研究提出基于收缩约束状态空间模型的有界可达性与越狱检测方法

能否认证已训练的 LTI SSM 分类器：l∞ 嵌入球内的扰动是否都给出同一预测。

• 场景：作者认为 Mamba、Jamba 等 SSM 会进入安全敏感部署，需要形式可认证的安全机制。响应级评审依赖拒答或顺从短语，无安全训练的基座没有结构化拒答；提示词级分类器只看输入，序列模型的形式鲁棒分析很少。
• 不足：前馈网可用 IBP 与 CROWN 逐层传区间。SSM 递推使一步扰动向后复合，长度 T 上至多放大 ||A||∞ 的 T 次方。||A||∞≥1 时，任意 δ>0 且 T 足够长，可达集可盖住决策边界两侧，认证变空。随机平滑只给概率保证，不能精确认证单例。
• 条件：引言先说区间是否有界取决于 A 的谱半径，随后把阈值写成最大行和范数 ||A||∞<1。作者称这是可认证与不可认证的分界：小于 1 时宽度收敛，≥1 时无界增长。
• 做法：作者给出玩具 LTI 命题：收缩对可达区间有界充分，且该界不依赖时间跨度是必要的；hinge 惩罚用于压低 ||A||∞。再把收缩正则的两层 S4 头用于 JBB 的提示词级检测。命题只适用于玩具 LTI（附录 B）；JBB 结果是特定基准与威胁模型下的经验主张（第 4 节）。
• 威胁模型：
  • 目标：标签对 l∞(δ) 球内一切嵌入序列不变。
  • 能力：每个 token 嵌入的每个坐标可独立偏移至多 δ。论文称这对应同义替换、改写和嵌入空间的小连续偏移；作用在嵌入序列上，不是离散 token。
  • 系统：玩具设定为 LTI 分类器。越狱设定为无安全训练的 Mamba-130M 嵌入表上的 S4 头，只读提示词、不见回复。
  • 体制：静态体制中模板预先固定、不适应检测器。自适应体制含嵌入梯度代理、只查询分数的黑盒和可取梯度的白盒。论文写明静态结果不保证对自适应对手成立。

状态空间模型

• S4 与 Mamba：Gu et al. (2021) 的 S4、Gu & Dao (2024) 的 Mamba，被论文称为在长序列上与 Transformer 有竞争力。Gu et al. (2022) 的对角实参数化与零阶保持离散化，被用来接通经典 LTI 稳定性。引言另提到 Jamba（Lieber et al., 2024）。

越狱检测与响应级评审

• JailbreakBench：Chao et al. (2024) 提供标准化越狱评测。本文以它为主基准，并用其中的 StringJudge、KeywordJudge 作协议参照：二者看回复、不看提示词。
• 响应级评审：LlamaGuard（Inan et al., 2023）与 GPT-4 评分器依赖模型输出。论文把字符串/关键词启发式归于 Zou et al. (2023)，称其更便宜，但脆且依赖回复。作者用这一点对比本文：头在提示词嵌入层分类，避开回复依赖。

形式鲁棒认证

• IBP 与 CROWN：Gowal et al. (2018) 与 Zhang et al. (2018) 在 lp 扰动下认证前馈网。论文称线性网上 IBP 精确，非线性网会引入松弛误差。
• 循环网络：Jacoby et al. (2020) 用不变式推断处理带非线性激活的有界 RNN，论文称这一方向相对不成熟。对 LTI，A+/A− 盒传播被写成等价于精确 IBP；收缩条件被比作前馈网的 1-Lipschitz 约束，二者都避免扰动幅度在计算图中被放大。
• 随机平滑：Cohen et al. (2019) 在引言中被用来对比：不依赖架构，但只有概率保证，不能精确认证单例。Jia et al. (2019) 只被用来说明嵌入扰动可对应词替换，论文未展开对比。

基于表示的分类

• Representation Engineering：论文归于 Zou et al. (2023)，在 LLM 隐状态上训练轻量分类器，没有形式鲁棒分析。作者称第 4 节的线性探针与此类似，其检测表现与「有害意图在预训练模型中线性可编码」一致。本文被定位为给分类器本身做认证，而不是主张更简单的基线里没有安全信号。

