Skip to content

Translation in progress Some entries still include text in the original language.

Original
arXiv· arXiv:2602.05444· Yao Zhou, Zeen Song, Wenwen Qiang, Fengge Wu, Shuyi Zhou, Changwen Zheng, Hui Xiong·Indexed by this site · Originally published

Causal front-door adjustment for robust jailbreak attacks on LLMs

Causal Front-Door Adjustment for Robust Jailbreak Attacks on LLMs

Quick read

Attacks

Based on 论文 PDF （AI 生成）; refer to the original

CFA2在HarmBench上对四个对齐模型做权重正交化越狱，平均ASR为83.68%。

Threat model攻击者要让安全对齐模型输出有害、不道德或受限内容，而不是拒绝。

Questions
作者要处理优化式越狱在同义替换等轻微扰动下失效的问题。他们把安全对齐看成未擦除原有能力的潜在约束，并把拒绝建模为不可观测混杂因子对表征和输出的干扰。
Methods
CFA2用SAE把隐藏激活变成稀疏特征，再以拒绝样本与遵从变体的对比分离任务语义和防御方向。随后把输出权重投到该方向的正交补，使前门边际化变成一次前向生成。
Experiments and results
在HarmBench上，CFA2四个模型的ASR均高于表中八个基线，平均83.68%，Llama 3.1 8B为62.40%。作者称单条生成平均2.4秒，Llama 2 7B上AdvBench提示词PPL为16.7。
Limitations and future work
作者在结论中称关键局限是依赖白盒，SAE训练和直接改参数使其不能直接用于闭源模型，并计划蒸馏到黑盒提示优化。实验未报告判定函数g的实现，以及对比集如何生成。
Experimental setupLlama 3.1 8B Instruct、Llama2 7B Chat et al. · AdvBench、HarmBench · ASR、PPL
Threat model
攻击者要让安全对齐模型输出有害、不道德或受限内容，而不是拒绝。结论称依赖white-box access：需训练SAE并直接修改参数。能力是用拒绝/遵从对比样本定位防御方向，正交化输出权重后做前向生成。受害系统是安全对齐LLM。
Evaluated models
Llama 3.1 8B InstructLlama2 7B ChatMistral 7B InstructGemma2 9B Instruct
Benchmarks
AdvBenchHarmBench
Metrics
ASRPPL
AI summaryThe researchers propose the causal front-door adjustment attack (CFA²), which models the safety mechanisms of LLMs as unobserved confounders and uses Pearl's front-door criterion to sever confounding associations to achieve jailbreak. This method uses sparse autoencoders (SAE) to strip defense-related features, isolate core task intent, and simplify the computationally expensive marginalization into a deterministic intervention with low inference complexity. The paper claims the experiments achieve state-of-the-art attack success rates while also providing a mechanistic explanation of the jailbreak process.

The researchers propose the causal front-door adjustment attack (CFA²), which models the safety mechanisms of LLMs as unobserved confounders and uses Pearl's front-door criterion to sever confounding associations to achieve jailbreak. This method uses sparse autoencoders (SAE) to strip defense-related features, isolate core task intent, and simplify the computationally expensive marginalization into a deterministic intervention with low inference complexity. The paper claims the experiments achieve state-of-the-art attack success rates while also providing a mechanistic explanation of the jailbreak process.

Paper analysis

6 questions; open one to read the full answer

  1. What problem does this paper attempt to solve?

    把安全对齐当作不可观测混杂，用前门调整实施越狱。

    安全对齐被当作不可观测混杂；作者认为现有越狱拟合表层相关，轻微扰动下会失效。

    • 场景： 作者称即便经过严格安全协议对齐的模型，仍可被越狱诱导生成有害内容。安全机制以潜在内部状态运作，掩盖模型固有能力。
    • 现有不足： GCG、PAIR等在特定基准上成功率高，但同义替换或句法重排可使成功攻击失效。作者认为这些方法拟合对抗提示与输出的表层统计相关，没有建立绕过安全约束的稳健通路。
    • 假设： 预训练模型本可回答有害查询，对齐是表层约束而非擦除知识（作者引用Zhou等，2023；Wei等，2023a）。作者把失败看成安全机制这一混杂因子的干扰，而不是模型不能回答。
    • 提出： Causal Front-Door Adjustment Attack（CFA2）。用Pearl前门准则切断混杂关联，以SAE剥离防御相关特征并隔离任务意图，再把边际化收成低推理复杂度的确定性干预。
    • 威胁模型：
      • 目标： 最大化期望成功率，使模型对有害请求给出有害、不道德或受限回复，而不是无害拒绝。成功由二值函数g判定。
      • 知识： 结论写明依赖white-box access；需要SAE训练和直接参数修改，不能直接用于闭源模型。正文未单列威胁模型小节。
      • 能力： 使用会触发拒绝的原始有害查询与会诱导遵从的越狱变体，定位防御方向，并对输出权重做正交化；生成阶段是一次前向。推理输入在Figure 2中记为新的有害查询。
      • 受害系统： 安全对齐的LLM。正文以RLHF对齐为例说明不可观测安全机制U。

