跳到正文
原文

LLM 推理中的叙事悖论：将推理轨迹引向失准

Narrative Paradoxes in LLM Inference: Shaping Reasoning Trajectories toward Misalignment

arXiv：越狱、提示注入、投毒与防御· arXiv:2610.16312· NeurIPS 2026· Haoming Yang, Ke Ma, Yangbangyan Jiang, Ligong Zhang, Xiaojun Jia, Longtao Huang, Yingfei Sun, Qianqian Xu, Qingming HuangSchool of Electronic, Electrical and Communication Engineering, UCAS; School of Computer Science and Technology, UCAS; Nanyang Technological University; Alibaba Group; State Key Laboratory of AI Safety, Institute of Computing Technology, CAS; Beijing Academy of Artificial Intelligence本站收录· 29 天前· 原文发表攻击
#越狱与攻击

论文速读

攻击

据论文 PDF 整理（AI 生成），以原文为准

PDRA用悖论叙事引导三阶段推理，AdvBench八模型平均ASR为96.5%（Table 1）。

威胁模型单轮black-box。攻击者不需要参数访问、示范控制或中间输出操控，可用助手模型把受限目标G写成叙事分析，使安全对齐LLM在局部连贯推理中生成与G对应的有害内容。

问题
显式多步推理在局部连贯时仍可能重建受限目标。作者认为现有越狱多改表面形式，输入过滤和输出审查又较少约束推理轨迹。
方法
助手模型为有害目标配对恶意角色与表面良性任务，形成悖论叙事核，再强制表面目的、潜在意图和操作重建三阶段分析。单轮black-box，无梯度，不访问参数。
实验与结果
AdvBench平均ASR为96.5%（PDRA）与90.9%（ICRT，Table 1）。Qwen3-8B上ICRT为99.8%，PDRA为98.8%。IA下GPT-4o为13.9%（Table 3）。
局限与可以继续做的
作者指出效果依赖模型是否走完多阶段分析，IA与STAIR削弱更大，机制证据仍属相关。实验为单轮black-box；正文未给出SAFECHAIN的ASR与人工一致性。
实验设置Chatglm3-6B、Llama2-7B 等 · AdvBench、JailbreakBench 等 · ASR、StrongREJECT 等
威胁模型
单轮black-box。攻击者不需要参数访问、示范控制或中间输出操控，可用助手模型把受限目标G写成叙事分析，使安全对齐LLM在局部连贯推理中生成与G对应的有害内容。成功由LLM判为jailbreak，并辅以人工核验。
被测模型
Chatglm3-6BLlama2-7BVicuna-13B-v1.5Qwen2-7B-instructQwen3-8BQwen3-14BQwen3-235BQwen3-maxGPT-3.5-turboGPT-4oo3-miniGPT-5.2GPT-5.4-miniDeepSeek-R1Gemini-2.5-pro
基准
AdvBenchJailbreakBenchStrongREJECTAdvBench-subsetTruthfulQA
指标
ASRStrongREJECTCC-BOS ASREloHodgeRankRank Centrality
AI 导读研究者提出 PDRA（Paradox-driven Reasoning-based Attack），用悖论叙事把恶意行为者与良性任务配对，引导 LLM 在保持叙事连贯的同时生成长篇有害内容。该方法把叙事核心嵌入一个强制三段式分析框架，依次经过表面目的、潜在意图与操作重建，从而程序化地塑造有害推理轨迹。机制上，作者称 PDRA 使模型内部表示偏离拒答相关模式，抑制安全触发词汇并激活规划类词汇。作者称 PDRA 在多款 LLM 上取得最高攻击成功率，且效率较高。论文摘要提示内容可能敏感。

研究者提出 PDRA（Paradox-driven Reasoning-based Attack），用悖论叙事把恶意行为者与良性任务配对，引导 LLM 在保持叙事连贯的同时生成长篇有害内容。该方法把叙事核心嵌入一个强制三段式分析框架，依次经过表面目的、潜在意图与操作重建，从而程序化地塑造有害推理轨迹。机制上，作者称 PDRA 使模型内部表示偏离拒答相关模式，抑制安全触发词汇并激活规划类词汇。作者称 PDRA 在多款 LLM 上取得最高攻击成功率，且效率较高。论文摘要提示内容可能敏感。