基线与基准：玩具基线是 λ=0 的无约束 LTI，数据为 Civil Comments/Jigsaw Unintended Bias（Borkan et al., 2019）。越狱基线为 StringJudge、KeywordJudge，以及同一 Mamba-130M 均值池化嵌入上的逻辑回归和 MLP；基准为 JailbreakBench、AdvBench、HarmBench。

作者把区别放在提示词级、不看回复，以及 LTI 设定下可精确计算的可达区间。判别力本身不被声称优于线性探针。

整体是一条 contraction-constrained SSM safety head：玩具部分把分类器写成线性时不变递推，用精确区间传播计算 l∞ 扰动下的可达 logit；训练时用 hinge 惩罚迫使 ||A||∞<1。越狱部分把同一惩罚接到两层对角 S4 头上。作者写明 Proposition 1 只覆盖玩具 LTI。

分类器与认证准则

• 递推：输入为嵌入序列 u1…uT，初态为 0。引言写 xt = A xt−1 + B ut，st = C xt + D ut，预测为 st>0。A、B、C、D 为无约束实参数；A 初始化为 0.9I 加 0.01 倍标准正态噪声。式 (1) 印成 xt = A xt + B ut，后文传播按 xt−1。
• 扰动球：对手对每个时刻的嵌入做 l∞(δ) 偏移。可达输出集是该球内一切 logit。因系统对每个 ut 线性，论文称该集是闭区间，可无松弛地精确计算。
• 认证：Proposition 1 写 y=1 时区间下端大于 0，y=0 时上端小于 0。Definition 2.2 把安全类印成 y=1，下文按命题。认证比例是正确分类样本中满足该准则的比例。未认证不等于典型扰动下会分错；论文称这是保守的最坏情况保证。
• 范围：把 δ 对应到具体文本编辑需要附录 B 的标定，且该标定不是形式保证。

精确盒传播

• 正负拆分：A = A+ + A−，正部取非负元，负部取非正元，C、D 同样拆。正项保持端点方向，负项对调端点。从零初态起按式 (3) 传播状态盒，新扰动以 ±δ||B||∞ 进入；||B||∞ 为行绝对值和。
• 精确性：论文称这对 LTI 无松弛误差。式 (4) 给出时刻 T 的输出区间；逐步应用得到可达管，即各时刻的输出区间。收缩系统的管会稳定，非收缩系统的管单调变宽。
• 不适用对象：附录 A.3 写明式 (3)(4) 的精确性只对文中 LTI 例子（N=8，d=32，T=64），不适用于非线性门控、选择机制或注意力。

收缩条件与训练惩罚

• 两股作用：每步 A 把已有宽度至多乘 ||A||∞，新输入至多再加宽 δ||B||∞。
• 命题：若 ||A||∞<1，状态盒半宽有稳态上界 r_∞ ≤ δ |B|_∞/(1−|A|_∞)。若 ||A||∞≥1，半宽至少按该范数的 t 次方增长，T 趋于无穷时无界。输出区间宽度不超过 2(||C||∞·rT + δ||D||∞)。附录 A.4 用半宽向量的几何级数给出证明概要。命题不规定间隔有多大。
• 损失：不直接投影 A，而加软惩罚 L=L_BCE+λ·relu(|A|_∞−1)。论文写 ||A||∞ 为最大行和；||A||∞>1 时，梯度为 λ·sign(Aij)，拉住达到最大行和的那一行；小于 1 时惩罚梯度为 0，不干扰 BCE。λ 控制推力。

S4 安全头

• 结构：两层对角 S4（Gu et al., 2022），零阶保持离散化。收缩惩罚加在离散化对角状态矩阵的 l∞ 范数上，论文写成各对角元的最大值。流水线为 Linear(768→64)、两层 S4（d=64，N=16）、LayerNorm、掩码均值池化、Linear(64→1)。实验参数量为 54,049。
• 输入：只查冻结的 Mamba-130M 嵌入表，不跑骨干前向。论文称 CPU 推理约 5 ms，头约增加 1 MB。只看提示词，是为了不依赖回复中的拒答短语，并在生成前检测。
• 分数：Remark 3.1 称最终分数是掩码均值状态的线性函数；同一池化向量得分相同。中间表示依赖顺序，两种表面改写是否得到同一向量不能解析推出。
• 与命题的关系：附录 C 写明第 3 节的可达性分析不直接迁到该头所接的非线性 Mamba 骨干。S4 头使用了收缩惩罚，但 JBB 上的检测数字不是盒传播认证。

