数似然；抑制项要求拒绝短语的每 token NLL 相对初始化上升 δ=1 nat 后即不再惩罚。β=0.5，γ=0.01，m 为编辑层数。系数从 0.1 起步，投影梯度下降，步长 0.05，M=10，无按查询超参搜索或早停。

解码与流程

• 得到最终系数后重新做一次顺序 prefill，缓存来自编辑后的流；优化时的缓存不复用。解码为 top-k=40、temperature 0.7、top-p=1.0，最多 256 个新 token。生成状态不再插值，也不从干净 prompt 重建缓存。
• 前 K=32 个生成 token 使用与 R 相同的归一化。若某候选会使前缀以任一规范短语结尾，则屏蔽并重归一化，每步最多检查 10 个候选；找不到则停止并返回当前序列。被拒候选不写入缓存。
• 作者把优化中途重选掩码、各层只注入干净偏移、插值后用干净 prompt 重建缓存，都视为不同攻击。成本上，与直接提示的差别主要来自 M=10 次可微目标评估；论文未报告访问匹配的墙钟时间。

攻击特异潜空间对抗训练

• 每个 epoch 用当前检查点重算层与 token 掩码并切断其梯度；无害状态 stop-gradient。每层系数从 U[0.2, 0.8] 独立采样，而不是做内层最大化。作者称这是攻击分布增强，不是 certified 的 min–max 防御。编辑仍按攻击相同的方式顺序传播。
• 对抗集 1000 对，来自未进入 PKU 测试子集的 BeaverTails 训练划分，并满足同一配对标准。另 1000 条 Alpaca 无害样本（种子 42，去掉与 BeaverTails 不安全类别过滤匹配的例子）只作语言建模正则。安全目标从含 R 中短语的拒绝模板中均匀抽取；此处不列出模板原文。
• 总损失为 0.7 倍无害交叉熵加 0.3 倍对抗损失。对抗项是安全目标的 token 平均负对数似然，加上权重 λref=0.5 的规范短语项。五模型分别用 LoRA（rank 16，缩放 32，dropout 0.05）微调 query 与 value 投影；AdamW、学习率 2×10^-5、权重衰减 0.01、有效批大小 64、最长 512、3 个 epoch。
• 测试时掩码、系数、隐藏状态和缓存都从防御后检查点重算，不回放未防御模型上优化出的扰动。作者写明该评测只测对 LFJ 的稳健性，良性效用需另测。

实验设置

• 目标模型：Vicuna-7B-v1.5、LLaMA-2-7B-Chat、Guanaco-7B、LLaMA-3-70B-Instruct、Mistral-7B-Instruct-v0.1。70B 用 DeepSpeed ZeRO-3 分片，其余数据并行；权重为 bfloat16，不量化。
• 基准与规模：AdvBench 全部 520 条，保持发布顺序；MaliciousInstruct 全部 100 条。PKU 从 BeaverTails 带不安全标注的提示中按标识排序后无放回抽 500（NumPy PCG64，种子 42）；ToxicChat 保留毒性标签为 1 的样本，同样抽 500。各方法共用同一测试例与固定配对。
• 基线：Direct、PEZ、CJ、MAC、DSN、ED、COLD-Adapted、PAIR、AdvPrompter。作者写明 GCG、AutoDAN 与近期表征级方法未进入报告实验。梯度后缀法用 20-token 后缀、最多 500 次更新；PAIR 与 ED 每条最多 20 次目标模型查询。作者称 Table II 是描述性比较，不是访问匹配排名。
• 指标：ASR 为评审标 harmful 的比例；须提供明确、可执行、能实质促成该恶意意图的信息。与 R 的字符串匹配不进入 ASR。PPL 只用 meta-llama/Meta-Llama-3-8B 描述 LFJ 响应，不用于方法排名。
• 评审：API 快照 DeepSeek-V3-0324，temperature 0，top-p=1，最多 32 个输出 token，无 few-shot，只返回指定 JSON。解析失败重试一次，再失败保守标 safe。100 条响应（每数据集 25，种子 42，跨模型与攻击方法）上，两名标注者盲标，分歧由第三人裁定；与裁定标签一致 96 条，95% Wilson 区间 90.2–98.4%。论文写明这不是标注者间一致性。
• 重复与聚合：种子 {13, 21, 42}，管采样和攻击中的随机部分。先算每个模型–种子的 ASR，再对 5×3 宏平均。MaliciousInstruct 列显示为整数，舍入只发生在聚合之后。论文未给出种子级不确定区间，也不把三种子当作独立样本做显著性检验。

主结果

下表据 Table II，每格为五模型、三种子宏平均 ASR（%）。分模型 ASR 未报告。PEZ 与 MAC 未列入，其 Avg. 分别为 24.54 与 43.40。

