StealthGraph：通过知识图谱引导的有害提示词生成揭示 LLM 的领域特定风险

领域专用、借领域知识间接表达的隐式有害提示仍缺可扩展构建方法，公开显式数据集又容易被现有防御拒答。

• 场景： 作者称 LLM 正进入金融、医学、法律等高风险领域，专门知识可能被用来掩盖过失、建议不安全治疗或协助欺诈，因而需要领域安全评测与防御。
• 现有方法： 作者称 TRIDENT 等仍依赖人工或半自动构建，效率与规模受限。公开数据集主要覆盖直接索要武器或犯罪等显式攻击，现代 LLM 防御常能检出并拒答。
• 观察与难点： 隐式提示不直说非法行为，而通过领域知识间接编码风险意图，更难检测，也更接近真实威胁。作者归纳两个难点：把含糊的领域风险概念变成可执行约束，以及系统性地提高提示隐蔽性。
• 本文提出： 端到端框架 StealthGraph。先用知识图谱引导生成与领域实体绑定的显式提示，再用直接改写与上下文增强改写得到隐式变体。作者称目标是合成兼具领域相关性与隐蔽性的数据，用于红队、对齐与安全评测，而不是最大化攻击成功率。

相关工作主要沿有害提示基准、越狱与上下文操纵、提示混淆三条线。作者把本文放在可扩展的领域有害提示合成上，而不是最大化对固定模型的攻击成功。

有害提示数据集与安全基准

• 通用基准： Do-Not-Answer（Wang et al., 2024）、HarmfulQA（Bhardwaj and Poria, 2023）、AdvBench（Zou et al., 2023）、ToxicChat（Lin et al., 2023）、JailbreakBench（Chao et al., 2024）、SafetyPrompts（Röttger et al., 2025）用于拒答、鲁棒性与红队评测。作者称其中多数含显式有害内容，现代 LLM 容易检出，有效攻击常还要依赖越狱或混淆，且主要覆盖通用领域。
• TRIDENT（Hui et al., 2025）： 把评测扩到三个专门领域。作者称其大量依赖人工整理，可扩展性受限。
• Knowledge-to-Jailbreak（Tu et al., 2025）： 把领域知识转成越狱攻击以最大化攻击成功。作者称本文要合成可扩展的领域有害提示数据集做安全评测。GraphRAG（Edge et al., 2024）用图做检索增强问答；作者称本文把 Wikidata 当作结构化语义先验，用于风险覆盖和有上下文的有害提示合成。

越狱与上下文操纵

• GCG（Zou et al., 2023）及后续： Jia et al., 2025、Li et al., 2025、Mu et al., 2025、Tan et al., 2025 用梯度搜索对抗后缀，以越过对齐约束。
• AutoDAN（Liu et al., 2024）： 遗传搜索加 LLM 改写以提高流畅度。作者称这类方法主要优化攻击成功，而不是刻画真实用户查询分布。
• 上下文操纵： Wei et al., 2023、Greshake et al., 2023、Shen et al., 2024 等把有害意图放进角色扮演、翻译或系统指令等良性框架，使受限请求显得正当，常绕过表层过滤与单轮检查。

提示混淆

• 改写类方法： DrAttack（Li et al., 2024b）、MIST（Zheng et al., 2025）、Semantic Mirror Jailbreak（Li et al., 2024a）、Rewrite to Jailbreak（Huang et al., 2025）把显式有害查询改写成隐式但语义等价的形式。作者称本文的双策略混淆属于这一类，但不用目标模型回复做优化信号，而是做保持语义意图与领域相关性的隐蔽改写。

基线与基准： 主实验对比 AdvBench、Do-Not-Answer、HarmfulQA。安全微调还用 CatQA-en（Bhardwaj et al., 2024）与 HEx-PHI（Qi et al., 2024）。附录另与 WildJailbreak、TRIDENT、FITD、JailBreakV-28K 纯文本子集、H4rm3l、HarmBench 比较。JailbreakBench 只作少样本种子，不作评测集。

作者的区分是：用知识图谱做风险覆盖与上下文约束；目标回复只作为提前停止的效率准则。产物是可复用的评测与对齐数据，而不是针对固定目标优化的越狱提示。

StealthGraph 分三步：从 Wikidata 建领域子图，用实体与少样本有害类别生成显式提示并过滤，再交替做直接改写与领域上下文卡片改写，得到隐式提示。

