为何扩散语言模型的越狱会成功：能量景观分析

扩散语言模型的安全对齐缺少一个能解释现有越狱为何成功、彼此如何相关的共同框架。

• 场景：作者称 dLLM 安全研究尚处早期，模型主要是 LLaDA 与 Dream 系列，攻击已开始利用去噪过程的两个表面。自回归攻击如 GCG 针对因果下一 token 解码，不经新工作不能迁移到扩散模型，因此一个也能约束尚未设计的攻击的解释在此尤其有价值。
• 现有工作的不足：作者称模板攻击（PAD、DIJA）改初始状态，anchoring 在轨迹中途替换预测；DiffuGuard 的 Safety Divergence（SD）用表征散度识别模板注入。各工作针对特定漏洞，文献缺少对攻击为何成功、如何互相联系、以及它们揭示了 dLLM 安全结构什么的分析。
• 核心观察：作者把安全对齐解释为塑造去噪能量景观。已对齐模型把有害查询经能量势垒导向安全输出。已知攻击归结为绕过该势垒的两种策略：在初始化时掩盖查询的安全倾向，或在轨迹中途迫使去噪路径越过势垒。文中 “energy”“barrier”“basin” 指 Fisher 度量化概率单纯形上的 per-token 对数几率（§3）。
• 提出的方法：由上述分解，以及 masked diffusion 模型在去噪中最小化动能这一结果，作者导出三个免训练检测信号：step-0 比值 R0 在生成开始前读初始安全倾向；两个轨迹速度信号在 logit 空间的互补子空间跟踪动能。作者称攻击必须在初始化暴露意图，或在至少一个被监测子空间消耗动能越垒，因此三信号在构造上互相覆盖盲区。
• 威胁模型
  • 目标：使去噪轨迹越过安全盆地与有害盆地之间的能量势垒，即把 Safety Energy Gap ΔE 在某一步驱到 0 以下，从而生成有害内容。
  • 知识与能力：论文分析的是已知攻击。Template attacks 修改初始状态（PAD 在响应区插入结构连接符；DIJA 把有害 token 与 mask 区间交错）。Anchoring 在中间去噪步用有害响应的 token 替换模型预测并重新 mask。检测器只读取模型已经计算的 logits，无训练。
  • 受害系统：masked diffusion LLM，双向 Transformer 掩码预测器。主实验为 LLaDA-8B-Instruct 与 Dream-v0-Instruct-7B；step-0 分析含 LLaDA-1.5；附录评测稀疏 MoE 模型 LLaDA-MoE-7B-A1B-Instruct。
  • 作者明确留下的边界：§4 只变化已有攻击模板的单一标量（连接符数 nc 或干预步 tinter）。作者称完全白盒、直接对 OR 检测器优化（例如对响应区 token 做梯度搜索）是下一步，留待未来工作。

论文在引言、§2 和附录中把相关工作分成 MDM 的能量观点、dLLM 攻击与防御，以及自回归越狱检测。

扩散语言模型与能量最小化

• Masked diffusion：Austin 等（2021）、Sahoo 等（2024）、Shi 等（2024）、He 等（2023）的 DiffusionBERT，以及 Nie 等（2024、2025）把文本上的 masked diffusion 扩到 LLaDA。反向过程由双向掩码预测器同时预测被掩位置，训练用被掩 token 的交叉熵。
• 能量最小化：Chen 等（2025）[7] 证明 MDM 可解释为在离散概率流上最小化动能 Ek，去噪轨迹沿测地线从掩码状态走到输出分布。本文在 §3 把这一解释延伸到安全。
• 序列级能量校正：Xu 等（2025）[24] 的 energy-based diffusion language models 会引入不可分解的交互项。作者称这会关闭 per-position 攻击面，但当前 dLLM 并未使用它。综述包括 Li 等（2025）与 Yu 等（2025）。

dLLM 上的攻击与防御

• 模板攻击：PAD（Zhang 等，2025）在响应区均匀插入结构连接符，利用双向注意力；DIJA（Wen 等，2026）把有害 token 与 mask 区间交错，并用反馈循环在新提交的有害 token 上继续移位。作者将二者归为在初始化掩盖安全倾向的动能型攻击。
• Anchoring：Yamabe 与 Sakuma（2025）发现 priming 漏洞，在中间步用有害 token 替换预测并重新 mask。作者将其归为中途迫使轨迹越垒；晚锚定同时留下未修改的初始状态。
• DiffuGuard：Li 等（2025）的 Safety Divergence 用攻击输入与干净基线的表征散度识别模板注入。作者只比较其检测组件 SD，称生成时防御超出本文只做检测的范围。作者把 SD 看成能量景观的第四个可观测量：它检测初始状态是否被模板重塑，而 R0 与两个斜率检测盆地位移或越垒的后果。

