越狱攻击下的稳健有害特征：大语言模型注意力头功能分化的机制证据
Robust Harmful Features Under Jailbreak Attacks: Mechanistic Evidence from Attention Head Specialization in Large Language Models
AI 导读
研究者通过机制可解释性分析发现，越狱攻击并非全面消除模型的安全表征，而是选择性抑制早期层的特定注意力头。论文把攻击下被抑制的早期层注意力头称为 Adversarially Compromised Heads（ACHs），把中层持续激活的称为 Safety-Aligned Heads（SAHs），并将后者维持的持续表征命名为稳健有害特征。消融实验显示，仅干预 8 个 ACH 即可把 Llama-3-8B-Instruct 的攻击成功率从 0% 提升到 95.0%，饱和时达 99.5%，Llama-2-7B-Chat 达 83.7%；随机干预注意力头仅得到 4.0% 和 10.2%。token 级归因表明 ACH 的抑制由攻击模板 token 驱动，而 SAH 对攻击模板呈正向响应。该论文被 ICML 2026 接收为 oral。
推荐理由
论文用消融实验把越狱成功归因到早期层少数注意力头被抑制，并展示免训练检测器可读取残留的安全信号。