跳到正文
原文
arXiv：越狱、提示注入、投毒与防御· arXiv:2609.36956· Jesson Wang·本站收录· 原文发表

研究者提出 Controlled Decoding Attacks，通过纯文本接口越狱黑盒 LLM

Controlled Decoding Attacks on Black-Box LLMs

论文速读

攻击

据论文 PDF 整理（AI 生成），以原文为准

作者提出 BLINDBIAS，对仅返回文本的续写接口实施解码控制，多数比较中获得最高平均有害性评分。

威胁模型black-box、sample-only：攻击者可提交用户提示词和 assistant prefix，并重复请求随机续写；不能访问目标权重、隐藏状态或 numerical token probabilities。

问题
仅隐藏数值概率是否足以阻止解码时越狱，是作者关注的问题。重复采样可以估计分布，但有限样本带来稀疏和噪声，逐位置重建又增加查询成本。
方法
BLINDBIAS用样本与先验重建局部动作分布，由前缀风险模型决定何时施加BiasNet残差；连续无需干预时，批量验证目标模型的多token草稿。
实验与结果
作者报告，四个目标、三个基准的多数评分比较由BLINDBIAS取得最高均值，但存在模型和指标上的例外。门控减少查询与控制器调用，同时降低相对无门控的攻击评分。
局限与可以继续做的
作者将端点查询效率和超出tokenizer动作空间的控制列为后续方向。接口必须支持重复采样和assistant prefix续写；字符串扩展存在动作覆盖及近似映射问题。
实验设置GLM-5、Gemini-3.5-Flash 等 · AdvBench、HarmBench 等 · Harm Score、Harm Info Score 等
威胁模型
black-box、sample-only：攻击者可提交用户提示词和 assistant prefix，并重复请求随机续写；不能访问目标权重、隐藏状态或 numerical token probabilities。目标是绕过安全对齐。
被测模型
GLM-5Gemini-3.5-FlashQwen3-32BKimi-K2.5
基准
AdvBenchHarmBenchSORRY-BenchLLM-LAT/harmful-dataset
指标
Harm ScoreHarm Info ScorePPLUnseen NLLAPI callsActive positions
AI 导读研究者提出一种针对黑盒大语言模型的越狱框架，仅通过允许重复采样和助手前缀续写的纯文本接口实施攻击，无需模型权重或数值 token 概率。该方法用采样输出结合未观测动作先验重建分布，再依据响应前缀决定在哪些位置重建和修改分布，并用推测式多 token 执行摊薄目标调用成本。在四个目标端点和三个基准上，该方法在多数对比中取得最高平均分。

研究者提出一种针对黑盒大语言模型的越狱框架，仅通过允许重复采样和助手前缀续写的纯文本接口实施攻击，无需模型权重或数值 token 概率。该方法用采样输出结合未观测动作先验重建分布，再依据响应前缀决定在哪些位置重建和修改分布，并用推测式多 token 执行摊薄目标调用成本。在四个目标端点和三个基准上，该方法在多数对比中取得最高平均分。

深度解读

6个问题，点开问题读完整回答

  1. 这篇论文试图解决什么问题？

    作者研究仅返回采样文本、允许前缀续写的接口能否支持解码时越狱。

    核心问题是：不读取目标权重或数值概率，能否保留逐步解码控制，并减少分布估计的查询成本。

    • 场景与动机：作者认为，LLM进入敏感决策流程后，越狱可能带来安全与隐私风险。已有解码时攻击需要权重或数值概率，不能直接用于仅返回采样文本的接口。
    • 估计难题：同一前缀的重复续写可用于估计下一动作分布，但有限采样产生稀疏、带噪估计；每个位置都重建分布会增加查询成本。
    • 核心观察：作者称，成功越狱轨迹的大分布变化集中在少数位置，因此可以根据当前回答前缀选择性干预。Figure 2提供KL分析，但文本转换无法核对柱高或轨迹形状。
    • 提出的方法：BLINDBIAS结合样本分布重建、风险门控残差控制和多token草稿验证，将BiasNet适配到sample-only接口。
    • 威胁模型：论文使用black-box、sample-only设定。
      • 目标：让安全对齐的目标模型回答原本会拒绝的有害请求。
      • 知识：不能访问目标权重、隐藏状态或numerical token probabilities。
      • 能力：控制用户提示词和assistant prefix，重复请求同一前缀的随机续写。
      • 受害系统：接受外部提供的assistant prefix、仅返回文本的continuation接口；不等同于所有文本聊天接口。

