多流扰动攻击：通过并发任务干扰突破思考型 LLM 的安全对齐

thinking模式处理交织多任务时，安全拒绝和推理稳定性会一起受到冲击。

• 场景：thinking模式在给答案前逐步推理。作者称，越狱时这一过程可能生成更详细的有害内容；o1系列、DeepSeek-R1、Qwen3、Gemini已采用该模式（第1节）。
• 现有做法：作者称SFT、RLHF、DPO仍挡不住越狱。白盒攻击要权重或梯度，难用于闭源模型；黑盒攻击只访问接口，并不断改提示词以绕过安全机制。
• 观察：预实验中，多任务交织提示词使thinking模式的思考变长。作者把逐步推理本身看成攻击面，并称内容安全与思考稳定性会同时受威胁。
• 威胁模型：
  • 目标：构造q_perturb，使thinking模式目标模型绕过安全机制并输出有害回复r_harm，或使推理崩溃（第3.1节）。
  • 能力：把有害任务与k个良性辅助任务按词拆开，交织进同一提示词。论文未写可访问权重或梯度。
  • 知识：既有方法被分为white-box与black-box；本文方法未被贴上这两类标签。
  • 受害系统：能独立、稳定输出思考内容的thinking模式LLM。ChatGPT o1与Grok被排除在定量思考分析之外。
• 本文做法：提出多流扰动攻击，含多流交织（MS）、反转扰动（MS_Reverse）和形状变换（MS_Structure）。

推理与thinking模式

• CoT（Wei et al., 2022; Kojima et al., 2022）用提示词引导逐步思考；其后有self-critique、plan-and-solve、多智能体辩论和tree-of-thought。
• o1（Jaech et al., 2024）把thinking做进训练。Li et al. [2025]将这类模型称为thinking models（LRMs）。DeepSeek-R1、Kimi-2、QwQ用强化学习打磨思考过程。
• Qwen3（Yang et al., 2025）把thinking模式与standard模式放进同一模型，并用thinking budget按任务复杂度调节思考深度。

白盒越狱

• GCG（Zou et al., 2023）用贪心坐标梯度生成后缀；AutoDAN（Liu et al., 2024）用分层遗传算法优化人工初始化后缀。MAC、Probe-Sampling、IRIS、AmpleGCG分别从动量、草稿模型、拒绝向量损失和生成式后缀分布改进梯度攻击。
• 论文写明：梯度方法需要white-box访问，在闭源模型上应用受限。

黑盒越狱

• PAIR（Chao et al., 2025）用攻击者LLM迭代改提示词；TAP用树搜索；GPTFuzzer用模糊测试优化种子模板；AutoDAN-Turbo用终身学习演化策略。
• JAIL-CON（Jiang et al., 2025）把有害任务与良性任务逐词交织，并用带shadow judge的迭代框架提高ASR。
• FlipAttack（Liu et al., 2025b）翻转字符以伪装有害请求、干扰关键词检测。论文写明：FlipAttack反转有害词；MS_Reverse反转良性词，以增加解码负担，并在多流框架里形成叠加干扰。

基线与基准

• 实验基线为GCG、PAIR、AutoDAN、AutoDAN-Turbo、JAIL-CON、FlipAttack。第4.1节写five，随后列出这六种。基准为JailbreakBench、AdvBench、HarmBench。

作者的定位是：与JAIL-CON和FlipAttack不同，多流扰动把二者思路合在一起，专门针对thinking模式，并称可触发standard模式中不出现的思考崩溃与重复输出。

多流扰动攻击（multi-stream perturbation attack）在一条提示词里交织多条任务流，制造叠加干扰，同时冲击内容安全与推理稳定性。第3.1节末写four specific perturbation strategies，第3.2节实际定义三种。

问题设定

• 输入是有害任务q_harm与k个良性辅助任务。按词拆开后，用分隔符标记不同任务流，迫使模型同时解析多条任务。
• 目标有两条：绕过安全机制生成有害回复，或使推理崩溃。
• 良性任务池T_aux取自JailbreakBench的良性任务，主题包括教育、科学、技术；附录B给了代表性样本。论文未写实验里实际使用的k。
• 论文未把该方法写成对目标模型的迭代查询，也未报告查询次数。