自回归越狱检测与对齐

• 检测：Gradient Cuff（Hu 等，2024）用拒绝损失景观检测越狱；Chen 等（2025）做近乎免额外成本的越狱检测；Nikolenko 等（2026）从中间层熵动态检测越狱；Zhang 等（2026）用流形轨迹动力学防御越狱。作者在附录中把这些方法放在自回归设定下讨论，并说明本文信号读的是 dLLM 去噪 logits。
• 对齐结构：Arditi 等（2024）称拒绝由单一方向介导；Qi 等（2025）认为安全对齐不应只深几个 token。作者自己的先前工作涉及梯度样本选择的持续安全对齐、不完整安全学习，以及曲率感知的安全恢复。多语言越狱有 Deng 等（2024）。

基线与基准

• 基线方法：DiffuGuard-SD（只取其检测组件）。攻击按原文实现：PAD（nc=2）、anchoring（tinter，主结果含 t=1 与 t=8）、DIJA。
• 基准：有害提示为 HarmBench 的 400 条标准行为与 AdvBench 的 520 条行为；良性提示为 AlpacaEval 的 200 条指令与 XSTest 的 250 条安全提示。

作者把本文定位为：用能量势垒把上述攻击统一成绕垒的两种策略，并由此导出覆盖能量预算的三个免训练信号；与只针对单一漏洞的检测不同，并与 DiffuGuard-SD 互补。

作者把对齐后的去噪过程看成被能量势垒分开的盆地，并用 因子化 Safety Energy Gap 把“攻击必须留下的痕迹”写成可从 logits 读取的三个信号。

问题设定与能量势垒

• 盆地划分：序列空间 X = S ∪ H。S 为安全响应（拒绝与无害补全），H 为顺从的有害内容。安全盆地同时含无害补全与拒绝；信号只给拒绝加权，因为拒绝最可观测。范围是检测查询而不是塑造回答，被标记的查询可以重新生成或交给更强过滤器。
• Safety Energy Gap：Definition 1 把 ΔE(xt, q, t) 定义为最终输出落入 S 与落入 H 的对数几率。ΔE > 0 为安全盆地，ΔE < 0 为有害盆地，ΔE = 0 为边界。能量势垒是无攻击轨迹上 ΔE 的最小值；越狱成功指在某一步把 ΔE 驱到 0 以下。序列级 ΔE 要对指数多的序列求和，不可直接算。
• 因子化替代：MDM 按位置分解交叉熵。Definition 2 在仍被掩码的位置集 Mt 上，把每位置的拒绝 token 质量与顺从 token 质量之比取对数再求和，得到 ΔEF。Vref 为高频拒绝 token（36 个），Vcomp 为顺从 token（32 个），完整列表在附录 B。作者称这些集合是模型的测量性质：从留出提示自动取每类 top ten、无人挑选，在 LLaDA 家族上与手写集合的 AUROC 相差不超过 0.05，在 Dream-7B 上超过手写集合（附录 D.2）。
• 动能下界：Theorem 1 称，在 per-token 分解下，若 ΔEF 在区间 [t1, t2] 上从 ≥ +δ 变到 ≤ −δ，则该区间上的 Fisher 加权 logit 速度积分有下界，量级为 δ² / ((t2−t1) · |M|max · G²max)，并假设 γ̇t ≤ 1。作者指出该界单向：越垒需要升高的动能，但高速度也可能来自困难的安全生成。Proposition 1 给出可加分解、单位置可攻击性，以及 ΔEF 与序列级 ΔE 相差至多随 |Mt| 线性、并在投影抓住主要拒绝/顺从模式时变小。

