后验重加权框架解释并缓解多模态大模型上下文越狱

安全对齐的 MLLM 为何会被上下文中的有害示例在不改参数的情况下诱导出不安全输出，以及这种效果如何随上下文组成变化，现有工作缺少原则性解释。

• 场景：作者称 MLLM 已作为通用助手处理多模态指令，开放部署使不安全生成可能影响下游决策和真实用户；核心威胁是推理时利用多模态输入诱发不安全输出的 jailbreak。
• 现有不足：作者称既有工作主要按攻击类型展示经验有效性，但没有说明 ICL 如何在推理时系统削弱安全对齐，即示例如何重加权模型对安全与有害行为的内部偏好。推理时把拒答式示例追加到上下文虽能缓解越狱，但常带来鲁棒性–效用权衡，且缺少何时、为何施加干预的原则性说明。
• 核心观察：作者把对齐模型看成在安全模式 s 与有害模式 h 上隐式运行；上下文示例是推理时证据，累积后把后验从安全模式推向有害模式。越狱因此被写成证据累积，成功率应随有害示例数、有害比例、对抗强度和语义多样性按可预测的缩放律变化。
• 本文提出：后验重加权（posterior reweighting）框架，以及据此设计的后验感知推理时防御：用有害性检测器估计风险，只在不确定区间注入良性示例作为反证，明确有害输入可直接拒答，明确良性输入不干预。
• 威胁模型：
  • 目标：攻击者操纵上下文 C，使模型对固定目标输入 xt 生成有害内容，最大化 Pjs = Pr(H(yt)=1 | C, xt)，其中 H 是二值有害性预测器。
  • 知识与能力：攻击发生在 ICL 范式下的推理时，不修改模型参数；攻击者控制上下文中的示例。输入 x=(v, q)，q 为文本查询，v 为可选视觉输入，纯文本时 v 为空。
  • 受害系统：安全对齐的生成模型，覆盖 LLM 与 MLLM；本文实验以 MLLM 为主。
  • 成功判定：由 H 判定输出是否有害；命题 1 把 Pjs 写成安全模式与有害模式条件概率的后验加权。

论文在第 2 节把相关工作分成三组，并在引言中点出与 ICL 越狱、ICL 防御最接近的缺口。

多模态与文本越狱

• 文本 LLM 越狱：Guo et al. (2024)、Liu et al. (2024a)、Yu et al. (2024a) 研究纯文本越狱策略。作者称视觉输入进一步扩大了 MLLM 的攻击面。
• 扰动类攻击：Wang et al. (2024) 把 MLLM 越狱分为 perturbation-based 与 structure-based。前者通过对抗图像绕过安全机制，包括 Bagdasaryan et al. (2023)、Carlini et al. (2023)、Yin et al. (2023)。
• 结构类攻击：把有害指令编码进图像（排版或文生图，文中举例 Stable Diffusion，Rombach et al. (2022)），在没有显式文本提示时诱发不安全响应，包括 Gong et al. (2025)、Liu et al. (2024b)、Ma et al. (2024)。

ICL 理论

• 贝叶斯视角：Xie et al. (2021)、Wies et al. (2023)、Panwar et al. (2023)、Jiang (2023) 把示例当作证据，对潜在任务变量做隐式后验推断。
• 优化与注意力：Irie et al. (2022)、Akyürek et al. (2022)、Olsson et al. (2022) 在简化设定中把 ICL 联系到基于梯度的优化或核回归，并强调注意力与 induction heads。作者称这些分析并未针对安全对齐的 MLLM，也不能直接解释有害行为如何在推理时持续并被放大。
• 隐变量抽象：Wei et al. (2023)、Wang et al. (2023)、Wolf et al. (2023) 以及 Brown et al. (2020) 被用来支撑“ICL 是对潜在行为的推断而非参数更新”。作者称其中若干表述主要是理论性的，缺少在真实模型行为上的直接经验验证。