三种扰动

• MS：有害任务与多个良性辅助任务逐词交织，任务流用不同分隔符（如{·}、[·]）标记。作者称这迫使模型同时解析多条语义路径。
• MS_Reverse：正文与公式写的是在多流框架内对辅助任务每个词做字符级反转，有害词保持原序。作者称模型仍能靠去噪理解反转词，同时解码负担上升。Figure 1的MS_Reverse示例相反：方括号里被反转的是有害任务词，括号外良性词未反转。公式只画出一条辅助流。
• MS_Structure：在MS上加三角形输出约束，第i行含i个字符。作者称这把注意力再分到内容生成、多流解析和格式控制上。

作者给出的机制解释

第3.1节从三点解释为何thinking模式上更有效，这些是解释，不是测量结果。

• 认知资源：模型要解析任务边界、维持多份语义表示并切换注意力。作者认为并发任务增多后，可用于安全检测的计算资源下降，并引用Bronkhorst [2015]。
• 检测逻辑：作者称现有对齐主要依赖完整、有序文本做有害性判断；良性词与有害词交替会破坏有害意图的序列完整性。
• 逐步推理：作者称“细节优先”的训练目标会拉出超长思考，并把推理用于为有害回复构造合理化论证；逐步误差累积则使崩溃或循环输出上升。引用Zheng and Meister [2025]关于人类信息处理速度上限的论述。

思考侧与成功判定的设计

• 三种策略分别从并发任务数、字符反转、格式约束干扰思考。论文把失败形态定义为思考崩溃和回复重复，并称二者不出现在standard模式。
• 思考崩溃：思考内容出现大量重复串或达到输出上限，且没有生成任何答案。回复重复：回复过程出现大量重复，直到输出上限。
• ASR是成功样本占被攻击样本的比例；具体评审放在实验设置。附录Figure 10、11给出崩溃与重复示例，此处不引原文。

实验设置

• 被攻击模型：Qwen3 1.7B、Qwen3 4B、Qwen3 8B（本地），以及API模型DeepSeek、Qwen3-Max、Gemini 2.5 Flash。作者称o1的思考内容经后处理、Grok只显示思考时间，故未做思考过程定量。
• 生成设置：官方建议的最大思考长度：Qwen3系列32,768 tokens，Gemini 2.5 Flash 24,576 tokens。温度：Qwen3系列0.6，DeepSeek 1.0，Qwen3-Max 0.7，Gemini 2.5 Flash 1.0（附录A）。
• 数据与基线：JailbreakBench、AdvBench、HarmBench。论文未报告各基准攻击样本量。基线为GCG、PAIR、AutoDAN、AutoDAN-Turbo、JAIL-CON、FlipAttack。Figure 2比较七种方法；Figure 3只在JailbreakBench上比较五种（不含JAIL-CON、FlipAttack）。
• ASR评审：附录C.4选用Qwen3Guard 4B计算ASR。该模型做Safe–Controversial–Unsafe三级分类；论文未说明Controversial是否计为攻击成功，也未报告ASR重复次数。附录A写标准误可作为t检验基础，正文未报告检验结果。
• 思考指标：Len-T为思考长度均值±标准误。TCR、RRR定义见第3问。Figure 2实线为standard mode、虚线为thinking mode；Figure 3对比Non-thinking与Thinking。
• 检测数据：挑战集358条（195安全、163有害），常规集720条（489有害、231安全）。挑战集先由多个LLM多数投票，再人工筛选；论文未报告投票模型名单和人工一致性。

主结果

作者称MS_Reverse在三个基准、standard与thinking两种模式下ASR高于基线，且跨规模保持高ASR（Figure 2）。Figure 3上，作者称DeepSeek两种模式ASR最高，Qwen3-Max仅thinking模式最高，Gemini 2.5 Flash居前列，并称Qwen3-Max总体ASR相对更低、安全对齐更强。结论写某些模型ASR超过90%，未指明模型与基准。图中柱高在所给文本里不可读，下表不填ASR。