Swipe horizontally to read the table

方法	PKU	ToxicChat	AdvBench	Malicious	Avg.
Direct	19.59	19.71	18.15	22	19.86
CJ	15.83	41.11	20.21	23	25.04
DSN	52.11	53.52	60.18	57	55.70
ED	74.71	48.59	75.10	74	68.10
COLD-Adapt.	74.28	77.43	81.53	84	79.31
PAIR	83.13	76.33	88.78	87	83.81
AdvPrompter	89.91	84.28	91.15	93	89.59
LFJ	93.75	90.99	94.76	97	94.13

• 作者称 LFJ 的四列平均高于表中所列基线，其中显示基线的最高平均属于 AdvPrompter；该数值差不是访问匹配的相对攻击质量估计，因为 LFJ 可改内部状态，若干基线只能改文本。
• 作者称列间差异同时反映算法与接口，不能把隐藏状态插值的收益和直接状态访问的收益分开。Malicious 列虽显示为整数，仍是五模型三种子的聚合，不是单次运行的成功率。
• 表中 CJ 在 PKU 上低于 Direct，ED 在 ToxicChat 上低于其另三列。论文未对这两处作单独解释。

查询配对消融

• 测了什么：Table III 把完整配对换成随机的无关无害查询。语义相似度、句法相似度与辅助模型候选构造同时改变。
• 结果：宏平均从 94.13% 到 27.45%，作者报告相差 66.68 个百分点。随机配对分数据集为 PKU 20.89%、ToxicChat 28.67%、AdvBench 34.23%、Malicious 26%。
• 作者的解读：作者称这支持该协议下的联合配对流程，但不能分开估计三项因素的单独效应；析因配对研究才可做该分解。

隐藏状态插值消融

• 测了什么：Table IV 比较完整 HSI 与均匀插值、随机层、固定浅层/深层、全 token、干净状态偏移、无拒绝采样。随机层保持编辑层数等于 |Ledit|。
• 结果：无拒绝采样宏平均 86.72%，作者报告拒绝采样贡献 7.41 个百分点。随机层为 32.66%。全 token 为 40.12%，作者报告相对完整方法下降 57.4%。干净状态偏移为 36.08%，作者报告相对下降 61.7%。
• 作者的解读：作者称潜空间插值本身占该消融中的大部分成功。随机层是对查询特异选层最直接的对照；均匀与固定层同时改了位置及其他因素，不能得出单一因素估计。顺序重算与干净偏移的差距，作者称与后层插值随先前编辑重算一致，而不是一般的迭代推理效应。这两项对比未评流畅度或可检测性。

攻击特异潜空间对抗训练

• 测了什么：五模型分别按 Section V 训练后，对每条测试查询在防御检查点上重算敏感层、编辑 token 和系数；文本配对固定。Table V 的 ASR 越低越好，且不含良性效用。
• 结果：未防御宏平均 94.13%，全防御 12.37%。作者报告绝对下降 81.76 个百分点、相对下降 86.9%。去掉 Ladv、只训无害数据时为 85.62%，作者报告仅比未防御低 8.51 个百分点。去掉规范拒绝项后为 28.70%，该变体仍保留安全目标损失。
• 作者的解读：作者称这刻画的是对自适应重优化 LFJ 的稳健性，不识别某种特定安全几何，也未评估向 DSN、RepIt、GCG 或其他自适应潜空间攻击的泛化。

其他消融与分析

• Uniform、Fixed Shallow、Fixed Deep 的宏平均 ASR 为 28.03%、30.03%、37.90%（Table IV）。
• 无拒绝采样分数据集为 86.43%、83.15%、88.29%、89%（PKU、ToxicChat、AdvBench、Malicious，Table IV）。
• 全防御分数据集为 11.12%、10.45%、13.90%、14%；无拒绝项为 27.89%、26.67%、29.23%、31%（Table V）。
• 随机层分数据集为 31.59%、32.87%、32.17%、34%；全 token 为 38.96%、42.15%、39.35%、40%（Table IV）。
• 评审与裁定后人工标签一致 96/100，Wilson 区间 90.2–98.4%（VI-G）；论文写明这不是标注者间统计。
• LFJ 响应 PPL 为 2.8（LLaMA-3-8B，VI-H）。论文未报告跨方法流畅度比较，也未报告访问匹配墙钟时间。