相关热点

1 个事件 · 0 条新闻提到

深度解读

6个问题，点开问题读完整回答

  1. 这篇论文试图解决什么问题？

    作者要解决多步推理本身的安全缺口，并用黑盒方法PDRA编程有害推理轨迹。

    多步推理可以逐步保持局部连贯，却在累积后导出有害结果；作者认为现有安全主要盯输入和最终输出。

    • 场景：作者认为显式推理常与可靠性连在一起，但模型仍可能在良性语境下推出有害目标。作者称要保证的是多步推理本身：局部连贯的思维链不导向全局有害结果，而这一检查尚未成为部署系统的常规部分。
    • 现有不足：作者把既有越狱概括为提示工程、语义混淆和自动优化，并称它们含异常词元、不自然的语言或显式有害意图，容易被演进中的安全机制发现。
    • 假设：可以让每一步看起来都正当，累积轨迹却执行有害议程，从而不必依赖显眼的对抗词元。
    • 方法：作者提出无梯度的 PDRA，用恶意角色与良性载体任务构成悖论叙事核，再强制表面目的、潜在意图、操作重建三阶段分析。
    • 威胁模型：
      • 目标：给定受限目标 G，使模型产出与 G 对齐的详细有害内容。
      • 知识：单轮 black-box；不需要示范控制、参数访问或中间输出操控。
      • 能力：助手语言模型选择角色和载体任务，并把叙事核嵌入分析框架；不使用梯度搜索。
      • 受害系统：安全对齐的 LLM。成功指引出有害回复；主指标 ASR 由 LLM 评审，并辅以人工核验。

  2. 有哪些相关研究？

    相关工作分表面越狱与推理过程攻击；作者把PDRA定位为单轮黑盒的轨迹塑造。

    作者把已有攻击分成改写请求表面，以及干预推理过程两类，并把 PDRA 放在后者的单轮 black-box 设置里。

    表面形式的越狱

    • 早期手工构造：角色扮演、多轮对话或编码混淆。作者称这类方法常要人工，可扩展性有限。
    • 自动搜索：GCG（Zou 等，2023）、AutoDAN（Liu 等，2024）、GPTFuzzer（Yu 等，2023）用梯度搜索、遗传算法或迭代搜索生成对抗提示。作者称计算成本高，且在 black-box 下不稳定。
    • 显眼性：引言把策略概括为提示工程、语义混淆（密码、翻译、符号替换）和自动优化，并称它们含异常词元、不自然的语言或显式有害意图。

    辅助模型与推理过程

    • PAIR 与 TAP：Chao 等（2025）、Mehrotra 等（2024）用辅助 LLM 生成并精炼越狱提示。作者称它们没有系统引导推理轨迹。
    • BadChain：Xiang 等（2024）在 few-shot CoT 示范中插入带后门的推理步骤，以改变最终答案。
    • 方向干预与 SEED：Yamaguchi 等（2025）识别与 CoT 相关的内部安全方向并干预这些方向；Peng 等（2025）的 SEED 在早期步骤注入细微错误，使后续推理级联失败。

    输入输出防护

    • 对齐训练：引言提到 RLHF（Christiano 等，2017）和 Llama Guard（Inan 等，2023）。作者称这些努力之后，模型仍会被构造过的输入绕过。
    • 过滤与示范：Qi 等（2024）、Jain 等（2023）、Wei 等（2023）被用来代表审查输入、过滤输出和少量上下文防护。作者称推理轨迹还不是常规监控对象。
    • 推理安全引用：引言把多步推理安全指向 Kuo 等（2025）、Wang 等（2024）和 Zhang 等（2025），并称局部连贯却全局有害仍是尚未充分研究的挑战。

    基线与基准

    • 攻击基线：Multilingual、GCG、AutoDAN、Cipher、DeepInception、AMA、DrAttack、GPTFuzz、ICRT。防御对照为 PPL Filter、Llama Guard 3、ICD、Self-Reminder、IA、STAIR、SAFECHAIN。
    • 数据：AdvBench、JailbreakBench、StrongREJECT，以及 AdvBench-subset。机制探针的有害锚为 AdvBench，良性锚为 TruthfulQA。