Step-0 比值 R0

• 初始化：全掩码状态 x0 = ([MASK])^L 上，各位置条件相同，ΔEF 化为 |M0| 个相同项。R0(q) 是各位置拒绝质量之和与顺从质量之和的比。Proposition 2：log R0 等于初始化时的逐位置因子化能量差；在投影到 Vref ∪ Vcomp 内，任何用 step-0 logits 分开 S 与 H 的统计量必须是 R0 的单调函数。作者明确这不是全体 step-0 检测器中最强的检验，全 logit 上的学习分类器原则上可以更好；采用投影是为了计算简单和可解释。
• 盲区：R0 只看轨迹从哪个盆地出发。模板攻击改写 x0，把质量移离拒绝指示，因而 R0 近乎随机；anchoring 不改 step 0，故与直接有害提示共享 R0。跨长度比较时报告逐 token 的 ΔEF/|Mt|；L 固定时该重缩放不改变文中任何 AUROC（附录 D.4）。

两个轨迹速度信号

• 子空间分解：Vs = Vref ∪ Vcomp，V⊥ = V \ Vs。Fisher 速度拆成 Vs、V⊥ 与交叉项（式 (10)）。作者称 |V⊥| ≈ 128k 远大于 |Vs| ≈ 70，全空间速度由 V⊥ 主导，安全 token 总质量小时交叉项可忽略。Fisher 判别量 J 在 LLaDA 家族约 33，在 Dream-7B 为 139.73；作者据此认为 Dream 的 AR 初始化先验把安全结构集中在 Vs。
• SED slope（V⊥）：SED(t) 是仍被掩位置上、当前 logit 与初始 logit 的余弦相似度的平均。斜率 s 取去噪前半段 SED(0)…SED(⌊T/2⌋) 的线性斜率，更负表示动能更高。前半窗口是因为更后的步上 logit 范数稳定性变差（附录 E）。作者在附录 E、Table 12 验证测量窗口内范数变化低于 5%，从而余弦是 KL 的单调代理。
• ΔE slope（Vs）：sΔE 是 ΔEF 在前 25% 去噪步上的斜率（式 (13)，窗口在附录 D.3 Table 8 中消融）。更短窗口是因为约 70 维的 Vs 上攻击引起的位移又陡又早。该斜率不需要余弦近似，dΔEF/dt 直接出现在动能界里。
• 覆盖关系：作者称攻击要么在初始化暴露意图（R0），要么至少在一个子空间消耗动能越垒（s 或 sΔE）。OR 规则为：R0 > τR，或 |s| > τs，或 |sΔE| > τΔE 则标记。

检测协议与部署

• 读数与阈值：三个信号都从模型已算的 logits 读取，无训练。AUROC 衡量信号把各攻击条件排在良性池（AlpacaEval ∪ XSTest）之上的能力。阈值检测把每个信号设在良性分位数上；OR 检测器每个信号用 α/3，使并集界下良性假阳性率至多为 α（附录 F）。
• 聚合：附录 F.3 在同一保证假阳性率下比较四种聚合。作者称校准 z 分数的最大值是 Theorem 1 所规定的规则，因为攻击必须在至少一个子空间超支；该规则在每个设置上匹配或超过 OR，且无需训练。有标注校准数据时，逻辑组合在 LLaDA 模板攻击上大致把召回提高一倍。
• 长度：信号依赖部署者选择的生成长度 L 与块大小 B（附录 D.4）。作者建议 LLaDA 上 L ≤ 128 且 B ≥ L/2，Dream 上 L 可到 256。被标记查询可拒绝、在更硬的日程下重生成，或升级到更重的过滤器。生成设置为主文定量结果所用：贪心、基于置信度的 remasking、温度 0、响应长度 L = 128、每步一个 token。

实验设置

• 模型：主检测为 LLaDA-8B-Instruct 与 Dream-v0-Instruct-7B；LLaDA-1.5 进入 step-0 与 Figure 4 的检测表；稀疏 MoE 的 LLaDA-MoE-7B-A1B-Instruct 在附录 D.5。生成用贪心置信度 remasking、温度 0、L = 128、每步一个 token。
• 数据：有害提示为 HarmBench 400 条与 AdvBench 520 条；良性为 AlpacaEval 200 条与 XSTest 250 条安全提示。每模型七个条件（clean、XSTest、harmful direct、PAD、anchoring t=1、anchoring t=8、DIJA），每模型 5,050 个提示–条件对，合计 10,100。Figure 2 每个条件对 400 条提示取平均（有害与攻击条件来自 HarmBench）。
• 攻击实现：PAD 插入 nc=2 个均匀分布的结构连接符；anchoring 在 tinter 用有害响应 token 替换预测并重新 mask；DIJA 按原文模板把有害 token 与 mask 区间交错。
• 指标与阈值：AUROC 把攻击排在良性池 AlpacaEval ∪ XSTest 之上。阈值用良性分位数；OR 每信号 α/3，并集界下良性 FPR ≤ α。论文未报告主结果的重复次数。
• 对照：DiffuGuard 的 Safety Divergence 检测组件。作者称不评测完整 DiffuGuard（SD 加生成时防御）。
• 词表：手写 Vref 36、Vcomp 32；自动 top-10 对照见附录 D.2。少至五个选得好的 token 时 AUROC 0.95，错过高质量 token 的同义词集降到 0.80。