实验设置

• 玩具模型：ToySSMClassifier，词表 3,000，嵌入维 32，状态维 8，T=64。训练 10,000 条，来自 Civil Comments/Jigsaw Unintended Bias；认证集 600 条留出。约束模型 λ=0.10，无约束 λ=0。Table 1 写二者 ||A||∞ 为 0.999 与 1.091。
• 扫描：δ 取 50 个对数间隔点，范围 [1e-5, 3e-2]；λ 扫 12 个值；正文还扫 8 个序列长度。Fig. 4 经高斯平滑（σ=1.5），约束模型的 overall 画 3 个种子的 min–max 带。Table 1 的 overall 为 3 种子均值±标准差；有毒/非有毒列未给标准差。
• 越狱数据：基座为无安全训练的 Mamba-130M。JBB 为 100 个有害行为、10 个危害类别；主评测是全测试划分、六类攻击族（direct、prefix injection、DAN、developer mode、roleplay、completion）。正文写良性集 80 条（30 条明显良性 + 50 条硬负例）；Figure 14 标 hard-negative n=70。dev 划分 50 条保留，论文未单列其指标。
• 训练规模：论文写 770 例，并列出 100 个 JBB goals、100 个 targets、200 个模板攻击 goals、172 个带脚本拒答的良性提示词。评测为 prompt-only，回复字符串为空。默认阈值 τ=0。
• 对照与指标：StringJudge、KeywordJudge 看回复。另有同一嵌入上的均值池化逻辑回归和 MLP。指标为认证比例、JDR/DR、AUROC、ASR、硬负例 FPR。检测不用 LLM 评审。论文未报告优化器、学习率、训练轮数和 S4 头的重复次数。
• 形式结果的位置：认证比例来自玩具 LTI。附录 C 写明该分析不直接用于 S4 头。

主结果

认证比例来自 Table 1。约束模型 ||A||∞=0.999，无约束为 1.091。± 只出现在全体列。

表格较宽，可左右滑动

设定（Table 1）	δ=1e-4	δ=5e-4	δ=1e-3	δ=2e-3
约束，全体	59.2%±0.24	36.9%±0.24	25.7%±0.16	12.7%±0.07
无约束，全体	41.0%	9.7%	0.3%	0%
约束，有毒	58.8%	23.5%	11.8%	5.9%
无约束，有毒	24.2%	6.1%	0%	0%

• 作者解读：摘要写认证比例从 41% 到 59%，与 δ=1e-4 的全体列对应。作者称该点相对增益为 44%，半径更大时间隙更明显，并称无约束模型在 δ=5e-4 之后不再认证；表中下一档全体列仍非零，再下一档才为 0。非有毒列见 Table 1，认证比例高于有毒列。
• 方差：作者称中间半径的种子标准差约 0.16–0.26，并联系到检查点敏感，以及正确分类的有毒样本较少。非有毒比例更高被联系到 pos weight 压缩有毒 logit；论文未给 pos weight 数值。
• 可达管：Figure 3 的正文给约束 ||A||∞=0.998、无约束 1.091，与 Table 1 的 0.999 不完全相同。作者称约束管在 T=64 前稳定，无约束管单调变宽并可跨过 0。

跨基准检测

表格较宽，可左右滑动

检测器	JBB	AdvBench	HarmBench
S4 头	JDR=1.0；AUROC 0.993 / 0.994	DR=0.994，AUROC=0.981	DR=0.988，AUROC=0.947
均值池化逻辑回归	AUROC=1.0；DR 未报告	DR=1.000，AUROC=1.000	DR=0.995，AUROC=1.000
StringJudge / KeywordJudge	JDR=0.0	未报告	未报告

JBB 的 JDR=1.0 与 AUROC=0.994 出自结论，针对全测试划分、静态威胁、六类攻击族。AUROC=0.993 出自第 4.1.1 节。AdvBench 为 517/520（漏检率 0.6%）。HarmBench 为漏 5/400（1.25%）。两处 JBB AUROC 论文未解释。

