大语言模型的越狱缩放定律：多项式到指数增长的交越

注入下，推理时攻击成功率如何随样本数 k 缩放。

• 场景：作者认为高能力系统可能被转用于有害目标。安全微调后的模型仍可被越狱：注入精心构造的 token 序列可提高绕过安全机制的概率，多次推理时采样则提高至少一次成功的机会。
• 已有缩放的不足：Hughes et al. (2024) 报告，无对抗注入时，k 次中至少一次成功的 ASR 按多项式增长，log(-log(Πk)) 对 log k 近似线性。作者称 Figure 1a 中，攻击下 GPT-Turbo-4.5 仍近似线性，Llama-3.2-3B-Instruct 明显偏离，故该多项式律盖不住全部注入情形。图注写明评审为 Mistral-7B-Instruct-v0.3、数据为 AdvBench、攻击为 GCG，但未点名这两条曲线的目标模型。
• 核心观察：若安全概率在上端 p̂=e^{-μ̂} 附近有幂律尾，大 k 的 ASR 间隙可同时含幂次与指数因子。Figure 1b 中，Llama-3.2-3B-Instruct 在 AdvBench、无攻击、Mistral 评审下 p̂=1；Figure 1c 中同一设置加 GCG，p̂≈0.9。
• 本文做法：给出上端尾部的最小假设与渐近公式，并提出自旋玻璃代理模型 SpinLLM，用指向不安全团簇的磁场表示注入强度。
• 威胁模型：
  • 目标：使模型对有害请求给出不安全输出；k 次独立样本中至少一次不安全即成功。
  • 知识：论文未用 white-box、black-box 或 no-box 概括这一设定。GCG 与 AutoDAN 的后缀在 Vicuna-7B-v1.5 上生成，再用于其他目标模型。
  • 能力：向输入注入构造好的 token 序列，并选择推理时样本数 k。
  • 受害系统：应拒绝有害请求的安全对齐 LLM。主实验在开源指令微调模型上；附录 G 另对四个前沿 API 模型做了 k=1 对比。

论文沿四条线定位自己：越狱、推理时计算、语言统计模型和自旋玻璃。

越狱与提示注入

• 通用与自适应攻击：Zou et al. (2023) 构造可跨提示、并在一定程度上跨模型迁移的通用对抗后缀（Chao et al., 2023）。Geisler et al. (2024) 给出更省样本的版本。Liu et al. (2024a) 生成隐蔽越狱提示，Andriushchenko et al. (2024) 使用自适应策略。
• 效用与威胁模型：Souly et al. (2024)、Nikolić et al. (2025) 考察越狱输出是否有用。Anil et al. (2024) 研究长上下文越狱。Liu et al. (2024b)、Greshake et al. (2023)、Liu et al. (2023) 讨论提示注入的安全含义和威胁模型。
• 不可回避性：Su et al. (2024) 从理论上说明安全训练后的语言模型中越狱为何不可避免。论文此处是转述，没有把它写成自己的定理。

推理时计算

• 多次采样：Wang et al. (2023)、Zheng et al. (2023a)、Brown et al. (2024)、Levi (2024)、Chen et al. (2024)、Snell et al. (2025) 报告，多次采样、奖励重排或投票可提高精度和可靠性。Schaeffer et al. (2025)、Huang et al. (2025)、Halder and Pehlevan (2025)、Levi (2026) 做理论分析。
• 与鲁棒性：Hughes et al. (2024)、Zaremba et al. (2025) 经验研究对抗鲁棒性与推理时计算。本文直接沿用前者的无注入多项式 ASR，并看注入后是否仍成立。

语言的统计模型

• Dirichlet 过程：MacKay and Peto (1995)、Teh et al. (2006)、Johnson et al. (2006)、Liang et al. (2007) 用 Dirichlet 过程及层次版本建模语言。
• 幂律与缩放：Arora et al. (2015) 及后续工作研究网络如何学习语言；Spigler et al. (2020)、Bordelon et al. (2020)、Bahri et al. (2022)、Michaud et al. (2023)、Cagnetta et al. (2026) 把语言结构中的幂律与模型缩放联系起来。作者称 Barkeshli et al. (2026)、Liu et al. (2026) 是互补观点。
• 本文用的分布：作者用 Poisson-Dirichlet 描述安全与不安全想法的景观，并指出 stick-breaking 的自相似结构会产生幂律（Picard and Pitman, 2006）。

