进入灰区：领域语境可模糊大语言模型的安全边界

核心问题：LLM 对齐中 helpful 与 harmless 的张力使模型依赖语境推断意图，作者称这会形成可被利用的"灰色地带"。

• 问题场景：对齐训练教模型何时拒答而非遗忘知识，受限知识仍编码在参数中；安全研究员、药理学家等合法专业用户又必须能讨论敏感主题，模型不能一概拒答。
• 现有方法不足：作者称以往越狱多用"我是研究员"这类表层 persona，随着安全训练成熟，现代 LLM 已能识别这种浅层伪装（引言）。
• 核心观察：作者提出两级漏洞结构——Vertical Unlocking 指领域语境（如化学）只对领域相关危害放松防护；General Unlocking 指安全研究语境（如越狱论文）跨所有危害类别放松防护（Figure 2 的探测实验）。
• 论文产出：提出多轮越狱框架 JARGON，并做激活空间与注意力分析解释机理，最后探索 policy 防护与对齐微调两种防御。
• 威胁模型：
  • 目标：让目标 LLM 输出 JailbreakBench 中 10 类有害行为的具体内容。
  • 知识与能力：攻击者掌握公开安全研究论文全文，通过多轮对话交互；攻击由 LLM 智能体全自动生成，无需访问模型内部。
  • 受害系统：商用闭源模型（GPT-5.2、Claude-4.5 系列、Gemini-3-Flash）与开源模型；论文注明 GPT-5 与 Claude-4.5 系列部署了前端安全分类器。
  • 成功判定：评审模型对回复打 0–1 有害分，落入 [0.8, 1.0] 区间即判成功。

Token 级与单轮攻击

• GCG（Zou et al., 2023）用梯度优化寻找对抗后缀；AutoDAN（Liu et al., 2024a）用遗传算法；AmpleGCG（Liao and Sun, 2024）与 Jia et al. (2024) 提升效率。
• DAN（Shen et al., 2024）及其自动化变体（Liu et al., 2024b; Jha and Reddy, 2023; Chao et al., 2023）直接在提示词中嵌入绕过指令。

多轮越狱

• Crescendo（Russinovich et al., 2025）逐步升级请求；ActorAttack（Ren et al., 2024）协调多个智能体；X-Teaming（Rahman et al., 2025）用多智能体集成。
• FITD（Weng et al., 2025）利用心理顺从，RACE（Ying et al., 2025）利用推理策略；persona 研究表明语境框架影响顺从度（Wu et al., 2025）。
• 论文批评：作者称这些方法依赖浅层 persona，现代安全训练越来越能检测（Related Work 末段）。

防御与评测

• 防御：Llama-Guard（Inan et al., 2023）等固定分类法分类器，作者称其难以泛化到分布外攻击；policy 驱动防护（Li et al., 2025; OpenAI, 2025）支持自定义安全准则，本文基于其实现防御。
• 基准：JailbreakBench（Chao et al., 2024）为本文主基准；MedSafetyBench（Han et al., 2024）用于医学模型评测。

基线与定位：对比基线为 PAIR、AmpleGCG（单轮）与 Crescendo、FITD、X-Teaming（多轮），统一在 JailbreakBench 上评测。作者定位本文区别：不构造浅层 persona，而是利用模型在训练中形成的"技术专业性=合法意图"关联，用真实安全研究语境绕过防护。

JARGON 把 General Unlocking 操作化为自动化多轮攻击：先以真实安全研究材料建立宽松语境，再通过良性讨论建立合作模式，最后把有害目标改写为学术案例请求（Figure 3）。

控制层（Control Layer）

• 攻击智能体维护攻击状态，每轮基于三类信息生成下一查询：有害目标 g、聊天历史、存储历史成功轨迹的 trajectory memory。
• 它自行判断目标模型何时被充分"预热"，从良性提问切换到嵌入学术框架的攻击查询。

对话流程（两阶段）

• Rapport-Building：先呈现安全研究材料 P（越狱论文或红队博客），前 k 轮（通常 k=2）提良性问题（求摘要、问方法），强化学术框架并建立合作对话模式。
• Attack：第 k+1 轮起，不直接问 g，而是把 g 改写为论文框架内的案例研究（如请求示例、假设情景、对比分析），利用已建立的 rapport 提高顺从。
• 查询变体：每次攻击生成 V 个变体，改写与场景重构各占一半，并行评估后取害分最高的回复。

评审与成功判定（Judge）

• 评审先从长对话历史中抽取与目标相关的内容（Knowledge Purification），过滤 rapport 部分，再按 0–1 有害度打分。
• 分数超过预设阈值（主实验为 [0.8, 1.0] 区间）即判攻击成功。