领域子图构建

• 底座： Wikidata。作者给出的理由是：多语言、支持 SPARQL、持续更新，且相对许多领域图公开、质量一致。作者假定已有基础领域知识图，并称图构建不是本文重点。
• 根节点与扩展： 每个领域选根节点锚定子图。医学例为 medicine（Q11190）、disease（Q12136）、medication（Q12140）。从根出发，只走四类关系：instance of（P31）、subclass of（P279）、part of（P361）、has part（P527）。附录 F 写最大深度为三跳。附录 J 给出医学领域查询，并称其他领域与关系按同样方式构造。
• 规模控制： 用跨语言 Wikipedia sitelinks 数做流行度过滤，只保留不低于阈值 T 的实体。Table 13：医学 T=80，教育与法律 T=25，金融 T=20。作者称根节点与 T 可按领域调整。

图谱引导的显式生成与过滤

• 生成： 作者称实体中心策略受 RAG 启发，子图与属性作为落地上下文。有害类型条件来自 JailbreakBench 的十类、100 条示例；作者称该种子可换成任意带标签的有害类别数据。对实体 e，合成模型对每个类别调用一次、产生 n 条。作者将第 i 类第 j 条写作 X_e^(i,j)=M_syn(C_e,D_few,g_i)_j，即在子图上下文、少样本和有害类别条件下的一次生成；实体 e 共 k×n 条。附录 G 将 n 设为每个类别 2 条。模板见附录 K，此处不复述。
• 合成模型： Msyn 与改写模型 Mobf 都在无安全对齐的 Llama-3.1-70B 上，用 Alpaca 风格指令微调。附录 G 的合成模型设置：QLoRA，r=64，α=128，3 个 epoch，学习率 2e-6，最大序列长度 2048。
• 过滤： IBM Granite-Guardian 在决策 token 上给出不安全 y1 与安全 y0。有害度为 S(X)=p(y₁|X)/(p(y₁|X)+p(y₀|X))，越大表示作者定义的风险越高。流畅度用参考模型的困惑度，实验中参考模型为 GPT-2，保留 PPL 不超过 τppl 的提示。附录 G 的生成阈值是有害度不低于 0.9、困惑度不超过 40.0。

双策略混淆改写

• 定义： 把显式提示 Xori 改成隐式提示 Ximp，降低表层显式性并保留有害意图。成功指把 Ximp 交给目标模型后，回复能够实现原有害目标，而不只是绕过拒答。Figure 2 与附录 A 给了一则对照，具体表述不复述。
• 两条路径： 直接路径把 Xori 改得更隐蔽；上下文卡片路径把实体邻居、描述与关系整理成领域上下文卡片后再改写。两条路径从同一 Xori 出发、交替进行。作者称卡片路径可能增加模板复杂度，因此两条都保留。
• 循环： Algorithm 1 中奇数轮走直接路径，偶数轮走卡片路径。质量模型 Mqual 给出 intent_preserved 与 is_fluent 两个二值判断，都通过才保留。再查询目标模型得到回复，由混淆评估器判断是否成功。成功则提前返回；否则把失败信息反馈给后续改写。达到上限则保留最近的最高质量候选，否则回退到 Xori。主实验最大迭代 κ=10（附录 I）。模板与卡片示例在附录 L，不复述其中的措辞约束。
• 停止准则： 作者称目标模型回复只作为效率准则，达到足够混淆就停止，不用作训练信号或优化目标。合成后再用 Mqual 做事后核验，滤掉评审幻觉或无意丢失有害意图的样本。主实验里，这个混淆目标模型是 Llama-3.1-8B-Instruct。

评测时如何判定

• ASR： 绕过目标模型安全机制的提示比例。每条回复由三名 LLM 评审独立判断，至少两名认为有害意图被实现才算成功。
• OSR： 双策略改写过程中成功混淆的提示比例。多样性用 Self-BLEU；安全微调后用 MMLU 看通用能力。

主表上，相对 Llama-3.1-8B-Instruct 选出的成功混淆子集 ASR 更高；显式子集的平均 ASR 低于 HarmfulQA。用隐式数据做安全微调后，对隐式红队的 ASR 低于用 AdvBench 或 Do-Not-Answer 对齐。