MLLM 防御与基线

• 训练时：Chen et al. (2024b)、Li et al. (2024) 用监督微调；Pi et al. (2024) 训练有害性检测器过滤不安全输出。
• 推理时：Gong et al. (2025) 的安全向提示、Gou et al. (2024) 的响应评估与迭代修正、Wang et al. (2024) 基于输入扰动的一致性检测。作者称推理时方法不改参数，通常更轻量。
• 基线方法：实验中的防御基线为 ICD、Uncond. Benign、AdaShield、ECSO；攻击评测使用 SafetyBench、AdvBench、JailbreakBench，以及附录中的 FigStep；效用评测使用 OpenCompass 上的 MMVet、MMBench、OCRBench、MMStar、AI2D、MMMU、Hallusion、MathVista。

作者把本文定位为：在通用贝叶斯 ICL 之外，显式刻画安全对齐生成在推理时的动态，给出可检验的越狱缩放律，并把该机制转成带门控的良性反证注入。

作者提出 posterior reweighting：把对齐 MLLM 写成安全与有害两种隐生成模式的混合，上下文示例逐条累积对数似然证据，从而改变有害模式后验；防御则只在中等风险区间注入良性示例作为反证。

问题设定

• ICL 生成：上下文 C 由 k 个示例 (xi, yi) 组成，目标响应 yt ~ P(y | C, xt)。x=(v, q)，多模态时 v 含视觉信息。
• 攻击目标：在 xt 固定时选择 C，最大化 Pjs = Pr(H(yt)=1 | C, xt)。
• 两模式混合：Z∈{h, s}。P(y|x)=λ Ph(y|x)+(1−λ) Ps(y|x)，λ=Pr(Z=h)∈(0,1)。作者把对齐解释为压低 λ，但并不把有害模式消掉，故 λ 严格为正。两种模式都可能产生有害输出，有害模式赋予有害输出更高概率。

后验重加权与四条缩放预测

• 命题 1：Pjs = ps + (ph − ps) Pr(Z=h | C)，其中 ph、ps 分别是给定 Z=h 与 Z=s 时的模式条件越狱概率，且假设 ph>ps。因此在模型和查询固定时，提高有害模式后验就对应提高越狱概率。
• 对数几率：由贝叶斯规则，Pr(Z=h|C)=σ(L(C))。L(C) 等于先验对数几率 log(λ/(1−λ)) 加上各示例的对数似然比之和。对齐先验把模型偏向安全行为；当上下文证据足够压过该先验时越狱成功。
• 四条推论（齐次近似下）：仅有害示例时，后验为 σ(log(λ/(1−λ))+kα)，随 k 单调上升并呈 sigmoid 饱和。固定总长度 k、有害比例 r=kh/k 时，证据项为 k(rα−(1−r)β)，提高 r 增加有害后验，良性示例是反证。提高单条有害示例的证据强度 αi 使 ∂L/∂αi=1>0。固定 kh、来自 m 个语义类别时，用冗余项 Γ(m) 修正对数几率；作者设类别增多会降低平均冗余，从而 ∂Pr(Z=h|C)/∂m>0。
• 两模式的经验检查：在 Qwen3-VL-8B 上收集不同上下文配置下响应的隐状态，降维后用 EM 拟合不同成分数的高斯混合，以 BIC 比较。Table 1 中两成分 BIC 最低，为 96812.74；单成分 100988.35，三成分 100323.18，四成分 104936.12。作者据此认为主导变异可用两种潜在行为模式刻画。

从无条件注入到风险门控

• 可用杠杆：由式 (9)，压低有害后验可减小 λ、减小 k 或减小平均每示例证据 α。作者认为改 λ 需要再训练，减小 k 会损害上下文泛化，因此推理时最可行的是降低平均证据，即注入良性示例作反证。
• 无条件注入的问题：作者用 Figure 2 说明无条件注入八条良性示例后，多个 MLLM 在标准效用基准上得分下降，因此主张选择性而非一律注入。
• 门控规则：检测器独立于基座 MLLM，把 (xt, C) 映射到 u∈[0,1]，只用于估计相对风险，不参与生成。给定 0≤τℓ<τu≤1，仅当 τℓ≤u(xt, Cusr)≤τu 时把 Csafe 接在用户上下文之后、目标查询之前；u<τℓ 不干预；u>τu 视为高度有害，可以之间拒答。
• 阈值学习：不手工指定阈值，而用两层全连接网络参数化，并与目标 MLLM 耦合训练。良性问答 Db 上用交叉熵 Lutil；有害输入 Dh 上用指向安全响应 y^safe 的 Lrob。总目标 Lgate=Lutil+μ Lrob。附录 A.3 说明防御不删除用户上下文，以免破坏提示的语义结构；同时指出固定良性示例集在有害示例语义多样性很高时，可能给不出足够有针对性的反证。