  2. What related research exists?

    相关工作分优化、语义与参数干预三类；作者称它们拟合表层相关。

    越狱的三类范式

    • 优化式对抗： Zou等（2023b）的GCG、Liu等（2024a）、Zhang与Wei（2025）、Zhou等（2024）、Jones等：搜索对抗后缀或提高有害回复概率。
    • 语义操纵： Chao等（2024b）的PAIR、Mehrotra等（2024b）、Li等（2024a；2024b），以及Chen、Shah、Yong、Deng、Yuan、Jin、Yao等：用语境学习或语言混淆绕过约束。
    • 微调或解码干预： Zhang等（2024）、Huang等（2023）：用权重更新或解码直接扰乱对齐。

    作者引用Pathade（2025）与Liu等（2024c），称攻击跨架构迁移差、对随机种子敏感。作者认为上述方法主要利用提示模式与拒绝失败之间的表层相关，而不是行为的因果机制。引言另引用Rando与Tramer（2024）、Zhang等（2024）来说明轻微语义扰动可使成功攻击失效。

    表征学习与机械可解释性

    • RepE： Zou等（2023a）用稠密激活转向模型行为。论文称其受多义性约束，单个神经元编码多个无关概念（Elhage等，2022）。
    • SAE： Huben等（2023）、Bricken等（2023）、Templeton（2024）用高维稀疏投影分离单义特征，范围从编码逻辑到安全偏向。论文称现有SAE工作多是描述分析或良性转向（如增强诚实，Subramani等，2022），对抗红队用途基本未被探索。

    基线方法与基准

    • 基线： GCG、PAIR、TAP、PAP、AutoDAN、ICA、ReNeLLM、DeepInception，共8个，覆盖优化式与模板式范式。
    • 基准： AdvBench（Zou等，2023b）与HarmBench（Mazeika等，2024）。

    作者把本文定位为：在结构因果模型里把安全机制写成不可观测混杂，并用前门准则切断该联系；贡献中称这是第一种这样做的途径。CFA2被写成免训练的权重正交化算法，并用SAE隔离不变的任务意图特征。

  3. How does the paper address this problem?

    CFA2用SAE对比找出防御方向，正交化输出权重后以前向生成。

    CFA2把越狱写成对中介的干预：先从隐藏表征里分出任务语义与防御方向，再在参数上去掉防御方向，使前门公式中的边际化变成一次前向。Figure 2把流程分成识别中介与结构干预两相；图注写法为CFAA，正文为CFA2或CFA²。

    问题设定与因果图

    • 目标： 数据集D={x_i}来自有害请求分布P(x)。模型π_θ对回复y自回归采样。二值函数g把y判为越狱成功（1）或无害拒绝（0）。P_success是x与y上g(y)=1的期望。论文未写g由规则、人工还是某个模型实现。
    • 因果图（Figure 1）： X是查询，A是X在模型中的表征，Y是回复，U是不可观测内部安全机制。X→A→Y被写成无约束时的任务能力。U→A使表征混有任务与安全信号，U→Y把输出偏向拒绝。
    • 中介： S是X中可观测的核心任务语义。作者设定任务信息对Y的因果效应只经S，且S与U独立。生成被拆成X→A→S与S→Y。

    前门调整

    作者用干预分布P(Y|do(A))表示逻辑上切断对U的结构依赖后的回复概率。因U不可观测，他们引用Pearl前门准则，写成

    P(Y=y|do(A=a))=∑s P(S=s|A=a)∑a′P(Y=y|A=a′,S=s)P(A=a′)

    外层对应输入a激活任务语义S，内层对背景a'边际化，以洗掉U带来的虚假相关。作者称因此不必显式建模U。他们列出三处困难：在高维隐空间定位S、高效估计P(Y|S,A')、把该式收成确定性的越狱目标。

    用SAE与对比样本定位

    • SAE： 编码器z=ϕ(Wx+b)，解码器x̂=W'z+b'。目标是重建误差加λ加权的L1稀疏项。论文未给出λ、层号或字典宽度。稠密激活被投到稀疏维，每一维当作候选特征。
    • 可识别性： Proposition 4.1在重建一致、任务充分、响应空间变化足够、超高斯稀疏先验下，称学到的表征a在置换与对角缩放意义下识别潜在因子z。Proposition 4.2把z分成任务因子s与防御因子u：对比对(x,x+)上s(x)=s(x+)，u(x)≠u(x+)；去掉差值子空间后，正交补上的投影识别s（至多缩放与平移）。证明写在附录，所给正文未展开证明。
    • 对比数据： D_harm是触发拒绝的原始有害查询，D_attack是诱导遵从、任务意图相同的越狱变体。作者用对比数据与统计检验滤掉任务无关表征，但未给出检验名称与阈值，也未写D_attack如何生成。防御特征对应解码器列方向d。Figure 3图注称：u的激活在拒绝与遵从之间有位移，s沿y=x对齐，防御质心为离群点。