下表为MS_Reverse的TCR与RRR，单位为百分数，据Table 6、Table 7。

| 模型 | 数据集 | TCR | RRR | | Qwen3 1.7B | JailbreakBench | 8.0 | 25.0 | | Qwen3 4B | JailbreakBench | 17.0 | 60.0 | | Qwen3 8B | JailbreakBench | 9.0 | 51.0 | | Qwen3 4B | AdvBench | 13.0 | 43.5 | | Qwen3 8B | HarmBench | 10.8 | 51.5 | | DeepSeek | JailbreakBench | 8.0 | 25.0 | | Qwen3-Max | JailbreakBench | 1.0 | 7.0 |

• 省略的MS_Reverse行：AdvBench上Qwen3 1.7B为TCR 10.0、RRR 45.0，8B为13.5、49.5；HarmBench上1.7B为7.5、26.5，4B为11.0、44.5。Gemini 2.5 Flash在这两表未报告。两表基线TCR最高1.6，RRR最高3.3。
• 作者称其他方法TCR基本为0、RRR低于2%（第4.3节）。Table 6、7里基线不是全0。同节写Qwen3 4B的RRR达60%、DeepSeek达25%，与Table 7一致。
• Table 2、3同样写明JailbreakBench，Qwen3三档与Table 6、7一致；DeepSeek的MS_Reverse却是TCR 3.0、RRR 2.0，与Table 6的8.0、Table 7的25.0不一致。论文未解释这一差异。

思考长度与时间

• 作者称Figure 4、5中MS_Reverse的思考长度远超其他方法，Qwen3 8B上超过10K字符，其他方法多在2K到4K；有害回复通常长于安全回复，且各规模一致。Figure 4图注只含Qwen3系列。Table 1（JailbreakBench）中Qwen3 8B、MS_Reverse、有害回复为12121±636；DeepSeek、MS_Reverse、有害为17734±1209。同表MS、MS_Structure有多格安全回复更长，例如Qwen3 8B的MS为5865±1798对4882±568。
• 第4.3节称MS_Reverse在DeepSeek上超过20K字符并指向Figure 4。Table 1里超过20K的是MS_Structure：DeepSeek有害28321±537、安全27522±2256。Figure 6：DeepSeek、JailbreakBench上，作者称MS_Reverse思考时间最长达到7分钟。
• 开源Qwen系列36.31%、DeepSeek 16.36%的有害回复自称教育目的（第4.3节，未写基准）。作者认为推理被用来构造合理化理由，并引用Zhou et al. [2025]称缩短思考可以提高无害性，引用Bondarenko et al. [2025]讨论能力泛化不对称。

三种策略与检测

• Figure 7（JailbreakBench，Qwen3）：作者称MS_Reverse在各规模ASR最高；1.7B相对更低，到4B升高，8B又略降，并归因于8B安全对齐更强。图中无可读百分比。
• Table 2、3：MS_Reverse的TCR在Qwen3 4B为17.0、DeepSeek为3.0；RRR在Qwen3 4B为60.0、8B为51.0、DeepSeek为2.0。MS_Structure的DeepSeek TCR为10.1，高于该表MS_Reverse的3.0。Figure 8：思考时间从MS到MS_Structure递增，MS_Structure超过9分钟。作者称Qwen3系列比DeepSeek更容易在复杂扰动下重复输出；这与Table 3一致，与Table 7的DeepSeek RRR 25.0不一致。
• 挑战集（Table 4）上，Llama-Prompt-Guard-2 86M的Accuracy为41.34%、FPR 34.07%、FNR 23.46%；22M为49.16%、12.29%、37.43%。关键词为60.89%、14.25%、23.74%。GPT-4为70.39%、7.54%、20.39%；DeepSeek为70.67%、8.66%、19.55%。Qwen3Guard 4B为84.08%、5.31%、9.50%；8B为81.84%、7.82%、9.22%；0.6B为77.65%、6.98%、14.25%。常规集（Table 5）上Qwen3Guard 4B为92.22%、4.58%、3.19%，8B的FNR为2.78%。作者称Llama-Prompt-Guard-2最差，Qwen3Guard 4B综合最好，并称多流扰动对现有内容检测构成挑战。