    作者在 Related Work 中把 PDRA 与上述推理攻击分开：对象是安全对齐 LLM，单轮 black-box，不需要示范控制、参数访问或中间输出操控。附录 A 称模型处于外部分析者位置，而不是扮演恶意角色；并与 DeepInception 的虚构情境、DrAttack 的请求分解，以及 few-shot 或多轮方法区分。作者称其攻击面是推理轨迹本身。

  3. 论文如何解决这个问题？

    PDRA用恶意角色与良性任务构成悖论，再以三阶段分析把推理引向操作化重建。

    PDRA 把受限目标 G 编译成单轮提示：先建悖论叙事核，再套三阶段分析。作者称它编程的是推理轨迹，而不是对抗词元或表面混淆。

    问题设定与构造流程

    • 输入输出：输入为受限有害目标 G，输出为越狱提示。Figure 1 为选择恶意角色 R* 与良性载体任务 T*，再进入强制三阶段分析。
    • 作者给出的缺口：输入过滤和输出审查较多，内部推理轨迹尚未成为部署系统的常规监控。设计目标是每步局部良性、累积后有害。
    • 三个耦合部分：安全认知入口、悖论叙事驱动、用于消解悖论的结构化框架。论文未给出候选集规模、温度或迭代次数。

    悖论叙事核

    • 角色：助手模型 M（文中示例 Qwen3-8B）生成动机与 G 对齐的候选角色，再按对齐强度和叙事合理性选出 R*。
    • 载体任务：再生成表面与 G 相反的任务，要求良性、社会可接受、通常需要详细规划，且 R* 有可能去做。按认知失调和任务良性程度选出 T*，以加大叙事张力。
    • 作者的解释：该组合把直接索要有害内容改写成对角色行为或动机的分析，从而降低输入阶段的防御警觉。论文给出了包装句式，此处不复述。

    三阶段分析框架

    • 表面目的：先分析良性任务的公开目标，把起点放在无争议分析上。作者称这样避免过早触发安全机制。
    • 潜在意图：把 G 作为关于角色动机的叙事事实或心理推断重新引入。作者称模型此时像行为分析者，而不是任务执行者。
    • 操作重建：根据已推断动机，推理该角色会如何逐步推进表面任务。作者称为保持与前文一致，模型会写出步骤；这些步骤形式上对应 T*，操作上等价于实现 G 的指南。
    • 组件关系：作者称框架像认知轨道，每步局部可辩护。悖论单独使用会陷入僵局并可能拒绝；作者称框架提供走出该僵局的逻辑出口。作者称去掉任一组件后 ASR 下降（第 4.3 节、Table 5）。

    表示与词表探针

    • 拒绝方向：取最后 token 在层 l 的隐藏状态。有害锚为 AdvBench，良性锚为 TruthfulQA。拒绝方向是两锚层均值之差再归一化，v(l)=(μharm(l)−μben(l))/||μharm(l)−μben(l)||2。拒绝对齐分数是中心化表示与该方向的余弦，R(l)(x)=cos(h̃(l)(x), v(l))。作者称高分更可能触发拒绝。分析集中在中后层；附录 E 展示 Layers 17–25。
    • 词表投影：把相对良性锚的表示偏移投影到 LM head，看被抬高的 token。作者用它解释拒绝词与规划词的相对激活。分布描述放在第 4 问。

    成功判定

    • ASR：成功引出有害回复的提示所占百分比。附录 G 的评审提示用于 GPT-4o，只输出 jailbreak 或 reject；作者称另做人工核验。
    • 有害性：一名助手 LLM 对同一目标的成功输出做两两比较，再用 Elo、HodgeRank、Rank Centrality 聚合。论文未说明该比较所用模型名。