轨迹记忆（Trajectory Memory）

• 成功轨迹存入缓冲区，攻击新目标时按 embedding 余弦相似度检索相似轨迹作 few-shot 示例；缓冲区从一条种子轨迹开始随成功累积增长。

实现参数

• 五个智能体：Attacker 与 Optimizer 用 DeepSeek-Chat（t=0.3），Knowledge Purifier 用 DeepSeek-Chat（t=0），Refusal Checker 用 GPT-OSS-20B，Judge 用 DeepSeek-V3.2（附录 A.4.1）。
• 三层嵌套循环：3 次重试 × 每次 2 个 trial × 每 trial 4 轮对话；每次攻击生成 8 个变体（4 改写 + 4 场景）；两次重试失败后注入 few-shot 示例（附录 A.4.2）。
• 附录 A.7 给出了 Attacker、变体生成、评审等完整提示词。

实验设置

• 被测模型：主实验 7 个——GPT-5.2、Claude-Sonnet-4.5、Claude-Opus-4.5、Gemini-3-Flash、DeepSeek-V3.2、Qwen3-235B-A22B-IT、LLaMA-4-Scout-IT；另有医学模型 Meditron3-8B、BioMistral-7B（附录 A.3）和防御实验用的 Qwen3-8B、LLaMA-3-8B-IT。全部 temperature 0。
• 基准：JailbreakBench，100 条有害提示词、10 个风险类别；医学评测用 MedSafetyBench 上 100 条采样查询。
• 基线：单轮 PAIR、AmpleGCG；多轮 Crescendo、FITD、X-Teaming。
• 指标与评审：主指标 ASR，由 DeepSeek-V3.2 按 0–1 打分，落入 [0.8, 1.0] 判成功；探测实验（Section 3）结果对三个种子取平均。
• 默认配置：上下文为 X-Teaming 论文的 Abstract + Method 部分。

主结果

据 Table 2（ASR %，JailbreakBench）：

表格较宽，可左右滑动

方法	GPT-5.2	Claude-Sonnet-4.5	Claude-Opus-4.5	Gemini-3-Flash	DeepSeek-V3.2	Qwen3-235B	LLaMA-4-Scout	平均
PAIR	5	0	1	24	68	15	32	20.7
AmpleGCG	10	5	1	27	75	22	27	23.9
Crescendo	22	23	11	79	73	52	73	47.6
FITD	54	48	24	96	95	73	49	62.7
X-Teaming	59	18	22	94	100	99	97	69.9
JARGON	93	100	100	100	100	100	100	99.0

• 作者称单轮攻击在防护强的模型上几乎完全失败（GPT-5.2 与 Claude-4.5 系列低于 10%），多轮基线也不稳定，如 X-Teaming 在 DeepSeek-V3.2 上 100% 但在 Claude-4.5 系列只有 18%–22%。
• 作者称 GPT-5.2 与 Claude-4.5 系列对齐更强，归因于前端安全分类器与 GPT-5.2 的 safe completion 策略，但 JARGON 在其上仍达 93%–100%。

探测实验：Vertical 与 General Unlocking

• 测了什么：8 个危害主题 × 领域对齐论文摘要作上下文，对 Llama-4-Scout、Claude-Sonnet-3.7、Gemini-3-Pro 三个模型，另用单篇越狱论文统一作用于全部主题（Figure 2）。
• 结果：热图呈对角线模式，领域对齐的语境-查询对分数更高（如病毒学论文配病毒合成查询得 0.78–0.96）；单篇越狱论文在所有主题上取得与领域对齐语境相当或更高的分数。
• 作者解读：领域语境选择性放松领域相关防护（Vertical Unlocking）；安全研究语境因训练中与多类敏感主题的关联，触发跨域放松（General Unlocking）。

机理分析：激活空间与注意力

• 激活分析（Figure 5）：对 Qwen3-8B 第 24 层激活做 MDS 投影；作者称安全边界是渐变过渡区而非清晰分界线，rapport 阶段查询落在良性区，改写后的攻击查询移入良性与有害之间的"灰色地带"，且仍位于决策边界的良性一侧。
• 注意力分析（Figure 6）：Qwen3-8B 上 20 条 JailbreakBench 查询（每类 2 条）三种条件对比：直接查询时敏感 token 注意力集中并触发拒答；加语境后直接查询仍保持高敏感 token 注意力；加语境并改写后敏感 token 注意力权重下降。作者称学术框架把注意力分散到语境元素上，降低了有害信号的显著性。