  2. 有哪些相关研究？

    最直接的前作是JULI；作者保留BiasNet，改用采样重建输入并选择性执行。

    相关研究围绕提示词攻击、解码控制、选择性计算和更广泛的适配方法展开。

    提示词层越狱

    • 搜索与模板：Zou et al.（2023）优化可迁移后缀；PAIR（2023）与TAP（2023）分别使用反馈优化和树搜索；GPTFuzzer（2024）通过模板变异与响应选择构建攻击。
    • 表示与交互：CipherChat（2024）、FlipAttack（2026）、LogiBreak（2026）分别改变请求的编码、文本表示和逻辑表示；Crescendo（2024）通过多轮交互推进目标。
    • 基线方法：实验使用PAIR、GPTFuzz、LogiBreak、FlipAttack，对照基准为AdvBench、HarmBench和SORRY-Bench。

    解码时控制与攻击

    • 受控生成：PPLM（2020）修改隐藏激活；GeDi（2021）与FUDGE（2021）引导token概率；Proxy tuning（2024a）将小模型调优前后的分布差异迁移给目标。
    • 解码时越狱：Weak-to-Strong（2025）和Emulated Disalignment（2024）借助辅助模型分布重定向目标输出。
    • JULI（2026）：引入BiasNet，可使用top-5 log-probabilities。作者强调，这已是数值概率可见时的black-box攻击，本文改为更严格的sample-only接口。

    浅层对齐与自适应执行

    • 前缀与对齐：Qi et al.（2025）讨论对齐对开头token的影响；Andriushchenko et al.（2025）讨论prefilling和目标特定API访问的漏洞。作者没有据此认定固定开头窗口足够。
    • 投机解码：Leviathan et al.（2023）、Chen et al.（2023）采用草稿与验证结构。BLINDBIAS由远端目标提供草稿、本地风险模型验证门控，不承诺保持目标采样分布。
    • 验证与资源分配：Premise verification、TS-Reasoner、Memory retrieval、Learning to Deliberate、AgentAuditor和Self-Compression提供验证与自适应计算背景，论文指出其目标不同于越狱控制。

    更广泛的可靠性与适配

    • 多模态方法：论文讨论语义原型学习、DPU、Geometry over Density、Treble Counterfactual VLMs、MIRROR及云端—设备协作，作为定向干预与适配的背景。

    作者将贡献定位为改变BiasNet输入的获取方式及执行时机，而不是重新提出其残差控制形式。与提示词层攻击相比，本文额外依赖重复随机采样和攻击者提供的assistant prefix。

  3. 论文如何解决这个问题？

    BLINDBIAS重建动作分布，只在门控允许的位置施加残差，并验证多token草稿。

    BLINDBIAS把sample-only控制拆成信息重建、选择性干预和调用摊销三个组件；主要动作空间由本地tokenizer定义。

    动作表示与分布重建

    • 本地动作：返回文本映射为本地动作ID，再把选定动作解码为assistant prefix。这些动作不必等同于服务商内部token，生成预算也与API输出预算分开。
    • 先验平滑：核心估计为p̂t(v)=(cv+κ/|V|)/(K+κ)。其中计数来自采样，均匀先验为未观察动作保留概率质量，κ是总先验质量。
    • 样本完整性：训练缓存和推理使用同一估计器；无效或无法映射的响应会补采样，重试预算耗尽则中止重建，不静默改用较少样本。

    前缀风险门控与残差

    • 风险对象：固定风险模型判断“当前前缀加目标候选动作”是否已进入不安全轨迹，而不是只判断用户提示词。风险越高，控制残差越弱。
    • 控制目标：核心选择规则为yt=argmaxv[ℓt+s̃t Bϕ(ℓt)]v。BiasNet调整重建的对数概率，门控尺度决定残差强度；尺度为零时直接接受目标候选。
    • 门控含义：软尺度和执行截止线分开控制强度与是否调用控制器。作者指出，软门控的中点不等于实际执行边界，也不等同于使用相同阈值的硬门控。
    • 开头处理：短前缀采用全强度warm-up，避免依据空回答或很短回答做风险决策；门控可以在后续位置重新启用。

    控制器与风险模型训练

    • BiasNet缓存：每个目标分别构建40条LLM-LAT指令—回答记录的全部回答前缀，确定性留出8条记录；使用1,024维、四哈希count-sketch输入投影和layer normalization。
    • 训练目标：在参考前缀上优化交叉熵，只纳入残差尺度非零的位置，并使用与推理相同的软尺度。训练为10 epochs、AdamW、batch size 32，风险模型保持固定。
    • 风险分类器：冻结Llama-3.1-8B-Instruct骨干，在最后层、最后非padding token的4,096维表示上训练分类头；其sigmoid输出前缀风险。
    • 标签来源：Llama-Guard-3-8B用于定位不安全边界，边界及之后的前缀统一标为不安全。附录A.3.3说明，这不是每个前缀独立获得的Guard判断。