  4. 论文做了哪些实验？

    AdvBench平均ASR为96.5%；仅Qwen3-8B上ICRT更高，IA下GPT-4o降至13.9%。

    实验设置

    • 目标模型：4.1 节列出 Chatglm3-6B、Llama2-7B、Vicuna-13B-v1.5、Qwen2-7B-instruct、Qwen3-8B，以及 Qwen3-235B、Qwen3-max、GPT-3.5-turbo、GPT-4o、o3-mini、GPT-5.2、GPT-5.4-mini、DeepSeek-R1、Gemini-2.5-pro。Table 5 还报告 Qwen3-14B。各模型用默认系统提示和采样配置。Table 1 写作 Llama2-7B-Chat、CHATGLM3。
    • 助手模型：默认示例为 Qwen3-8B，因此它也是目标模型之一；Table 1 报告的是其作为目标的 ASR。Table 5 另比较 Qwen3-14B、Qwen3-235B 作为助手。
    • 基准与基线：AdvBench、JailbreakBench、StrongREJECT，正文另用 AdvBench-subset。论文未写条数。基线为 Multilingual、GCG、AutoDAN、Cipher、DeepInception、AMA、DrAttack、GPTFuzz、ICRT；Table 4 的 CC-BOS 列还含 PAIR。
    • 防御：输入过滤为 PPL Filter、Llama Guard 3；自对齐为 ICD、Self-Reminder；推理约束为 IA、STAIR、SAFECHAIN。均用推荐默认配置。
    • 指标：ASR 为成功引出有害回复的提示百分比。另有 StrongREJECT 分数、CC-BOS ASR，以及 Elo、HodgeRank、Rank Centrality。Table 7 为生成一条可部署提示的平均时间。
    • 评审：LLM 自动评判，并做人工核验。附录 G 的提示用于 GPT-4o，只输出 jailbreak 或 reject。论文未报告人工样本量、一致性、重复次数、温度和对目标模型的查询次数。

    主结果

    据 Table 1，AdvBench 上的 ASR（%）。ICRT 在多数行次高，故作对照列。

    目标模型PDRAICRT
    Llama2-7B-Chat87.361.5
    GPT-4o96.392.7
    Qwen3-235B95.294.2
    GPT-3.5-turbo99.892.3
    DeepSeek-R196.295.8
    Qwen3-8B98.899.8
    CHATGLM399.292.1
    Vicuna-13B-v1.599.498.5
    • 平均：Table 1 平均行为 PDRA 96.5%、ICRT 90.9%、DrAttack 60.3%、DeepInception 53.0%、AutoDAN 45.7%、GPTFuzz 42.5%、Cipher 38.4%、Multilingual 5.0%、GCG 3.8%。作者称该平均高于全部基线。逐行仅 Qwen3-8B 的 ICRT 高于 PDRA。
    • 作者的总括：贡献部分作者称在成功率、输出有害性和对防御的稳健性上达到新的 state-of-the-art。Table 3 有若干防御行 ICRT 更高，见下节。

    其他基准

    • Table 2（ASR，%）：StrongREJECT 基准上 GPT-3.5 98、DeepSeek 98、GPT-4o 93、GPT-5.2 87、Qwen3 97；JailbreakBench 上 99、100、97、82、99。正文讨论时把 DeepSeek 写成 DeepSeek-R1；表头未写版本，也未写 Qwen3 规模。
    • Table 6（JailbreakBench）：GPT-3.5、DeepSeek-R1、Vicuna-13b 上 PDRA 为 99、100、100；AutoDAN 为 75、78、98，GPTFuzz 为 25、25、68，Cipher 为 13、70、80，DeepInception 为 64、68、82。
    • Table 8：图注写 AdvBench，正文称 AdvBench-subset。o3-mini、gpt-5.2、gemini、qwen3 上 DrAttack 为 44、2、8、2，AMA 为 0、20、16、14，PDRA 为 100、86、90、100，平均 14.0、12.5、94.0。论文未说明这些简称是否对应 4.1 节全名。作者称此处仍高于多轮与间接基线。

    防御设置

    • 表面过滤：Table 3 六个模型上，PPL Filter 与 Llama Guard 3 下 PDRA 的 ASR 与对应 No Defence 相同。作者称提示用词自然、语义连贯，缺少这些防御所针对的统计异常或显式有害关键词。Table 3 中 GPT-4o 无防御的 PDRA 为 96.4，与 Table 1 的 96.3 不同；以下数字均据 Table 3。
    • IA：PDRA 为 DeepSeek-R1 24.6、Vicuna-13b-v1.5 77.5、GPT-3.5-Turbo 83.1、Qwen3-235B 80.4、ChatGLM3-6B 97.7、GPT-4o 13.9。相对 No Defence，ChatGLM3-6B 从 99.2 到 97.7，降幅小于 GPT-4o。作者称 IA、STAIR 比 ICD、PPL Filter、Llama Guard 削弱更多。Figure 4 是 Qwen2-7B 在白盒 STAIR 下的 AdvBench ASR，正文未给数值。
    • 并非每行最高：GPT-4o 的 ICD 下 ICRT 70.4、PDRA 62.3；Self-Reminder 下 ICRT 66.9、PDRA 64.4。Vicuna 的 Self-Reminder 下 ICRT 92.7、PDRA 90.6。ICD 下 PDRA 另为 DeepSeek-R1 76.9、GPT-3.5-Turbo 80.8、Qwen3-235B 94.2、ChatGLM3-6B 97.7、Vicuna 90.0。SAFECHAIN 被列入设置，正文未报告 ASR。