缩放律的定量形式与成功判定

• 留出拟合：附录 A.2 把测量分成校准子集与留出验证子集，只在校准子集上拟合 Pjs(C)=σ(a+b kh+c r+d ϵ+e m)，再固定参数预测留出配置的 ASR。
• 判定：主实验报告 ASR，并给出均值±标准差。效用用 OpenCompass 上的标准基准分数；防御比较同时报告 ASR 与 Utility。

实验设置

• 被测模型：越狱缩放主表为 Qwen3-VL-2B、Qwen3-VL-4B、Qwen3-VL-8B、Qwen3-VL-30B-A3B、Kimi-VL-A3B、GPT-5.4、Gemini-3.5。Figure 2 的效用雷达还包含 MiniGPT-4、LLaVA-2。隐状态 BIC 只用 Qwen3-VL-8B。多轮主文只报 Qwen3-VL-8B，作者称其他模型见附录 A.5。
• 攻击设置：Image、Text、Mixed 三种模态。因素为有害示例数 k∈{0,4,8,12}、有害比例 r∈{25%,50%,75%,100%}、图像扰动 ϵi∈{8/255,16/255,32/255,64/255}、文本强度 ϵt∈{0.05,0.1,0.2,0.4}、混合强度 Low/Medium/High/Very High，以及语义类别数 m∈{1,2,4,8}。Table 2–5 的数字带 ± 标准差，论文未在正文写明重复次数。
• 防御评测：Table 7 在 Qwen3-VL-8B 上比较 No Defense、ICD、Uncond. Benign、AdaShield、ECSO 与 Ours，数据集为 SafetyBench、AdvBench、JailbreakBench，各分 Image/Text/Mixed，并报告 Utility。作者称同一检测器与学到的阈值用于全部基准，不做按数据集调参。附录 A.7 另评 FigStep。
• 指标：ASR 为越狱成功率；Utility 为效用分数。BIC 用于隐模式成分数。缩放律用留出集 RMSE、MAE。延迟为每样本端到端秒数及相对开销。
• 门控训练：μ 默认 0.7。Table 8 在 Qwen3-VL-8B 上比较 μ∈{0.3,0.5,0.7,1.0}。检测器细节、自适应攻击与延迟分别在附录 A.9、A.10、A.11。具体样本量与评审模型名称，正文未给出。

主结果

Table 7 是防御主结果（Qwen3-VL-8B，ASR 与 Utility）。攻击侧的代表数字放在表后，因为七个模型的完整 ASR 在 Table 2–5。

Swipe horizontally to read the table

Defense	SB Image	SB Text	SB Mixed	Utility
No Defense	57.65	53.08	58.53	72.1
ICD	42.99	41.00	46.98	71.6
Uncond. Benign	38.10	36.47	42.00	70.3
AdaShield	36.38	34.80	39.98	70.8
ECSO	31.31	29.88	34.16	69.7
Ours	25.61	24.39	28.00	71.5

据 Table 7。SB 表示 SafetyBench。AdvBench 上 Ours 的 Image/Text/Mixed ASR 为 29.32、28.53、33.06；JailbreakBench 上为 33.03、32.34、37.36。无防御时这两组最高分别为 AdvBench Mixed 62.58 与 JailbreakBench Mixed 65.02。

• 作者解读：同一检测器与阈值跨数据集使用；Ours 在三套基准、三种模态上的 ASR 都低于所列基线，Utility 为 71.5，低于无防御的 72.1，高于 Uncond. Benign 的 70.3 与 ECSO 的 69.7。
• 攻击缩放：作者称 Table 2–5 中 ASR 随 k、r、强度和 m 在全部模型与模态上单调上升。例如 Mixed、k=12 时，Qwen3-VL-2B 为 73.18±1.32，GPT-5.4 为 53.38±2.00，Gemini-3.5 为 56.93±1.52；k=0 时三者分别为 42.29±1.65、21.07±1.56、24.60±2.59（Table 2）。
• 闭源相对位置：在 Table 2 的每个 k 与模态上，GPT-5.4 的 ASR 低于表中各开源 Qwen 与 Kimi 条目；这是表内比较，论文未把此写成统计检验。