自旋玻璃

• 计算透镜：Mézard et al. (1987)、Mézard and Montanari (2009)、Talagrand (2010; 2013) 等给出理论框架。Hopfield (1982) 用它理解联想记忆。RSB 相把低能构型组织成层级团簇，权重由 Poisson-Dirichlet 描述。
• 另一联系的差别：Hou et al. (2025) 也把自旋玻璃与语言模型联系起来，但是基于 replica symmetric 相，无序来自推理过程。作者称这与本文由上下文产生无序、并在 RSB 相讨论推理时越狱律的设定形成鲜明对比。物理计算受 Aguilar-Janita et al. (2024) 启发。

基线与基准

• 基线：无提示注入；攻击为 GCG 与 AutoDAN。ASR 判定对比拒绝字符串和 LLM 评审。
• 基准：AdvBench（520 条有害行为），HarmBench 的 standard 子集（200 条）。

作者把本文放在 Hughes et al. (2024) 之后：用安全概率的上端尾部解释注入后的多项式–指数交叉，并用教师–学生自旋玻璃给出由单一磁场强度控制的可解实现。

SpinLLM 把推理时越狱缩放写成安全概率的矩渐近，再用处于 replica-symmetry-breaking（RSB）相的自旋玻璃给出可解实现。短注入对应弱磁场，长注入对应强磁场。

最小统计机制

• 潜变量 Z 表示提示或上下文异质性。给定 Z=z，单次输出安全的概率为 p(z)；k 次独立采样全部安全的概率为 p(z) 的 k 次方。
• 记 P=p(Z)，总体成功率满足 1−Π_k=𝔼[P^k]。成功定义为至少一次不安全。
• Assumption 1：P 的本质上确界为 p̂=e^{-μ̂}，μ̂≥0；ε 下降到 0 时，上端概率为 ĉ ε^{ν̂} 加高阶项。p̂=1 表示存在任意接近完全安全的潜状态；p̂<1 表示最安全状态仍有不可约的不安全质量。ν̂ 越小，质量越集中在上端。
• Result 2（附录 A）给出 1−Π_k∼ ĉΓ(ν̂+1)e^−kμ̂k^−ν̂。取对数后即得到正文的 log(-log Πk) 展开：μ̂=0 为多项式，μ̂>0 带指数修正。

教师、学生与不安全团簇

• 输入先映射到 p≥2 的全连接自旋玻璃能量。token 取 +1 或 -1，生成分布是逆温度下的 Gibbs 测度。上下文进入无序 J。论文只讨论大 N 的领先阶。
• βT 高于玻璃化阈值时出现完全 RSB。低能态按重叠断点分成层级团簇，再按 Gibbs 权重做尺寸偏置排序。
• 教师先均匀抽取配置 τ，再按逆温度 βP 种植无序，使 τ 有较大生成概率。βP 足够大且 βT≥βP 时，τ 经常落在第 l 层尺寸偏置的第一个团簇；该团簇内定为不安全，其余为安全。
• 学生与教师共享 J，但多一个磁场 h，方向对齐教师不安全团簇中心。作者称这对应注入把生成推向不安全补全，动机是拒绝方向的存在（Arditi et al., 2024）。弱场为 h 远小于 j0，强场为 h 远大于 j0。

弱场：幂律

• 大 N 下，第 l 层团簇权重服从参数 ml 的 GEM 折棒。取前 m 个尺寸偏置团簇为不安全时，残余安全质量的上端是幂律，指数 ν=m(1-ml)（Result 3）。本文主设定用 m=1。
• h=0 时，ASR 间隙按 k 的负幂衰减。作者称这与 Hughes et al. (2024) 看到的线性趋势一致。
• 小 h 把不安全团簇相对其余质量重加权，因子由 λ=βhN(ql+1-ql) 决定。Result 4 把间隙写成这些矩的负二项混合。k 很大、λ 很小且 kλ^2 保持常数阶时，作者给出相对零场的修正。弱场主要提高 ν，μ 仍约为 0（Remark 2）。证明在附录 C、D。

强场：指数律

• h 足够大时，学生进入沿不安全方向有序的 replica symmetric 相，教师仍为 RSB。Result 5：存在临界场 hc，h 超过它且 k 固定时，log(1-Πk) 的下界由速率函数 Ih(ql+1) 给出，尺度为 kN。该证明用退火后的种植无序，并把 τ 所在团簇标为不安全（附录 B、E）。作者称 Figure F.1 中，指数缩放在第 3 节的精确设定下仍然成立。
• Assumption 6 假设单次安全概率的对数自平均且为次高斯。Figure E.1 的图注称，左图确认对 N 的指数集中，右图显示偏离均值的集中快于指数。Result 7 由此给出上端概率的指数上界。
• Remark 3 把它对应到 Assumption 1 的弱形式：p̂ 小于 1，μ̂ 随 N 与速率函数增长，ν̂=0。与 Result 5 合在一起，大 N、大 k 时 log(1-Πk)/(kN) 等于 -Ih(ql+1)。h 增大使构型更集中于 τ，Ih 增大，因而 μ 增大。