主结果

三信号组合在所测攻击上的 AUROC 见 Table 3 与 Figure 4（攻击建在 HarmBench 与 AdvBench 上，良性池为 AlpacaEval 与 XSTest）。表中 SED 为前 50% 窗口；All three 为 R0 + SED + ΔE。

表格较宽，可左右滑动

模型	攻击	R0	SED	ΔE	R0+SED	All three
LLaDA-8B	Harmful direct	0.94	0.43	0.30	0.83	0.83
LLaDA-8B	PAD	0.45	0.90	0.39	0.88	0.87
LLaDA-8B	Anchoring t=8	0.94	0.91	0.92	0.95	0.96
LLaDA-8B	DIJA	0.17	0.89	0.28	0.87	0.87
Dream-7B	Harmful direct	0.96	0.67	0.25	0.86	0.86
Dream-7B	PAD	0.39	0.52	0.98	0.41	0.95
Dream-7B	Anchoring t=8	0.96	0.67	0.97	0.88	0.96
Dream-7B	DIJA	0.11	0.92	0.76	0.90	0.90

据 Table 3。LLaDA-1.5 的对应三信号行在 Figure 4 为 0.94、0.87、0.94、0.94、0.84（顺序为 Harmful、PAD、Anch. t=1、Anch. t=8、DIJA）。Table 3 的 All three 在 LLaDA-8B PAD 为 0.87，Figure 4 底行写 0.90；LLaDA-8B Anchoring t=8 为 Table 3 的 0.96 对 Figure 4 的 0.94。表后按 Table 3 叙述。

• 作者的解读：LLaDA-8B 上 R0 + SED 对各攻击为 0.83–0.95；Dream-7B 上 PAD 从 R0+SED 的 0.41 升到三信号的 0.95。三信号组合下，没有任何攻击在任何模型上低于 AUROC 0.83。Table 1 中模板攻击的 R0 为 0.15–0.49，有害直接与 anchoring t=8 为 0.86 或 0.90。
• Figure 2：作者称有害直接查询保持在安全盆地（ΔE > 0）并拒绝；模板攻击从 ΔE ≈ 0 附近下降进入有害盆地；t=1 锚定部分恢复，t=8 恢复失败。图注写每条线是 400 条提示上因子化 gap 的均值，L = 128 的原始求和，虚线为 ΔE = 0。
• Figure 3 与 DiffuGuard：作者称 LLaDA-8B 上 PAD 沿 SED 轴分开（AUROC 0.90），Dream-7B 上沿 ΔE 轴分开（AUROC 0.98）；图中 Dream 面板同时标有 PAD AUROC 0.46 与 0.95。Figure 4 中 DiffuGuard-SD 对 PAD 与 DIJA 为 1.00，对有害直接与两种 anchoring 约为 0.49–0.51。作者称 SD 与三信号互补，完整系统应监测全部四个量。

参数压力测试

§4 在 LLaDA-8B 与 Dream-7B 上只改一个标量：PAD 的 nc ∈ {0, 1, 2, 3, 4, 6}，以及 anchoring 的 tinter ∈ {1, 2, 4, 8, 16, 32}（Table 4）。