    权重正交化后的生成

    在线性表征假设下，第i个特征对残差流的贡献与解码器列对齐。作者用权重正交化去掉防御方向：

    Woutnew← Wout−WoutdTd

    他们把这一投影当作对式(2)边际化的参数级近似：任意输入经新权重后不再携带U的信息，因而对a'求和变为多余。生成近似为净化权重作用于LayerNorm后激活的softmax，论文记为式(5)，复杂度写成O(1)。贡献中称该算法免训练；结论同时写需要SAE训练。主实验使用的Top-k、投影所在层，正文未报告。

  4. What experiments did the paper conduct?

    HarmBench上CFA2平均ASR为83.68%，四个模型均高于表内基线。

    实验设置

    • 模型： Llama 3.1 8B Instruct、Llama2 7B Chat、Mistral 7B Instruct、Gemma2 9B Instruct。Table 1表头为Llama 3.1 8B、Llama 2 7B、Mistral 7B、Gemma 2 9B it；结果节亦称Llama 3.1 8B Chat。论文未把这些写法分成不同模型。
    • 数据： AdvBench含500条有害字符串，LLaMA分词后长度3到44、平均16 token。HarmBench含510条有害行为指令，论文列出七类：网络犯罪、化学与生物武器/药物、版权、虚假信息、骚扰欺凌、非法活动、一般伤害。Table 1未另写实际评测条数。
    • 基线： GCG、PAIR、TAP、PAP、AutoDAN、ICA、ReNeLLM、DeepInception。
    • 指标： ASR为成功攻击数除以总攻击数再乘100；成功指生成不受限制、绕过安全机制的回复。PPL衡量流畅度，越低越自然。论文未写g的实现，也未写重复次数；Table 1带±，但未定义该符号。
    • 作者要回答的问题： 能否在保持语义连贯时绕过安全约束；因果干预是否跨模型成立；相对优化式与模板式基线的计算开销。

    主结果

    Table 1只报告HarmBench上的ASR（%）。论文未报告AdvBench上的ASR。

    Swipe horizontally to read the table

    模型（Table 1）CFA2GCG该模型最高基线
    Llama 3.1 8B62.40±0.5015.67±1.23ReNeLLM 32.70±2.04
    Llama 2 7B73.90±0.6032.50±2.10ICA 50.10±1.12
    Mistral 7B99.10±0.2069.80±1.05ReNeLLM 73.20±1.09
    Gemma 2 9B it99.33±0.1573.00±0.88GCG 73.00±0.88
    Average83.68±0.3647.74±1.32GCG 47.74±1.32
    • 作者称CFA2达到state-of-the-art，并称相对最强优化基线GCG提升+35.94%。正文未做显著性检验。
    • 作者称Llama 3.1 8B Chat上各基线难以超过33% ASR；该说法对应表中这一列的基线均值。作者把该模型写成对齐更严，并称CFA2绕过了这些机制。
    • 作者称Mistral 7B Instruct与Gemma 2 9B Instruct上超过99% ASR、接近饱和，并称AutoDAN、TAP、DeepInception方差大。同表低值包括Llama 2 7B上AutoDAN 0.50±0.10、PAP平均19.88±1.08、Gemma 2 9B it上DeepInception 11.20±1.96；作者未逐条解释这些低值。

    效率

    Table 2比较生成单条越狱回复的平均墙钟时间。CFA2复杂度O(1)、时间2.4秒，表中Speedup为∼850×。GCG为O(T×N)、∼340.0秒、1×；AutoDAN为O(T×N)、∼425.0秒、0.8×；PAIR为O(N)、∼45.0秒、∼7.5×。图注称基线时延引自JailbreakBench，评测硬件为NVIDIA A100。论文未说明2.4秒的硬件，也未说明∼850×的计算口径。作者称防御方向正交化之后不再做运行时优化。

    隐蔽性

    Table 3在Llama 2 7B、AdvBench上报告对抗提示词PPL。CFA2为Native Prompt、PPL 16.7，作者将隐蔽性标为Very High。GCG为∼1027.6（Gibberish Suffix，Low），AutoDAN为∼54.5（Semantically Fluent，High）；这两项采自Liu等（2024a）。作者称16.7接近良性文本，论文未给出良性文本PPL；并称该方法不在输入中引入语言异常，不易被基于困惑度的过滤器发现。