效用代价与多轮

• 无条件注入：Figure 2 与正文给出，注入 8 条良性示例后 Qwen3-VL-30B-A3B 平均分从 79.1 到 76.8，MathVista 从 79.0 到 75.6；Qwen3-VL-8B 平均从 72.1 到 70.4；Qwen3-VL-2B 平均从 59.2 到 56.1，OCRBench 从 808 到 770。作者称全部被评模型都下降。
• 多轮：Table 6 把同一组示例分散到对话轮次，只报 Qwen3-VL-8B。Mixed 下 k 从 1 到 8，ASR 从 29.02±1.42 到 54.41±2.50；r 从 0.25 到 1.00，Mixed 从 25.74±1.11 到 54.41±2.50。作者称趋势与单轮相同，后验重加权取决于累积证据而不是时间位置。
• 留出预测：Table 9 的留出 RMSE/MAE 为 Image 3.73%/3.45%、Text 3.47%/3.05%、Mixed 3.40%/2.71%，总体 3.54%/3.07%。Figure 3 把留出 ASR 对拟合 log-odds 作图，图例含 Fitted sigmoid 与三种模态的 measured 点；作者称点与预测 sigmoid 一致。

μ、自适应攻击与延迟

• μ：Table 8，Qwen3-VL-8B。μ 从 0.3 到 1.0，Image ASR 从 29.95 到 23.80，Text 从 27.97 到 22.09，Mixed 从 31.88 到 24.71；Utility 在 μ≤0.7 时为 71.8、71.7、71.5，μ=1.0 时为 70.1。作者因此默认 μ=0.7。
• 自适应黑盒：附录 A.10 称攻击者联合优化输入，以压低检测器置信同时保持越狱。Table 16：Qwen3-VL-8B 图像攻击在 ϵ=0 时 ASR 为 25.61%，ϵ=2、4、8、16 时为 32.20%、38.21%、43.71%、46.80%；换用稳健化检测器后，ϵ=16 的图像 ASR 降到 40.79%。作者称 Mixed 的 ASR 最高，防御随预算增大而变差，但下降是渐进的，加强检测器可部分恢复效果。
• 延迟：Table 17，无防御 / Ours / 开销：Qwen3-VL-2B 为 0.74s、0.87s、17.6%；4B 为 0.96s、1.11s、15.6%；8B 为 1.34s、1.52s、13.4%；30B-A3B 为 2.86s、3.13s、9.4%；Kimi-VL-A3B 为 2.11s、2.34s、10.9%。作者称开销随模型变大而下降，因为检测器成本近乎恒定。

其他消融与分析

• BIC（Table 1，Qwen3-VL-8B 隐状态）：1/2/3/4 成分分别为 100988.35、96812.74、100323.18、104936.12，两成分最低。
• Table 4 图像、Qwen3-VL-2B：ϵi 从 8/255 到 64/255，ASR 从 54.54±2.14 到 74.24±1.42；文本 ϵt 从 0.05 到 0.4，从 51.71±2.51 到 73.43±1.50。
• Table 5 Mixed、m=1 到 m=8：Qwen3-VL-2B 从 58.52±1.65 到 71.82±1.32；GPT-5.4 从 31.65±1.56 到 49.93±2.00。
• Table 16 片段中，Qwen3-VL-2B、4B、30B-A3B 与 Kimi-VL-A3B 的自适应 ASR 同样随扰动预算上升；8B 图像在稳健检测器、ϵ=16 时为 40.79，文本 39.24，混合 44.73。
• 正文称附录 A.6 有跨模型防御结果，A.7 评 FigStep，A.9 有检测器结果；这些表的完整数字未出现在所附文本的可读表格中，此处不补数字。
• 负面结果：无条件注入降低效用（Figure 2）；μ=1.0 时 Utility 降到 70.1（Table 8）；自适应预算增大时 ASR 回升，例如 8B 图像从 25.61% 到 46.80%（Table 16）。