• PAD 滴定：LLaDA-8B 上，nc ≥ 2 时 R0+SED 为 0.90–0.95，作者称这些配置能稳定产生有害内容。nc = 1 时 LLaDA-8B 的 R0+SED 为 0.53、ΔE Q1 为 0.55，作者称信号降到检测之下，但单连接符只产生截断的 stub，而不是可执行的有害内容（附录 G、Figure 10）。Dream-7B 上 nc = 1、2 时 R0+SED 为 0.41 与 0.52，ΔE Q1 为 0.74 与 0.98，三信号为 0.74 与 0.98；nc ≥ 3 时 ΔE slope 达到 ≥ 0.996，表中 nc = 3、4、6 的 ΔE Q1 与 All 3 为 1.00。nc = 0 的三信号为 LLaDA-8B 0.96、Dream-7B 0.96，对应未加模板的直接有害查询。
• 锚定时机：R0 不随时机变化，AUROC 0.94–0.96；tinter = 32 时 R0 为 0.99。速度信号随 tinter 升高：LLaDA-8B 的 ΔE Q1 从 tinter = 1 的 0.58 到 tinter = 16 的 0.94；Dream-7B 从 0.45 到 1.00。tinter = 32 时 ΔE 降到 0.25–0.30，作者称干预落在 Q1 窗口之外，仍由 R0 检出。作者认为更晚的干预留下更少步数越垒，因而每步速度更高，与 Theorem 1 一致。
• 作者的总结：每一个躲开检测的配置也未能产生有害内容。作者认为检测阈值与越垒阈值难以分开。同时作者写明，这不是对直接优化检测器的白盒自适应攻击的检验。

其他消融与分析

• 自动词表（附录 D.2）：留出提示上按 step-0 质量取每类 top ten、无人挑选，LLaDA 家族与手写集相差不超过 0.05 AUROC，Dream-7B 上超过手写集；五个 token 的 AUROC 0.95，同义词集 0.80。
• 中文提示（附录 D.2，Limitations）：英文 token 集失去质量，R0 下降，直到用该语言重新推导集合。论文未在正文给出中文条件下的具体 AUROC。
• 长度与块（附录 D.4，§3.3）：本文 LLaDA 结果在 L = 128 成立；阈值级召回在 L 超过 128 后下降。作者建议 LLaDA 上 L ≤ 128 且 B ≥ L/2，Dream 上 L 至 256。固定 L 时逐 token 重缩放不改变 AUROC。
• 斜率窗口（附录 D.3 Table 8）：ΔE slope 用前 25%（Q1）；SED 主结果用前 50%，Figure 4 另报 SED slope Q1。
• 范数稳定性（附录 E Table 12）：测量窗口内 logit 范数变化低于 5%。
• MoE（附录 D.5）：作者称同一互补模式在 LLaDA-MoE-7B-A1B-Instruct 上成立。正文未给出该模型的 AUROC 数字。附录 C 讨论向自回归与文生图的迁移，结论称该解释只部分超出 masked diffusion。

Figure 1 的文字给出有害查询的 R0 比良性高 5–11 倍，三家族 AUROC 0.86–0.90；Table 1 的有害直接一行与此 AUROC 一致（LLaDA-8B 0.86、LLaDA-1.5 0.86、Dream-7B 0.90），Table 2 / Table 3 的 R0 更高（0.94 与 0.96）。论文未说明这两组 R0 的聚合或提示集合差。

作者指出的局限与后续方向

• 只验证已有攻击（§5 Limitations (i)；§4 Scope）：验证针对现有攻击；完全自适应的对手留待未来工作。§4 写明，下面的实验只改已有模板的一个标量 nc 或 tinter，用以检验 Theorem 1 预测的检测–攻击耦合。直接优化 OR 检测器的完全白盒自适应攻击（例如对响应区 token 做基于梯度的搜索）是重要的下一步。
• 因子化与词表、语言依赖（§5 (ii)）：依赖 per-token 因子化和当前 MDM 目标下的特定词表。语言依赖：中文提示上英文 token 集失去质量，R0 下降，直到在该语言中重新推导集合（附录 D.2）。
• 阈值级 TPR 随架构变化（§5 (iii)）：尽管排序检测一律较强，阈值级 TPR 仍随架构变化（附录 F）。
• 长生成上的召回（§5 (iv)）：LLaDA 上阈值级召回随生成长度超过 L = 128 而下降（附录 D.4）。
• 迁移范围（§5）：该解释只部分超出 masked diffusion（附录 C）。致谢写明，向自回归模型与文生图模型的迁移来自审稿问题，讨论在附录 C。
• 会加强本线工作的实验（§4）：该耦合能否经受一个故意的优化器——无论是在响应区 token 上优化，还是在压低 Vref 质量的同时保持有害语义——是最能加强这一方向的实验。作者同时称 Theorem 1 对这类攻击者和尚未设计的攻击都施加约束：成功必须把 Safety Energy Gap 降到 0 以下，因而要么初始化势能低，要么在至少一个被监测子空间付出动能。

