跳到正文
10月8日 · 周四

DeepSeek · 论文

找到 3 篇
筛选

攻击类型

越狱3

攻击技术

自动化搜索1多轮渐进1对话结构操控1推理链操控2针对防御1

模型自身风险

欺骗与谋划1

影响

有害内容2监督失效1

系统形态

模型与 API3

攻击者权限

黑盒3

攻击面/入口

用户输入3

层

提示层3

系统组件

监控器1推理链2
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 3 篇还没打标签，不在筛选结果里。
话题：DeepSeek清除全部

另有 3 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv:2601.02670 ·

    SLIP：无需外部攻击模型的多轮自我越狱，在 11 个模型上平均成功率 94.7%

    提出无外部攻击模型的多轮自我越狱方法SLIP

    测试
    GPT-5.1、GPT-4o、Claude-Sonnet-4.5 等 11 个提示层
    场景
    模型与 API攻击者黑盒
    摘要论文提出了无外部攻击模型的自我越狱方法 SLIP，指出对齐模型内在能力抑制的漏洞并设计了语义漂移防御。
    • 研究定位与核心问题：论文针对大语言模型的多轮安全风险，提出并探究了“自我越狱”这一威胁模型，旨在无需外部对抗攻击模型生成载荷的前提下，仅利用目标模型自身潜在知识实现黑盒越狱。
    • 方法核心机制：设计了基于词汇插入提示的算法 SLIP，通过良性安全数据构建框架诱导目标模型初始化种子样本对，随后在多轮对话树中采用广度优先搜索，计算逆词频与词向量距离以迭代插入缺失的关键词锚点，并在展开阶段通过样本索引规避单轮安全拦截。
    • 主要实验结果：在 AdvBench 和 HarmBench 基准上对 11 个模型进行测试，SLIP 分别取得 94.7% 和 94.4% 的平均 ASR；在 GPT-4o、Gemini-2.5-Pro 等模型上达到 100% ASR，且平均单次成功仅需 7.9 次 API 查询，查询量少于已有基线。
    • 高难度模型与例外：在对齐严格的 Claude-Opus-4.5 上 SLIP 取得 61.4%（AdvBench）和 68.7%（HarmBench）的 ASR，高于对比基线；而在 Claude-Sonnet-4.5 上 X-Teaming 取得更高 ASR（AdvBench 上 95.1% 对 94.8%），体现出模型间的非绝对优势。
    • 防御评测与监控机制：评估显示现有多轮与单轮防御因缺乏跨轮记忆难以有效阻拦 SLIP；作者设计的会话级语义漂移监控器（SDM）在 5% FPR 下取得 76% 检测率，但加入良性对话的自适应伪装策略仍可使 ASR 回升至 43%。
    • 作者结论与安全启示：作者认为，已对齐模型保留了有害能力的潜在表示，安全对齐在实践中主要压制了表面输出而非抹除能力，未来的模型安全防御必须从单轮文本过滤走向多轮会话意图追踪，并针对多轮对抗样本实施模型级微调。
    完整解读
  2. 攻击arXiv:2609.15989 ·

    研究者提出 plan injection 攻击，可绕过思维链监控

    提出计划注入攻击，植入良性表述的有害计划以逃避思维链监控

    测试
    Qwen2.5-Coder-7B-Instruct、Qwen3-8B、DeepSeek-R1-0528 等 6 个提示层
    场景
    模型与 API攻击者黑盒
    摘要论文指出模型会将外部上下文中的伪装计划改写为自身推理，使思维链监视器失效甚至反向合理化恶意行为。
    • 论文定位：研究思维链（CoT）监视对上下文推理污染脆弱性的安全研究，提出了名为计划注入（plan injection）的推理阶段攻击。
    • 试图解决的问题：探索当恶意计划伪装成良性推理进入上下文时，现有的 CoT 监视器能否可靠识别模型被诱导的对抗行为。
    • 核心方法设计：攻击者在输入中作为可选建议植入带有良性辩护的错误推理计划；行动模型在无强制要求的情况下自发将其改写为自身的思维链，隐藏来源并输出对抗结果。
    • 关键实验结果：
      1. 在 APPS 和 Bio-Math 上，Qwen3-8B 和 DeepSeek-R1 采纳计划并成功触发后门/求解隐藏任务的比例达到 41.7%–98.9%（Figure 3），且 8-gram 文本复制超过一半的样本不足 1%（Table 7）。
      2. 即便在最强的思考型监视器（Claude 3.7 Sonnet）下，端到端未被检出的成功攻击比例在 APPS 上仍达 33%–40%，在 Bio-Math 上达 78%–81%（Table 8）。
      3. 增加监视器思考预算产生双向效应：在 Qwen3 235B 的两端样本中，高预算使可疑度上升样本平均增加约 0.26–0.30，但也使可疑度下降样本平均减少约 0.28–0.30（Figure 6）。
    • 作者结论与启示：作者认为，如果监视器仅对 CoT 进行恶意关键词或表层意图的粗浅匹配，计划注入能有效逃避审计；向监视器提供上下文计划或增加推理预算并不总是提升安全性，监视模型可能反被连贯的良性叙事误导，将异常行为主动合理化。
    完整解读
  3. 攻击arXiv:2609.29775 ·

    输出前缀攻击瞄准推理模型：注入推理通道可将攻击成功率推高至 99%

    利用推理通道与输出前缀联合注入，诱导推理模型生成有害内容

    测试
    Gemini 3 Flash Preview、DeepSeek V4 Flash、Claude Haiku 4.5提示层
    场景
    模型与 API攻击者黑盒
    摘要论文针对推理大模型评估输出前缀与草稿推理注入，发现二者协同可推高 ASR，同时指出安全防护能够在系统层面解决该漏洞。
    • 研究定位：作者称本研究是首个针对大模型草稿推理通道系统开展的受控输出前缀攻击实验，评估了暴露推理与隐藏推理两种框架下的安全对齐表现。
    • 解决的问题：随着推理大模型成为主流，部分 API 暴露了可由用户写入的草稿推理字段，研究旨在探明前缀注入攻击在推理模型上的有效性，以及中间推理究竟充当了安全缓冲还是引入了新的攻击面。
    • 方法核心要点：研究采用 3×2 析因设计，对比无前缀、静态顺从前缀与针对性上下文前缀，以及注入与不注入由开源无审查模型生成的恶意推理草稿；对隐藏推理模型则在输出前缀中伪造思考标签进行测试。
    • 关键实验结果：在 AdvBench 的 100 个提示词测试中，单独注入恶意推理在三款模型上均接近无效（ASR 均为 0% 或 1%）；但当恶意推理与输出前缀结合时，Gemini 3 Flash Preview 的 ASR 升至 99%（策略 5），DeepSeek V4 Flash 的 ASR 升至 76%（策略 6，Table 3）。
    • 模型与框架防御差异：不同模型对前缀与推理注入的易感性差异明显，采用 Constitutional AI 对齐的 Claude Haiku 4.5 在全部 6 种策略下的 ASR 均不超过 1%（Table 3），体现出该漏洞在工程实践中具备可防御性。
    • 作者结论与启示：作者认为输出前缀攻击几乎无需额外算力成本却能产生威胁，防御方不能仅过滤用户输入，还必须对客户端提交的助手前缀与推理内容实施校验，且模型服务框架应当限制助手预填功能以防范此类攻击。
    完整解读
已经到底了