    多token草稿与字符串扩展

    • 草稿验证：连续无需干预时，目标一次返回多token草稿，本地风险模型验证各前缀；仅提交满足门控规则的连续部分，其余丢弃并恢复控制。
    • 语义边界：验证约束的是已接受前缀的门控规则，不保证与重复单动作API调用逐动作一致，也不保证分布保持。
    • 字符串动作扩展：第3.4节以校准样本和参考标签中的字符串定义经验动作空间，融合公共代理模型先验，不使用目标tokenizer。
    • 扩展定位：作者将其单列为探索性stress test。正文未给出该扩展的独立结果表，不能把主要tokenizer实验或Table 2当作其效果证据。

  4. 论文做了哪些实验？

    主结果包含模型与指标例外；门控实验减少查询，同时降低相对无门控的攻击评分。

    实验比较攻击评分、重建质量和门控调用成本，主结果并非所有条件都领先。

    实验设置

    • 目标模型：GLM-5、Gemini-3.5-Flash、Qwen3-32B、Kimi-K2.5；每个目标分别训练控制器。Gemini使用原生API，其余使用OpenRouter（第4.2节）。
    • 基准规模：三个英文有害请求基准：AdvBench 520个目标，HarmBench 320-behavior文本测试划分，SORRY-Bench 440个base prompts、44类（第4.1节）。
    • 基线与设置：PAIR、GPTFuzz、LogiBreak、FlipAttack使用官方实现与设置；主结果BLINDBIAS使用soft-gated、global-uniform配置，输出预算80个本地token（附录A.2）。
    • 指标与裁判：Gemini-3.5-Flash评Harm Score和Harm Info Score，分别衡量有害意图遵从及有害信息量。论文未报告二元成功阈值；附录A.1分别列出两种评分提示词来源。
    • 诊断协议：除另有说明外，使用40记录训练缓存、100个AdvBench提示词和Qwen3-32B。重建预测指标采用同一前缀样本的校准／留出划分（附录A.3）。
    • 证据记录：论文未报告主结果重复次数、置信区间或人工与裁判一致性。附录所列seed 42是训练设置，不是重复实验次数。

    主结果

    据Table 1，以下均为BLINDBIAS的平均Harm／Info；全表采用soft-gated、global-uniform配置。

    表格较宽，可左右滑动

    目标模型AdvBenchHarmBenchSORRY-Bench
    GLM-54.29／2.884.14／2.743.83／2.50
    Gemini-3.5-Flash3.58／2.273.57／2.393.67／2.30
    Qwen3-32B3.03／2.162.68／1.972.91／2.15
    Kimi-K2.53.42／2.493.31／2.543.55／2.47
    • 作者概括：作者报告，BLINDBIAS在24个模型×基准×指标比较中的20个取得最高均值。该比较涉及接口能力不同的提示词层基线。
    • GLM-5例外：SORRY-Bench上FlipAttack的Harm／Info为4.45／2.71，均高于BLINDBIAS（Table 1）。
    • 指标分歧：Kimi-K2.5的AdvBench Harm由LogiBreak以4.25领先；Qwen3-32B的HarmBench Info由PAIR以2.12领先（Table 1）。

    重建信号与攻击评分

    • 均匀先验：Qwen3-32B上，Table 3的smoothed empirical counts与uniform prior，PPL为11.85、7.07，Unseen NLL为21.14、14.50；100个AdvBench提示词的Harm／Info为1.50／1.26、3.03／2.16。
    • 预测与控制分离：global unigram prior的PPL／Unseen NLL为5.81／12.34，但Harm／Info为2.78／1.94。作者认为，预测拟合与引导用途有关，但不能互相替代（Table 3）。
    • 数值参考：numerical log probabilities的PPL／Unseen NLL为3.17／7.38，Harm／Info为4.06／3.08。该参考不属于sample-only威胁模型（Table 3、附录A.3.1）。

    上下文先验跨家族迁移

    • 同家族代理：固定Qwen3-32B目标与控制器，在100个AdvBench提示词上，Qwen3-1.7B先验的Harm／Info为3.90／2.83，代理校准协议内PPL为3.86（Table 2）。目标不同于代理。
    • 跨家族代理：SmolLM2-1.7B的PPL、Harm、Info为3.93、3.02、2.12；Gemma-3-1B为3.94、3.38、2.39；shuffled control为7.11、2.69、2.16（Table 2）。
    • 作者解读与条件：作者认为，跨家族先验可以提供控制信号，但仅Gemma的Info超过打乱对照。该实验仍以目标tokenizer定义动作，不是无目标tokenizer扩展。