实验覆盖范围

• 模型与数据：检测评测覆盖 LLaDA-8B-Instruct、Dream-v0-Instruct-7B，step-0 与 Figure 4 含 LLaDA-1.5，附录 D.5 含 LLaDA-MoE-7B-A1B-Instruct。有害提示为 HarmBench 400 与 AdvBench 520，良性为 AlpacaEval 200 与 XSTest 250；主设置每模型七条件、5,050 对，两模型合计 10,100。
• 攻击与压力测试：攻击为 harmful direct、PAD、DIJA、anchoring（t=1 与 t=8，以及 tinter ∈ {1, 2, 4, 8, 16, 32}）。PAD 滴定 nc ∈ {0, 1, 2, 3, 4, 6}，模型为 LLaDA-8B 与 Dream-7B。生成为主文设定：温度 0、贪心置信度 remasking、L = 128、每步一个 token。
• 检测对照与阈值：对照为 DiffuGuard 的 SD 检测组件；作者写明不评测 SD 加生成时防御的完整流程。OR 使用每信号 α/3。附录 F.3 在同一保证假阳性率下比较四种聚合，包括 z 分数最大值与逻辑组合。
• 附录中的其他检查：贡献列表写明还有中文提示、生成长度与块长度的检查（附录 D.2、D.4），词表集合比较（附录 D.2，五个词表），斜率窗口消融（Table 8），以及 logit 范数变化（附录 E Table 12，低于 5%）。论文未报告主 AUROC 的重复次数，也未在正文给出 MoE 与中文设置的 AUROC 数值。
• 成功判定的范围：§4 与附录 G、Figure 10 用生成文本区分“截断 stub”与“诱导出有害生成”（nc = 0、1、2 各给三条查询的输出）。论文未报告这些生成的自动化有害性评分模型或人工一致性。

Bach 等提出用去噪能量景观解释 masked diffusion 语言模型上的越狱，并由此得到三个免训练检测信号。

• 问题：现有 dLLM 攻击与防御各自针对模板注入或中途锚定等特定表面，没有说明这些攻击为何成功、如何互相联系。作者认为自回归攻击不能直接迁到扩散解码，因此一个也能约束尚未设计的攻击的账户更有价值。
• 框架：对齐被写成把去噪轨迹分进安全盆地与有害盆地。Safety Energy Gap ΔE 是落入两类输出的对数几率；实际计算用拒绝 token 与顺从 token 的因子化对数比 ΔEF。Theorem 1 给出越垒所需 Fisher 加权动能的下界，随安全间隙 δ 成平方增长，并随时段变短而要求更高的逐步速度。
• 三个信号：R0 是全掩码状态下拒绝质量与顺从质量之比，读初始盆地。SED slope 用前半段去噪中 logit 与初始 logit 的余弦斜率近似 V⊥ 中的速度；ΔE slope 用前 25% 步上 ΔEF 的斜率跟踪约 70 维的 Vs。OR 规则在良性分位数上阈值化，每信号分到 α/3。
• 主结果：对 HarmBench 与 AdvBench 相对 AlpacaEval ∪ XSTest，三信号组合的 AUROC 在 LLaDA-8B 为 harmful direct 0.83、PAD 0.87、anchoring t=8 0.96、DIJA 0.87；在 Dream-7B 为 0.86、0.95、0.96、0.90（Table 3）。Dream 上 PAD 的 R0+SED 只有 0.41，ΔE slope 为 0.98。DiffuGuard-SD 对两种模板攻击为 1.00，对非模板威胁约 0.49–0.51。
• 压力测试与结论：PAD 的 nc ≥ 2 在 LLaDA-8B 上被 R0+SED 以 0.90–0.95 检出；nc = 1 躲开信号，但作者称输出只是截断 stub。锚定在 tinter = 32 时 ΔE 降到 0.25–0.30，R0 仍为 0.99。作者的结论是：所测配置里，躲开全部检测信号的也未能产生有害内容，检测阈值与越垒阈值难以分开；盆地结构在已对齐 dLLM 中是内在的，动能落在哪个子空间则随架构变化。完全自适应攻击、中文词表、L > 128 的阈值召回，以及超出 masked diffusion 的迁移，被列为局限。