作者指出的局限与后续方向

• 防御范围：作者写明该防御评测不覆盖向其他攻击类型的迁移，也不包含良性效用（Abstract；Section V）。结论进一步写明，向其他攻击的迁移、干净任务效用和误拒率仍需评估（VIII）。
• 参照构造：作者称余弦与依存重叠阈值是语义角色和从句对应的不完美代理；比例对齐可复现，但不是学习到的词对齐。所报告的英文基准没有解决长提示、嵌套从句、代码以及不同分词模式的语言这一问题（VII-C）。VII-A 写明，分开估计语义、依存和人工修订的效应需要析因配对研究。
• 局部优化：选点依赖干净有害状态上的拒绝损失，离散掩码随后固定；更早干预之后才变重要的层或 token 不能进入掩码。固定为一次初始化、十步、无按查询早停，可能停在较差系数或可行域边界。加大预算或联合重选位点会定义更强、更贵的自适应变体，作者称应单独报告（VII-C）。
• 拒绝短语覆盖：作者称 R 中九条短语不覆盖全部安全响应、政策解释或间接拒绝。这不直接抬高 ASR，因为外部评审把回避和不可执行输出标为 safe，但可能影响优化效率与拒绝采样的贡献。扩展 R、学习可微拒绝分类器或使用多语言目标会改变代理，需要单独评测（VII-C）。
• 评测覆盖：作者称证据限于五个开源指令模型、四个英文安全数据集和指定软件与解码栈；向闭源系统、多语言模型、多模态模型和未来对话模板的迁移未测。还需要分模型表和不确定区间，以区分模型族差异与所报告的宏平均（VII-C）。
• 后续工作：作者称未来工作应考察访问匹配的潜空间基线，以及跨多种干预族的防御，并一并测量分模型不确定性与良性效用（VIII）。VII-B 写明，更宽的防御还要测其他潜方向、离散后缀、解码攻击和参数级攻击，以及干净任务准确率与误拒率；文中的系统隔离建议是威胁模型的设计推论，不是本实验评过的防御。

实验覆盖范围

• 被测目标为 Vicuna-7B-v1.5、LLaMA-2-7B-Chat、Guanaco-7B、LLaMA-3-70B-Instruct、Mistral-7B-Instruct-v0.1，共 5 个；主结果、配对消融、HSI 消融和防御表都是这 5 个模型 × 种子 {13, 21, 42} 的宏平均（VI-C、VI-E）。
• 每模型每种子的测试量为 PKU 500、ToxicChat 500、AdvBench 520、MaliciousInstruct 100；PKU 与 ToxicChat 的抽样种子为 42（VI-B）。
• 报告实验中的攻击基线为 Direct、PEZ、CJ、MAC、DSN、ED、COLD-Adapted、PAIR、AdvPrompter。论文写明 GCG、AutoDAN 及近期表征级方法出现在相关工作对比中，但未纳入这些实验（VI-D）。
• ASR 评审为 DeepSeek-V3-0324；人工核对为 100 条、每数据集 25 条。论文报告的是评审与裁定后人工标签的一致率，未报告标注者之间的一致性统计（VI-G）。
• 防御为五模型分别 LoRA 微调，对抗样本 1000 对、Alpaca 无害样本 1000 条，测试时对防御检查点自适应重优化 LFJ（V、VI-J）。论文写明全 token 与顺序传播对比未评流畅度与可检测性（VII-A）；未报告分模型 ASR，也未报告访问匹配墙钟时间（IV-F、VI-H）。

LFJ 是一种 white-box 越狱：在可修改推理图的开源对齐模型上，于 prompt prefill 阶段把有害查询与结构匹配的无害参照做隐藏状态插值。

• 问题：作者要测的是，对内部提示表示做直接、有界扰动时，拒绝行为是否还保持稳定。文本接口的越狱评测覆盖不到这种被攻破或研究者可控的推理管线。
• 方法：辅助模型生成无害参照，经余弦相似度与依存重叠筛选后，用保序映射对齐 token。拒绝损失梯度一次选定层和 token；每层一个系数，投影梯度下降 10 步，系数限制在 [0, 1]。后层插值在已含先前编辑的流上重算。生成前 32 个 token 用有界拒绝采样。成功由独立评审按可执行有害信息判定，不由是否出现拒绝短语定义。
• 主结果：作者报告，五个开源模型、四个基准、三个种子的宏平均 ASR 为 94.13%（Table II）。表中显示基线的最高平均为 AdvPrompter 的 89.59%。作者称这一比较是描述性的，因为接口不同。
• 组件：随机配对的宏平均 ASR 为 27.45%（Table III）。去掉拒绝采样为 86.72%，干净状态偏移为 36.08%，全 token 为 40.12%（Table IV）。作者称结构化配对、梯度选点、顺序重算和拒绝采样都进入了所报告的结果。
• 防御与结论：在线重算同类 HSI 扰动并做 LoRA 训练后，对自适应重优化的 LFJ，宏平均 ASR 为 12.37%；去掉对抗项后为 85.62%（Table V）。作者称该结果只针对 LFJ 式配对插值，向其他攻击的迁移、干净任务效用和误拒率仍需评估。作者同时把内部状态访问标为提示评测未捕获的攻击面。