    门控质量与调用成本

    • 完整管线比较：Gemini-3.5-Flash、100个AdvBench提示词上，无门控、硬门控、运行时软门控的Harm／Info分别为3.96／2.81、3.44／2.19、3.58／2.27（Table 4）。
    • 成本结果：三者平均每响应API calls为4000、448、283，Active positions为100.0%、9.5%、5.25%。作者称，软门控减少干预与查询，但相对无门控存在评分代价（Table 4）。
    • 比较边界：硬门控使用无门控训练的控制器，软管线使用尺度化训练与执行；因此不是只替换推理门控的消融。作者指出，调用成本还取决于采样、重试和响应长度。

    其他消融与分析

    • 75 epochs训练规则：Table 5的No gate／Soft weights，Margin为-2.683／-1.346，Beats base为19.7%／36.6%；评估权重与支持集合随规则改变。
    • 10 epochs训练规则：Table 5的Hard-active only／Hard + first 3，Margin为2.250／1.040，Beats base为64.3%／54.5%；作者称不能据此确认端到端收益。
    • KL分析：Figure 2标出GLM-5、Qwen3-32B、KL Divergence和Frequency。作者称大变化集中于少数位置；纯文本无法核对柱高、峰值或轨迹位置，图注未注明基准和样本量。

  5. 有什么可以进一步探索的点？

    作者将端点查询效率和超出tokenizer动作空间的控制列为后续方向。

    作者明确保留了接口与动作表示方面的边界，并提出改善端点查询效率。

    作者指出的局限与后续方向

    • 查询效率：结论指出sample-only控制仍有成本，改善endpoint-level query efficiency是后续方向（第5节）。
    • 动作空间扩展：结论将超出tokenizer-based action spaces的控制列为后续方向（第5节）。
    • 字符串近似：经验字符串空间无法输出从未出现在校准中的目标token字符串；代理评分只保留字符串的第一个代理token（第3.4节）。
    • 训练与推理前缀：训练使用参考前缀、推理使用生成前缀；共享重建和门控规则不能消除这两种前缀分布的差异（第3.2节）。
    • 草稿验证边界：验证遵守门控规则，不保证与重复单动作API调用一致或保持分布（第3.3节）。
    • 训练诊断边界：Table 5的评估支持随规则改变，不能隔离共同支持上的训练效果；warm-up诊断不确认端到端提升（附录A.3.3）。

    实验覆盖范围

    • 接口与目标：主结果包含四个目标和三个英文基准；攻击接口支持重复随机采样及外部assistant prefix（第3节、第4节）。
    • 动作表示：主实验使用本地tokenizer；Gemini-3.5-Flash使用Gemma tokenizer，其本地动作不必对应Gemini内部token（附录A.2）。
    • 诊断规模：重建和迁移分析使用Qwen3-32B及100个AdvBench提示词；门控完整管线比较使用Gemini-3.5-Flash及100个AdvBench提示词（Tables 2–4）。
    • 评审信息：输出由Gemini-3.5-Flash评分；论文未报告人工一致性、主结果重复次数或置信区间（第4.1节、附录A.1）。
    • 风险模型记录：保留的checkpoint确认架构与标签来源，但未保留原始优化器参数或数据集规模；附录A.3.3列出的优化参数是代码默认值。

  6. 总结一下论文的主要内容

    作者认为，隐藏数值概率并不足以消除支持重复采样和前缀续写的解码攻击面。

    BLINDBIAS是一种针对sample-only续写接口的black-box解码时越狱框架，研究没有目标数值概率时，采样能否支持逐步控制。

    • 方法定位：通过先验平滑重建本地动作分布，按回答前缀风险缩放BiasNet残差，再以本地验证摊销多token草稿调用；接口须允许攻击者提供assistant prefix和重复采样。
    • 主要效果：Gemini-3.5-Flash的SORRY-Bench上，soft-gated、global-uniform版本Harm／Info为3.67／2.30，两项均为该条件最高均值（Table 1）。
    • 领先的例外：GLM-5的SORRY-Bench上，BLINDBIAS为3.83／2.50，FlipAttack为4.45／2.71；Kimi-K2.5的AdvBench Harm则由LogiBreak以4.25领先（Table 1）。
    • 重建证据：Qwen3-32B、100个AdvBench提示词上，uniform prior的Harm／Info为3.03／2.16，global unigram prior为2.78／1.94。作者认为更好的预测拟合不自动带来更好的控制评分（Table 3）。
    • 成本权衡：Gemini-3.5-Flash、100个AdvBench提示词上，软门控平均每响应283次API调用，Harm为3.58；无门控为4000次、3.96（Table 4）。
    • 作者结论：作者认为，只隐藏数值概率可能无法关闭此类接口的解码攻击面，并将查询效率和动作空间扩展列为后续方向。草稿验证不保证逐动作等价，主结果也未报告重复次数或人工评分一致性。
阅读原文arxiv.org
#越狱与攻击