实验设置

• 被测模型： 主表为 GPT-4o-mini、Gemini 2.5 Flash、Grok 3 Mini、DeepSeek V3.1、Mixtral 8×7B、Qwen2.5 7B。安全微调基座为 Llama-3.1-8B。附录 C 另测 Qwen3.5-Plus、GLM-5、Gemini-3-Pro。防御评测含 LlamaGuard-4-12B，以及 SemanticSmooth 下的 Vicuna-13B-v1.5。作者称主实验评测通用 LLM，因为已有工作显示其在专门领域有专业能力，而领域专用数据集仍然有限。
• 数据： 各数据集抽取相同数量。StealthGraph 三变体各 200 条，医学、金融、法律、教育各 50 条。SG-Origin 为显式，SG-Implicit 为全部混淆结果，SG-Implicit✓ 为混淆成功子集。对比集为 AdvBench、Do-Not-Answer、HarmfulQA；微调另用 CatQA-en、HEx-PHI。
• 合成侧： Msyn 与 Mobf 为微调后的 Llama-3.1-70B。混淆循环的目标是 Llama-3.1-8B-Instruct，与主表六个评测模型不重叠。有害度用 IBM Granite-Guardian-3.1-8B。PPL 用 GPT-2，余弦相似度用 ALL-MINILM-L6-V2。
• 指标与评审： ASR 为绕过目标模型安全机制的提示比例。Gemini 3 Flash、GPT-5 Mini、Claude Sonnet 4 独立评审，至少两人认为有害意图被实现即成功。Table 14 写 OSR 评审为 Gemini 3 Flash。另报告 PPL、Self-BLEU、MMLU，以及 StrongREJECT 分数大于 0.5 的 [email protected]。
• 微调： Llama-3.1-8B 先做 Alpaca 指令微调，再在每个数据集 200 对有害–拒答样本上做 4-bit LoRA。随机种子 42。论文未报告主表 ASR 的重复次数，也未报告评审与人工的一致性。

主结果

SG-Implicit✓ 先在 Llama-3.1-8B-Instruct 上判定混淆成功，再拿到下表模型上测 ASR（Section 4.2）。格子为 ASR（%），据 Table 1。Do-Not-Answer 未列入，作者报告其六模型平均为 5.17%。

表格较宽，可左右滑动

模型	AdvBench	HarmfulQA	SG-Origin	SG-Implicit	SG-Implicit✓
GPT-4o-mini	2.5%	22.5%	8.0%	57.0%	87.5%
Gemini 2.5 Flash	1.5%	18.0%	9.0%	47.0%	75.0%
Grok 3 Mini	5.0%	17.5%	17.0%	74.5%	91.0%
DeepSeek V3.1	3.0%	16.0%	5.0%	51.5%	77.5%
Mixtral 8×7B	27.0%	48.5%	39.5%	76.0%	90.5%
Qwen2.5 7B	2.5%	21.0%	12.5%	63.5%	88.0%

• 作者报告三个公开集平均 ASR 为 5.17%–23.92%，SG-Origin、SG-Implicit、SG-Implicit✓ 平均为 15.17%、61.58%、84.92%。作者称混淆后的数据能暴露开源与闭源模型上的隐藏脆弱点。
• 作者称 SG-Origin 并不稳定高于公开显式基准，因为刻意显式的写法更容易被关键词类防御抓住。HarmfulQA 平均 23.92%，高于 SG-Origin 平均 15.17%。Table 1 每一行里，SG-Implicit✓ 都高于该行其余已列出的列。
• Table 2 的 PPL：SG-Origin 29.37，SG-Implicit 84.16，SG-Implicit✓ 79.87；AdvBench 52.23，Do-Not-Answer 154.81，HarmfulQA 83.41。作者称隐式变体仍保持可接受的可读性。