• 探针：作者称均值池化逻辑回归在三个基准上 AUROC=1.0，检测指标等于或高于 S4 头；MLP 也达到 AUROC=1.0。HarmBench 上 5.3 个 AUROC 点的差距，被作者集中到 copyright（漏检 3/100，3.0%）和 harassment/bullying（1/25，4.0%），其余类别漏检率 ≤1.5%。作者称这两类用词或语域与 JBB 训练集不一致。
• 协议对照：StringJudge 与 KeywordJudge 的 JDR=0.0 被作者称为协议不匹配：基座没有结构化拒答，不是检测性能对比。
• 另一组认证数字：第 4.1.1 节称收缩正则把认证比例从 41% 提到 68%，准确率基本持平，未给 δ。这与 Table 1 在 δ=1e-4 的 41.0% 对 59.2% 不一致。

自适应攻击

• 嵌入梯度代理：20 条 direct-attack，100 步，l2 球 ε=0.5，Adam 学习率 0.01。Figure 2：平均分从 3.681 到 3.675，前后 JDR=1.0，无样本越过 τ=0。作者称间隔（均值约 3.7）大于该预算，且时间积分会平滑局部扰动。图注称这是连续嵌入松弛，不是离散 token 攻击。
• 离散替换：黑盒 10 步、30 条 direct-attack，ASR=0.933；direct 的 JDR 降到 0.067，模板攻击 JDR 维持 1.0（Fig. 17）。白盒为 HotFlip 式梯度引导，10 步、top-5 位置：direct 上 ASR=1.0，DAN/roleplay 上 ASR=0.0；图注同时写黑盒 direct 的 ASR=0.933，两类攻击在 DAN/roleplay 上均为 0.0（Fig. 18）。附录 C.2 称模板包裹提示词不受两种攻击影响（ASR=0.000）。
• 阈值：硬负例在 τ=0 时 FPR=0.557；τ=2.46 时 FPR=0.010、JDR=0.990（附录 C.2）。论文未写明该 FPR 的分母。作者在结论中称 S4 头在 direct-attack 上可被上述自适应替换攻破。

表示、池化与投影

• 池化：Table 2 在 100 条有害 JBB + 100 条良性上做 5 折 CV。均值池化 AUROC 0.998（σ=0.002），最后非 pad token 0.718（σ=0.029），首 token 0.515（σ=0.025）。作者称有害/良性信号分布在全序列，不集中于单一位置。
• 分数分布：Figure 12 的正文称六类攻击的 logit 集中在 +2 到 +5，形状和均值接近；良性集中在约 −1.5。第 4.1.1 节另写良性均值 μ≈−1.5。
• 投影：Figure 14 为 768 维均值池化嵌入的 PCA，PC1=9.3%、PC2=5.0%，有害 n=100、易良性 n=30、硬负例 n=70。图注称沿探针法向的一维投影 AUROC=1.0，硬负例跨在边界上，与 FPR=0.557 一致。Figure 15 对四条提示词各画 200 个 l∞(0.8) 样本的投影。论文称这两张图不是形式认证界。

其他消融与分析

• λ：Fig. 8 扫 12 个值。作者称 ||A||∞=1 处、δ=1e-3 的认证呈阶跃；准确率持平或略升。
• 序列长度：Fig. 9（δ=1e-4，T 从 8 到 64）称无约束认证率在 T=32 降为 0，约束模型近乎平坦。Fig. 11（16 个点，T∈[4,128]）则写约束模型从 T=4 的 0.996 到 T=64 的 0.629 后进入平台，无约束从 0.992 到 0.421 后进入平台。两图对无约束模型的描述不一致。
• 增长扫参：Fig. 7 用 10 个 λ。作者称 ||A||∞>1 时，δ=1e-3 的认证比例降为 0，经验区间宽度在边界附近贴近解析界。
• 间隔：附录 A.3：正确分类的有毒样本平均干净 logit 为 0.14；δ=1e-3 时约束模型半宽多为 0.11–0.18。附录 B.4 写有毒样本平均干净 logit 约 0.14。
• 长度：Fig. 16 测 5–120 token、11 档。有害提示词在所测长度上分数保持大于 0；分数标准差在 5–15 token 最高。
• δ 标定：Fig. 5 被作者称为启发式，不是对具体 token 攻击的证书。δ=1e-4 低于平均错字对距离，δ=1e-3 到同义词对分布下端，δ=5e-3 与同义词分布重叠。作者另列三点：δ 球同时扰动所有位置；S4 有静态词对距离里没有的时间依赖；标定词表不是第 4 节的 Mamba-130M BPE。