其他消融与分析

• Table 8（JailbreakBench）：JAIL-CON有害回复思考长度低于三种策略。DeepSeek有害：JAIL-CON 4980±622，MS_Reverse 17734±1209，MS_Structure 28321±537。Qwen3 8B有害：JAIL-CON 6568±595，MS_Reverse 12121±636。
• Figure 9（DeepSeek，JailbreakBench）：作者称JAIL-CON多数样本在100秒内结束；三种策略分布更宽，许多超过200秒，MS_Structure甚至超过500秒。
• Table 6中Qwen3-Max的TCR为1.0，是该表MS_Reverse的最低值；其RRR为7.0（Table 7）。
• 附录Figure 10为Qwen3 8B、AdvBench上的思考崩溃示例；Figure 11为DeepSeek、JailbreakBench上的超长思考与回复重复示例。

作者指出的局限与后续方向

• 第5节Conclusion写future work可探索针对thinking模式的防御机制，以及思考长度控制与安全的关系。
• 论文没有单独的Limitations、Discussion或Future Work专节。伦理声明只说明实验在开源模型和已授权API上进行、有害样本来自学术基准，未把某项结果标为局限。

实验覆盖范围

• 被攻击模型为Qwen3 1.7B、4B、8B、DeepSeek、Qwen3-Max、Gemini 2.5 Flash，共6个；Figure 2、3同时比较standard/non-thinking与thinking的ASR。作者说明o1与Grok因不能稳定输出思考内容，未纳入思考过程定量。
• 攻击基准为JailbreakBench、AdvBench、HarmBench。闭源三模型的ASR比较只在JailbreakBench，且Figure 3含五种方法（第4.2节）。
• TCR、RRR的分模型数字在Table 6、7，覆盖Qwen3三档、DeepSeek、Qwen3-Max；Gemini 2.5 Flash未出现在这两表。Table 1、8的思考长度含Qwen3三档与DeepSeek。
• ASR由Qwen3Guard 4B判定。检测对比还包括关键词、GPT-4、DeepSeek、Qwen3Guard 0.6B/8B、Llama-Prompt-Guard-2 22M/86M；挑战集358条、常规集720条（附录C）。
• 论文未报告各基准攻击样本量、ASR重复次数，以及Figure 2、3的精确ASR；也未解释Table 2、3与Table 6、7在DeepSeek上TCR（3.0与8.0）、RRR（2.0与25.0）为何不同。附录A提到t检验，正文未报告检验结果。

多流扰动攻击把有害任务与良性任务织进同一提示词，测试thinking模式的内容安全与推理稳定性。

作者认为，交织多任务会拉长思考，使安全检测面对被打散的有害意图，并可能把推理用于合理化，或陷入崩溃与重复。

方法不访问梯度。MS按词交织并用分隔符分任务流；MS_Reverse在正文中反转良性词；MS_Structure再加第i行i个字符的格式约束。ASR由Qwen3Guard 4B判定。Figure 1的反转示例与正文哪一路被反转并不一致。

作者称Qwen3 1.7B/4B/8B在三个基准、standard与thinking模式下，MS_Reverse的ASR都高于六种基线；结论写某些模型超过90%，Figure 2、3无精确读数。JailbreakBench上，作者称DeepSeek两种模式最高，Qwen3-Max只在thinking模式最高，Gemini 2.5 Flash居前列。

JailbreakBench、MS_Reverse、Qwen3 4B的TCR为17.0%、RRR为60.0%（Table 2、3与Table 6、7一致）。Qwen3-Max为1.0%与7.0%。DeepSeek在Table 6、7为8.0%与25.0%，在Table 2、3为3.0%与2.0%。Table 1中Qwen3 8B有害回复的MS_Reverse思考长度为12121±636，DeepSeek的MS_Structure为28321±537。挑战集上Qwen3Guard 4B的Accuracy为84.08%、FNR为9.50%。

作者称多任务流扰动同时损害内容安全与推理稳定性。后续方向是thinking模式防御，以及思考长度控制与安全的关系。