安全微调

• 测了什么： 从 Llama-3.1-8B 出发，在每个数据集 200 对有害–拒答样本上微调，再测红队 ASR（Table 3）与 MMLU（Table 4）。列是对齐数据，行是红队数据；同一数据集既对齐又红队时记为“-”。
• 显式红队： 作者称领域数据对齐后，对显式提示的稳健性与公开集相当或更好。Table 3：HarmfulQA 上，SG-Origin 对齐后 ASR 为 9.0%，AdvBench 为 11.0%，Do-Not-Answer 为 12.5%；CatQA-en 上 SG-Origin 为 7.0%，与 AdvBench 相同，低于 Do-Not-Answer 的 12.0%。例外：HEx-PHI 上 SG-Origin 为 17.5%，高于 AdvBench 的 16.0%。
• 隐式红队与能力： 作者称通用对齐数据对领域隐蔽提示效果差。AdvBench、Do-Not-Answer 对齐后，在 SG-Implicit 上为 36.0% 与 50.0%，在 SG-Implicit✓ 上为 55.5% 与 66.0%。SG-Origin 对齐后，对这两行分别为 14.5% 与 25.0%。SG-Implicit 对齐后，对 SG-Implicit✓ 为 12.0%。Table 4：未微调 MMLU 为 49.75，对齐后落在 42–44（SG-Origin 43.41，SG-Implicit 42.68，SG-Implicit✓ 42.71，AdvBench 43.59，Do-Not-Answer 43.01）。作者称能力保持与现有基准大体相近。

跨领域分布

• 测了什么： 四领域的 OSR、Granite-Guardian 有害度与 Self-BLEU（Table 5），以及过滤后的十类有害分布（Table 6）。括号外 Self-BLEU 是全部图谱引导提示，括号内是成功混淆子集。
• 结果： OSR 为医学 29.03%、金融 42.82%、法律 35.69%、教育 37.14%。有害度为 95.34%–97.85%。全体提示 Self-BLEU 为 54.42–59.53，成功混淆子集为 23.24–28.08。
• 作者解读： 作者认为医学领域的有害意图更难被该改写策略混淆。Table 6 中，医学 Privacy 为 14.14%、Disinformation 为 12.79%；金融 Privacy 与 Expert advice 均为 11.45%；法律 Fraud/Deception 为 13.31%、Expert advice 为 12.72%；教育 Disinformation 为 16.12%、Government decision-making 为 12.82%。作者称百分比因四舍五入可能不合计为 100%。附录 H 给了示例，此处不复述。

前沿模型、防御与替代评审

• 前沿模型（Table 9）： Qwen3.5-Plus、GLM-5、Gemini-3-Pro 上，SG-Implicit✓ 平均 ASR 为 26.5%（22.0%、26.5%、31.0%），为该表各数据集最高；SG-Implicit 平均 17.3%，SG-Origin 平均 5.0%。SG-Origin 的 5.0% 低于同表 HarmfulQA 的 10.7% 与 WildJailbreak 的 11.5%。作者称在这一更难设置下，成功混淆子集仍是所比较数据集中最高的，且目标不是不计代价最大化攻击成功。
• 防御与流畅度： Table 11 中，LlamaGuard-4-12B 上 SG-Implicit✓ 绕过比例为 75.0%，SemanticSmooth（Vicuna-13B-v1.5，变换为 Summarize 与 Paraphrase）上为 71.5%；作者称这是所比较数据集中最高的。同表 SG-Implicit 在 LlamaGuard-4-12B 上为 52.0%，低于 HarmfulQA 的 59.0%。Table 9 的 PPL：SG-Implicit✓ 为 79.87，HarmBench 为 1525.31；WildJailbreak 为 38.12，低于 SG-Implicit✓。
• StrongREJECT 与成本： Table 12 的 [email protected] 六模型平均：SG-Implicit✓ 85.5%，SG-Implicit 69.4%，SG-Origin 18.8%。作者称相对排序与主评测一致。附录 C 估计每目标输入 token（均标明近似）：FITD 4,367，PAIR 8,698，TAP 14,246，StealthGraph 17,500。作者称 StealthGraph 每目标上下文更大，但整体消耗仍可接受。

其他消融与分析

• Table 7，κ=10：直接改写 OSR 28.25%，上下文卡片 25.81%，双策略 29.03%；余弦相似度 0.56、0.58、0.60，PPL 为 38.70、38.85、38.74。
• Table 7，κ=30：直接 42.23%，卡片 37.93%，双策略 45.06%。作者称迭代预算变大后双策略 OSR 更高，PPL 与余弦相似度保持稳定。
• Table 16：κ=6 时 OSR 22.29%、平均迭代 3.07；κ=10 为 29.03%、4.01；κ=18 为 36.75%、6.44。作者因此在主实验采用 κ=10。
• Table 15：无图谱引导时 Self-BLEU 为 38.95，有引导时为 32.98。作者称图谱引导降低词汇冗余。
• Table 8（生成骨干，不是主表受害模型）：Llama-3.1-70B 的 OSR 29.03%、有害度 97.05%；Llama-3.1-8B 为 15.74%、79.68%；Qwen3-14B 为 25.23%、99.36%；Gemma3-27B 为 13.17%、98.09%。作者称平均迭代落在 3.91–4.38，OSR 随基座变强而升高。