    有害性与耗时

    • Table 4（AdvBench-subset）：StrongREJECT 分数，GPT-4o 为 DeepInception 0.21、DrAttack 0.53、Ours 0.71；DeepSeek 为 0.59、0.56、0.85；Qwen3 为 0.61、0.69、0.86。CC-BOS ASR（%），GPT-4o 为 GPTFuzz 12、PAIR 0、Ours 88；DeepSeek 为 24、8、86；Qwen3 为 2、0、98。作者称两项都高于同表基线。表中 DeepSeek、Qwen3 未写版本。
    • 排序：作者称 Figure 5 中 Elo、HodgeRank、RankCentrality 都把 PDRA 排在最前，基线序号为 DrAttack、DeepInception、AutoDAN、Cipher、GPTFuzz。正文未给 Elo 分数。两两比较的裁判是一名助手 LLM，论文未给出模型名。
    • 耗时：Table 7 从初始有害目标生成一条可部署提示的平均时间，PDRA 22.6 秒，AutoDAN 25.9 秒，GPTFuzz 207.7 秒，GCG 756.6 秒。作者称比 GCG 快一个数量级。

    其他消融与分析

    • 助手规模（Table 5，AdvBench-subset）：助手为 Qwen3-8B、Qwen3-14B、Qwen3-235B 时，GPT-4o 均为 98，Qwen3-14B 行为 98、100、98，DeepSeek-R1 行为 98、100、98。作者称稳定在 98–100%，并称效果主要来自构造而非更大助手模型。
    • 组件（Table 5）：去掉 Anchoring、Wrapping、Guidance，GPT-4o 为 72、18、2（Full 98），Qwen3-14B 为 28、78、48（Full 100），DeepSeek-R1 为 84、66、20（Full 100）。作者称三者都必要；降幅最大的组件随行变化。三者分别对应角色选择、任务选择和三阶段框架。
    • 机制（Figure 2、附录 E）：作者称中后层 R(l) 更接近良性提示、远离 GCG 与 AutoDAN，未给分数。基线 top-30 投影含 sorry、unfortunately；PDRA 为 answer、he、what、first。附录 E 写 Layers 17–25 上 Harmful 与 GCG 更高、AutoDAN 居中、Ours 更接近 Benign，未给分数。
    • 类别（Figure 3）：Qwen、DeepSeek-R1、GPT-3.5、GPT-4o 上 10 类的雷达图，蓝色为 PDRA，其余为 GPTFuzz、AutoDAN、DrAttack、ICRT。作者称各类都高；正文无各类数值。

  5. 有什么可以进一步探索的点？

    作者指出效果依赖模型走完多阶段分析，机制证据仍是相关而非因果。

    作者指出的局限与后续方向

    • 路径依赖：效果取决于目标模型是否愿意沿设计好的多阶段分析继续；推理被约束或打断、拒绝做潜在意图推断、或使用推理级防御时，ASR 会下降（附录 F）。作者称这与 Table 3、Figure 4 中 IA、STAIR 比 ICD、PPL Filter、Llama Guard 削弱更多相一致。
    • 边界：效果依赖模型遵循叙事连贯、多阶段分析指令和隐性动机推断的倾向（附录 F）。
    • 失败形态：模型可能识别伪装结构，在早期判断请求从表层分析走向隐藏意图再走向操作规划后，约束后续推理并拒答，轨迹被中断（附录 F）。
    • 助手模型：叙事核的生成、选择和框架组织依赖助手模型，增加系统复杂度，并可能受其分布、模板和生成偏好影响（附录 F）。
    • 机制证据：表示对齐和词表激活是代理信号。作者称它们可解释，但并不完全等同于内部安全决策，更细的因果分析仍待做（附录 F）。
    • 后续：附录 F 提出扩大到多语言与跨域、长上下文与多轮、工具使用或智能体任务，并建立评估推理过程中风险如何变化的轨迹级基准；防御上考虑分阶段监控、推理时约束、过程风险评分、推理状态正则、动态拒绝和针对渐进重构的对齐训练，以及激活修补、受控扰动和分阶段中断。结论同样写未来防御应更早检查，并持续约束中间状态与轨迹演化。