作者指出的局限与后续方向

• 只对 LTI 精确：式 (3)(4) 的盒传播只对 LTI 精确（例子 N=8、d=32、T=64），不适用于非线性门控、选择机制或注意力。扩展需要给非线性激活加界，会引入如 CROWN 的松弛误差（附录 A.3）。
• 间隔而非界的松紧：认证率受 logit 间隔限制。正确分类的有毒样本平均干净 logit 为 0.14；δ=1e-3 时半宽 0.11–0.18，与间隔同量级。更多数据、更大模型或间隔最大化损失会提高间隔（附录 A.3）。
• 嵌入空间而非 token 空间：δ 球定义在 token 嵌入空间，不是字符或 token 空间。与分词器离散到连续映射复合，超出本文范围（附录 A.3）。
• 保守子集：认证集是真实鲁棒集的保守子集。未认证样本仍可能在球内全部分对，但盒传播不能证明。CROWN 风格的 LP 松弛或能在同一 δ 认证更多样本，计算更贵（附录 A.3）。
• 结论中的后续：在 token 替换样本上做对抗训练，以堵住 direct-attack 漏洞；在 copyright 与 harassment/bullying 上微调或重训，以缩小 HarmBench 的 AUROC 差距；把盒传播扩展到非线性 SSM（第 5 节）。

实验覆盖范围

• 玩具认证：Civil Comments/Jigsaw Unintended Bias，训练 10,000、认证集 600；词表 3,000、嵌入 32、状态 8、T=64。δ 为 50 个对数点，λ 为 12 个值；Table 1 的全体列为 3 个种子（附录 B）。
• 越狱检测：无安全训练的 Mamba-130M 嵌入表；JBB 100 个行为、10 类危害、六类攻击族。零样本迁移到 AdvBench（520）与 HarmBench（400）。训练规模论文写 770，并列四项为 100、100、200、172（第 4 节）。
• 自适应：嵌入空间代理梯度（20 条、100 步、l2 ε=0.5）、黑盒贪心替换与白盒梯度引导（各 10 步、30 条 direct-attack），以及模板族上的 ASR（第 4.2 节，Fig. 17–18）。
• 对照：StringJudge、KeywordJudge、均值池化逻辑回归、MLP，以及三种池化的 5 折 CV（Table 2，200 条）。阈值另报告 τ=0 与 τ=2.46。
• 认证数字的范围：来自玩具 LTI。论文写明该分析不直接迁到 S4 头所接的非线性 Mamba 骨干（附录 C）。论文未报告玩具模型与 S4 头的优化器、学习率、训练轮数，未报告 S4 头在指定 δ 下的认证比例，也未报告检测分数与人工判定的一致性。

给 SSM 安全头一个收缩条件，并在越狱检测上使用收缩正则的 S4 头。

• 问题：生成前的提示词级分类器缺少形式条件。作者问的是，l∞ 嵌入球内的预测能否对所有扰动保持不变。
• 方法：玩具分类器是线性时不变递推。A 拆成正负部后做精确区间传播；||A||∞<1 时稳态半宽有上界。hinge 惩罚在训练中把该范数压到 1 以下。S4 头为两层对角结构，查 Mamba-130M 嵌入表，掩码均值池化后线性打分，阈值 0。作者写明命题不直接迁到该非线性骨干。
• 玩具认证：Table 1 在 δ=1e-4 报告约束模型全体认证比例 59.2%（±0.24），无约束 41.0%。δ=2e-3 时前者 12.7%，后者 0%。摘要的 41% 到 59% 对应这一半径；第 4.1.1 节另写 41% 到 68%，未给 δ。
• 检测：结论称 JBB 全测试集、静态威胁、六类攻击上 S4 头 JDR=1.0，AUROC=0.994；第 4.1.1 节的 JBB AUROC 为 0.993。零样本 AdvBench DR=0.994（517/520），HarmBench DR=0.988（漏 5/400）。均值池化逻辑回归在三个基准上 AUROC=1.0。
• 自适应：direct-attack 上黑盒 ASR=0.933、白盒 ASR=1.0；模板族 ASR=0.000。硬负例在 τ=0 时 FPR=0.557。
• 作者结论：嵌入空间已经线性可分，循环结构对判别不是必需的；S4 头的贡献被写成在指定半径上验证分类。同时，直接攻击在自适应体制下可被替换攻破，精确盒传播只在玩具 LTI 上成立。