    稀疏表征消融

    Table 4比较特征空间，论文未说明模型与数据集。随机干预（稀疏）：ASR 5.20%、PPL 8.55。原始神经元（稠密、多义）：ASR 48.50%、PPL 652.40。CFA2（稀疏）：ASR 98.50%、PPL 9.35。作者称原始神经元仍有一定ASR，但输出PPL大幅升高，并将其归于稠密表征的多义性；随机干预效果可忽略。此处PPL是输出侧，与Table 3的提示词PPL不是同一项。

    其他消融与分析

    • 激活钳制： 同一安全特征在前向时被置零，而不是改权重。作者称其ASR约比权重正交化低15%，且长文本生成中易出现防御恢复。Figure 4横轴为目标生成长度（图注写0–150 token），图注称红色钳制曲线下降、CFA2保持高成功率。图上具体ASR读数、模型与数据集均未在正文给出。
    • Top-k： Figure 5横轴为Top-k特征数（1、5、10、20、50、100、200）。正文称ASR在k≈10饱和，k∈[10,50]为平台，过小因召回不足、过大因噪声而略降；并称k=20即可。各k的ASR数值、模型与数据集未报告。
    • 解耦示意： Figure 3不报告ASR，只对照D_harm与D_attack上u的分布位移和s沿不变线的对齐。

  5. What are some points that can be further explored?

    作者称依赖白盒与直接改参，并计划蒸馏到黑盒提示优化。

    作者指出的局限与后续方向

    • 白盒访问： 结论称一个关键局限是依赖white-box access（Conclusion）。
    • 不能直接用于闭源模型： 结论称SAE训练和直接参数修改使方法不能直接用于closed-source models（Conclusion）。
    • 后续方向： 作者写未来工作将把这些内部因果洞察蒸馏成black-box prompt optimization，以补上这一缺口（Conclusion）。

    论文没有单独的Limitations节。Impact Statement讨论双重用途与公开机制研究的理由，未把它写成方法局限。

    实验覆盖范围

    • 被测模型为Llama 3.1 8B Instruct、Llama2 7B Chat、Mistral 7B Instruct、Gemma2 9B Instruct，共4个（Section 5.1）。ASR主对比在HarmBench上，基线为GCG、PAIR、TAP、PAP、AutoDAN、ICA、ReNeLLM、DeepInception（Table 1）。
    • AdvBench用于数据集定义，以及Llama 2 7B上的对抗提示词PPL（Table 3）。论文未报告AdvBench上的ASR。
    • 论文未报告判定函数g的实现、D_attack的生成方式、SAE所在层、λ、主实验的k、重复次数，以及Table 1中±的定义。
    • Table 2的GCG、AutoDAN、PAIR时延引自JailbreakBench，硬件写为NVIDIA A100；论文未报告CFA2的2.4秒所用硬件，也未报告∼850×的计算口径。GCG与AutoDAN的PPL采自Liu等（2024a）（Table 3）。
    • 消融与敏感性为Table 4、Figure 4、Figure 5；这三处未写明模型与数据集。Figure 3用D_harm与D_attack作解耦示意，不报告ASR。

  6. Summarize the main content of the paper

    用前门调整与权重正交化越狱，HarmBench平均ASR为83.68%。

    作者提出CFA2，把安全对齐LLM的拒绝写成因果混杂，并用前门调整做白盒越狱。

    • 问题： 作者认为GCG、PAIR等拟合表层相关，同义替换或句法重排即可使攻击失效。他们的假设是：对齐抑制回答，而不是擦掉预训练里已有的回答能力。
    • 方法： 因果图中U同时影响表征A和回复Y；可观测中介S表示任务语义，并被设定为与U独立。SAE把隐藏激活变成稀疏特征，拒绝样本与遵从变体的对比用来定位会变的防御方向d；输出权重去掉该方向后，生成是一次前向。作者称攻击算法免训练，结论又写需要训练SAE。
    • 主结果： HarmBench上四个模型的CFA2均高于Table 1中的八个基线。平均ASR为83.68%；Llama 3.1 8B为62.40%，Llama 2 7B为73.90%，Mistral 7B为99.10%，Gemma 2 9B it为99.33%。作者称这是state-of-the-art，并称比GCG的47.74%高+35.94%。
    • 效率与提示词： Table 2中CFA2平均2.4秒、复杂度O(1)；基线时延引自JailbreakBench。Llama 2 7B上AdvBench提示词PPL为16.7，作者将其标为Very High隐蔽性。
    • 作者结论： 作者称该框架给越狱过程以机制解释，并希望有助于改进LLM安全。结论同时写明依赖白盒和直接改参，不能直接用于闭源模型，后续打算把因果洞察蒸馏到黑盒提示优化。
Read originalarxiv.org