作者指出的局限与后续方向

• 高语义多样性：附录 A.3 写明，有害示例语义多样性很高时，注入固定的良性示例集可能提供不了足够有针对性的反证，防御可能变弱。（附录 A.3）
• 更强自适应攻击：结论写明，高度多样的有害上下文以及更强的自适应攻击，对推理时安全控制仍然困难。（第 6 节 Conclusion）
• 代码：可复现性声明写 Anonymous source code will be provided with the submission，即作者计划随投稿提供匿名代码，而不是已经公开。（Reproducibility Statement）
• 伦理声明描述的是受控基准、不涉及人类受试者、方法只用于提高对有害上下文攻击的鲁棒性，不单列为后续研究方向。

实验覆盖范围

• 单轮缩放实验的模型为 Qwen3-VL-2B/4B/8B、Qwen3-VL-30B-A3B、Kimi-VL-A3B、GPT-5.4、Gemini-3.5，模态为 Image、Text、Mixed（Table 2–5）。
• 防御主表 Table 7 只报 Qwen3-VL-8B，基线为 ICD、Uncond. Benign、AdaShield、ECSO；数据集为 SafetyBench、AdvBench、JailbreakBench。作者称附录 A.6 给跨模型结果、A.7 评 FigStep。
• 两模式 BIC 只在 Qwen3-VL-8B 的响应隐状态上比较 1–4 个高斯成分（Table 1，第 3.4 节）。
• 自适应评测是针对有害性检测器的 adaptive black-box：联合优化输入以压低检测器置信并保持越狱，并比较稳健化检测器（附录 A.10，Table 16）。
• 论文报告了 μ、端到端延迟（Table 8、Table 17）和留出缩放律误差（Table 9）；正文未报告 ASR 的重复次数、H 或效用评审所用的具体模型名称，以及各基准样本量。

Zhang 等把多模态 ICL 越狱写成对齐模型在安全与有害隐模式之间的推理时后验漂移，并据此做风险门控防御。

• 问题：有害上下文示例能在不改参数时提高不安全输出概率，但成功率如何随示例数、有害比例、对抗强度和语义多样性变化，缺少可预测的机制说明；无条件追加良性示例又会损效用。
• 方法：输出分布是两模式混合。命题 1 把越狱概率写成有害模式后验的线性函数；后验等于先验对数几率加上各示例对数似然比的 sigmoid。良性示例是反证。防御不改用户上下文，只用独立检测器：低风险不干预，高风险可直接拒答，中间区间才注入良性示例。阈值由两层网络按 Lutil+μ Lrob 学习。
• 攻击证据：Table 2–5 中七个 MLLM 的 ASR 在三种模态上随 k、r、强度和 m 单调上升。Mixed、k=12 时 Qwen3-VL-2B 为 73.18±1.32，GPT-5.4 为 53.38±2.00。Qwen3-VL-8B 的多轮设置保持同一单调性（Table 6）。留出配置上缩放律总体 RMSE 3.54%、MAE 3.07%（Table 9）。Qwen3-VL-8B 上两成分高斯混合的 BIC 最低（96812.74，Table 1）。
• 防御证据：Qwen3-VL-8B 上，Ours 在 SafetyBench 的 Image/Text/Mixed ASR 为 25.61、24.39、28.00，Utility 71.5；无防御为 57.65、53.08、58.53 与 72.1，ECSO 的 Utility 为 69.7（Table 7）。无条件注入 8 条良性示例使 Qwen3-VL-8B 平均效用从 72.1 降到 70.4。针对检测器的自适应攻击把 8B 图像 ASR 从 25.61% 升到 ϵ=16 时的 46.80%，稳健检测器把它降到 40.79%（Table 16）。8B 上延迟开销 13.4%（Table 17）。
• 作者结论：作者认为越狱有效性服从可预测的后验缩放律；后验感知防御在不重新训练的情况下改善鲁棒性–效用权衡。同时作者认为，高度多样的有害上下文和更强自适应攻击仍是推理时安全控制的困难情形。