    实验覆盖范围

    • 模型：4.1 节列出 Chatglm3-6B、Llama2-7B、Vicuna-13B-v1.5、Qwen2-7B-instruct、Qwen3-8B、Qwen3-235B、Qwen3-max、GPT-3.5-turbo、GPT-4o、o3-mini、GPT-5.2、GPT-5.4-mini、DeepSeek-R1、Gemini-2.5-pro；Table 5 另有 Qwen3-14B。结果表未出现 GPT-5.4-mini 这一名称，也未以 Qwen3-max 全名报告。
    • 数据与协议：基准为 AdvBench、JailbreakBench、StrongREJECT 和正文中的 AdvBench-subset；Figure 3 为 AdvBench 的 10 类、四个模型。攻击为单轮 black-box、无梯度；各模型使用默认系统提示和采样配置。
    • 防御数字：Table 3 报告 No Defence、ICD、PPL Filter、Self-Reminder、Llama Guard 3、IA；Figure 4 为 Qwen2-7B 上的 STAIR。Defense Settings 列入 SAFECHAIN，正文未报告其 ASR。
    • 评审与预算：ASR 评审提示用于 GPT-4o，输出 jailbreak 或 reject，并称做了人工核验。论文未报告人工样本量、一致性、重复次数、温度、各基准条数，以及对目标模型的查询次数。有害性排序的助手 LLM 未具名。
    • 探针：有害锚 AdvBench、良性锚 TruthfulQA，关注中后层；附录 E 描述 Layers 17–25。默认助手模型示例为 Qwen3-8B，Table 5 比较了 Qwen3-14B 与 Qwen3-235B。

  6. 总结一下论文的主要内容

    PDRA以悖论叙事约束推理顺序，AdvBench平均ASR为96.5%，作者认为应监控中间状态。

    PDRA 是面向安全对齐 LLM 的单轮 black-box 越狱：用叙事悖论和固定分析顺序，把推理从表面良性任务推到与受限目标对应的步骤。

    • 问题：作者认为显式推理不等于安全。关注的是局部连贯的分析仍可能重建受限目标；作者认为主流防护更多放在输入和最终输出。
    • 方法：助手模型为有害目标选择动机相合的恶意角色，以及表面良性、通常需要详细规划的载体任务。三阶段框架依次处理公开目的、隐藏意图，以及该角色会如何推进任务。作者称角色锚定意图，任务降低入口处的拒绝，框架控制轨迹。无梯度，不访问参数。
    • 主结果：AdvBench 上八个目标模型的平均 ASR，PDRA 为 96.5%，ICRT 为 90.9%（Table 1）。Llama2-7B-Chat 上 PDRA 为 87.3%；Qwen3-8B 上 ICRT 为 99.8%，高于 PDRA 的 98.8%。
    • 防御与输出：Table 3 中 PPL Filter 与 Llama Guard 3 下 PDRA 等于无防御；IA 下 GPT-4o 为 13.9%，ChatGLM3-6B 为 97.7%。AdvBench-subset 上 GPT-4o 的 StrongREJECT 分数，PDRA 为 0.71（Table 4）。生成一条提示平均 22.6 秒（Table 7）。
    • 作者结论：作者认为只靠表面触发的防护不足以应对推理轨迹攻击，后续应持续监控并约束中间推理状态和轨迹演化。机制上，作者称中后层表示更接近良性提示，拒绝相关词被压低、规划相关词被抬高；附录 F 把该证据写成代理信号，因果验证留作后续。

相关论文

共同使用 AdvBench-subset
共同使用 StrongREJECT
再看 3 篇
共同使用 StrongREJECT
阅读原文NeurIPS 2026