作者在 Limitations 里写了两点局限，Conclusion 没有再写后续方向。

作者指出的局限与后续方向

• 实体覆盖（Limitations）： 作者写，方法依赖基于关系类型的查询，而不是更复杂的递归检索，这可能限制实体覆盖。
• 改写创造性（Limitations）： 作者写，自动改写也可能错过真实攻击中可见的一部分对抗创造性。作者称解释结果时应考虑这些局限。

实验覆盖范围

• 主 ASR 表覆盖 GPT-4o-mini、Gemini 2.5 Flash、Grok 3 Mini、DeepSeek V3.1、Mixtral 8×7B、Qwen2.5 7B 共 6 个模型；每个 StealthGraph 变体 200 条，四领域各 50 条（Section 4.2、Table 1）。
• 正文报告的领域为医学、金融、法律、教育。作者称管线与领域无关，并可扩展到其他专门领域（Section 4.1）。
• 安全微调在 Llama-3.1-8B 上，每个对齐集 200 对有害–拒答样本（Section 4.3）。混淆循环的目标模型为 Llama-3.1-8B-Instruct，与主表评测模型不重叠（Section 4.2）。
• 防御评测包括 LlamaGuard-4-12B 与 SemanticSmooth（Vicuna-13B-v1.5，Summarize 与 Paraphrase）。另有 StrongREJECT 的 [email protected]，以及 Qwen3.5-Plus、GLM-5、Gemini-3-Pro（附录 C–E）。
• 主实验最大迭代 κ=10（附录 I）。ASR 由三名 LLM 评审多数决判定。论文未报告评审与人工的一致性，也未报告主表 ASR 的重复次数。

StealthGraph 把领域安全评测做成数据合成：用知识图谱覆盖高风险实体，再把显式有害提示改成更隐蔽的隐式提示，供红队与对齐使用。作者称目的不是针对固定模型最大化越狱成功率。

• 问题： 金融、医学、法律等领域的有害提示多靠人工构建，公开数据又以显式请求为主，现有防御容易拒答。隐式提示借领域知识间接表达意图。作者认为这更接近真实威胁，也有助于模型内化有害请求不应被回答这一原则，而不只拒绝表面关键词。
• 方法： 从 Wikidata 按根节点、四类关系与 sitelinks 阈值抽出子图；用 JailbreakBench 十类少样本引导无安全对齐的 Llama-3.1-70B 生成实体绑定的显式提示，再以有害度与困惑度过滤。混淆阶段在直接改写与领域上下文卡片之间交替，检查意图保持与流畅性，对 Llama-3.1-8B-Instruct 成功即停。
• 主结果： Table 1 六个评测模型上，SG-Implicit✓ 平均 ASR 为 84.92%，SG-Implicit 为 61.58%，SG-Origin 为 15.17%；三个公开集平均为 5.17%–23.92%。SG-Origin 低于 HarmfulQA 的 23.92%。作者把显式变体偏弱归于更容易被关键词类防御抓住。该成功子集是相对 Llama-3.1-8B-Instruct 选出的，再拿到主表模型上测试。
• 对齐与其他评测： Table 3 中，Do-Not-Answer 对齐后对 SG-Implicit✓ 的 ASR 为 66.0%，SG-Implicit 对齐后为 12.0%。Table 4 中 MMLU 从 49.75 降到 42–44，作者称与现有基准大体相近。Table 9 三前沿模型上 SG-Implicit✓ 平均 ASR 为 26.5%，为该表最高。Table 11 中其对 LlamaGuard-4-12B 的绕过比例为 75.0%。
• 作者结论： 作者称该管线能在医学、金融、法律、教育中露出高风险实体，并把显式查询变成更接近真实误用的隐蔽变体。Limitations 中作者写明，关系类型查询可能限制实体覆盖，自动改写可能错过真实攻击里的对抗创造性。