防御探索

• Policy 防护：用 gpt-oss-safeguard 加载自定义 policy（附录 A.8.4），输出分类与回复指导后传给目标模型。Qwen3-8B 的 ASR 从 100% 降到 61%；LLaMA-3-8B-IT 出现过度敏感，对所有查询一律拒答，论文未报告其 ASR（Table 3 标 –）。
• 对齐微调：用约 900 条安全多轮对话（每篇语境论文约 300 条）以 LoRA 微调。Qwen3-8B 的 ASR 从 100% 降到 66%，LLaMA-3-8B-IT 从 83% 降到 74%；MMLU、HellaSwag、GSM8K 分数基本保持（Table 3）。
• 作者解读：模型可以学会在灰色地带查询上保持 helpful 而不给出可操作的有害内容。

其他消融与分析

• 语境主题（Table 1）：越狱论文、防御方法、安全综述三类语境在 4 个模型上各测 20 条查询，平均 ASR 均超过 96%。
• 语境长度（Figure 4）：Full Paper > Abstract+Method > Abstract 的 Relative Harm Score 在 3 个模型上均成立；主实验采用 Abstract+Method 平衡效果与 token 成本。
• 查询变体（Table 4）：去掉变体后 GPT-5.2 从 93% 降到 54%，LLaMA-4-Scout-IT 从 100% 降到 79%，Claude-Sonnet-4.5 保持 100%。
• 医学模型（Table 7）：Meditron3-8B 与 BioMistral-7B 在 MedSafetyBench 100 条查询上 ASR 均为 100%。
• 评审偏差（Table 8，20 个样本）：LLM 评审相对人工高估 ASR（如对 GPT-5 高 25 个百分点），经 Knowledge Purification 后 GPT-5.2 评审对 GPT-5 从 90% 降到 70%，与人工的 65% 相差 5 个百分点以内。

作者指出的局限与后续方向

• 语境格式覆盖：General Unlocking 在攻击论文、防御方法、综述上验证，但技术博客、行业报告等其他格式未测（Section 7）。
• 防御不彻底：防御降低了 ASR 但未完全消除漏洞；作者称扩大训练数据可能得到更强的防御（Section 7）。
• 评审偏差风险：Knowledge Purification 可能把声明去语境化，使其看起来比原始语境下更有害，从而抬高害分（Section 7）。

实验覆盖范围

• 被测模型共 12 个：主实验 7 个前沿模型，医学模型 2 个，防御与机理实验用 Qwen3-8B、LLaMA-3-8B-IT，探测实验另含 Claude-Sonnet-3.7。
• 基准为 JailbreakBench（100 条、10 类）与 MedSafetyBench（100 条采样）；语境主题消融每组仅测 20 条查询、4 个模型（Table 1）。
• 评审偏差研究样本量为 20 条（Table 8）；探测实验对三个种子取平均，主实验论文未报告重复次数。
• 防御仅在 Qwen3-8B 与 LLaMA-3-8B-IT 两个开源模型上评测，未在商用模型上测防御。
• 论文未报告攻击的查询次数或 token 成本的具体数字，只在语境长度分析中提到以 Abstract+Method 平衡效果与 token 成本。

一篇多轮越狱攻击论文，同时给出机理分析与防御探索。

• 问题：作者称 LLM 对齐中 helpful/harmless 的张力形成"灰色地带"——领域语境选择性放松领域相关防护（Vertical Unlocking），安全研究语境则跨所有危害类别放松防护（General Unlocking）。
• 方法：JARGON 以真实安全研究论文为上下文，先做良性学术讨论建立 rapport，再把有害目标改写为论文框架内的案例请求，每次攻击生成 8 个变体取最高害分，成功轨迹入库供检索；全由 LLM 智能体自动化。
• 主结果：JailbreakBench 上对 GPT-5.2、Claude-4.5 系列、Gemini-3-Flash 等 7 个模型 ASR 93%–100%、平均 99.0%，最强基线 X-Teaming 平均 69.9%（Table 2）；医学模型 Meditron3-8B、BioMistral-7B 在 MedSafetyBench 上均为 100%（Table 7）。
• 机理：Qwen3-8B 激活投影显示攻击查询落在良性与有害之间的中间区域；注意力分析显示学术框架降低了敏感 token 的注意力权重（作者解读）。
• 防御：policy 防护把 Qwen3-8B 的 ASR 从 100% 降到 61%，LoRA 对齐微调降到 66% 且通用能力基本保持，但 LLaMA-3-8B-IT 在防护下出现过度拒答（Table 3）。
• 作者结论：安全研究语境构成独特风险，希望工作推动 context-aware 的对齐策略；作者承认防御不完全、其他语境格式未测。