数值检查在附录 F：p=2，N=24，β=10，j0=1，1024 个无序样本；团簇用贪心单自旋翻转下降近似。这不是 LLM 实验。

实验设置

• 目标模型：缩放实验为 GPT-Turbo-4.5、Llama-3.2-3B-Instruct、Llama-3-8B-Instruct、Llama-3-70B-Instruct、OLMo-2-0325-32B-Instruct、Olmo-3.1-32B-Instruct。附录 G 另在 k=1 下攻击 Claude-Sonnet-4.5、Claude-Haiku-3.5、GPT-Turbo-3.5、GPT-4。
• 数据：AdvBench 520 条；HarmBench 的 standard 子集 200 条。附录 H 用 GPT-5.1 给 AdvBench 标了五类，HarmBench 用数据集自带类别。
• 攻击与基线：无注入；GCG 在 Vicuna-7B-v1.5 上优化 50 步，训练与验证各 25 条 AdvBench，后缀长 20 token；AutoDAN 在同一模型上打分，精英比例 5%，交叉率 0.5，变异率 0.01，100 代，每条提示一条后缀。前沿对比另有一种固定短后缀注入。
• 指标：Πk 是 k 次生成中至少一次被判越狱的比例。缩放实验把 log(-log Πk) 拟合为 -ν̂ log k - μ̂ k + log Ĉ。附录 G 称用 OLS 并报告变换尺度上的 R²，正文未给 R²。
• 评审：主实验用 Mistral-7B-Instruct-v0.3，分数不超过 4 视为不安全，不连贯记 5，无数字输出也记 5；贪心解码，生成 4 token。前沿对比用 Table G.1 的 34 条拒绝字符串，以及 GPT-4 的二分类和 1–5 有害分，不低于 4 视为真正有害。
• 采样：缩放实验用 LM Evaluation Harness、zero-shot、温度 0.6。k 取 1 到 20，以及 21 到 128、步长 4。每条件 2 次独立生成，报告均值和标准差，正文未给标准差数值。前沿实验 k=1、温度 0、最多 512 token。论文未报告与人工判定的一致性。

主结果

正文没有给出各模型 Πk 的可回查百分数。下表只列文本中的数字。

表格较宽，可左右滑动

设置	指标	数值	出处
Llama-3.2-3B-Instruct，AdvBench，无攻击，Mistral 评审	安全概率上端 p̂	1	Figure 1b
同上，加 GCG	p̂	≈0.9	Figure 1c
Llama-3-8B-Instruct，AdvBench，高注入曲线	1−Πk 的数值下限	≈10^{-3}	Figure 3 图注

• 作者称 Figure 1a 中，攻击下 GPT-Turbo-4.5 的 log(-log(Πk)) 对 log k 仍近似线性，Llama-3.2-3B-Instruct 偏离线性，并写成带 -μ̂k 的修正。图注未点名这两个目标模型。
• Figure 3、4 的目标分别是 Llama-3-8B-Instruct 与 OLMo-2-0325-32B-Instruct，数据为 AdvBench，评审为 Mistral。作者称 GCG 与 AutoDAN 的注入曲线高于无注入并下降更快；高注入、大 k 处的直线来自代码数值下限。注入更强时，拟合的 ν̂ 与 μ̂ 趋于上升。作者把越狱提示长度对应有效磁场强度 μ̂。
• 作者称 Figure F.1 与 Figures 3、4 定性吻合很好。小 h 且 N 远大于 k、k 远大于 1、kλ^2 远小于 1 时，数值接近 Result 4；更大 h 时偏离该式。对组合形式的拟合中，μ̂ 与 ν̂ 都随 h 单调上升（Figure F.1b）。正文未给出可比较的 ASR，因而无法从文本判断哪一模型最差。省略了没有可提取 Πk 的模型：GPT-Turbo-4.5、Llama-3-70B-Instruct、Olmo-3.1-32B-Instruct，以及四个前沿 API 模型。

评审方式

• 测了什么：附录 G 在四个前沿模型、k=1、AdvBench 上比较拒绝字符串、GPT-4 评审和有害分。
• 结果：作者称 Figure G.1a 中，LLM 评审的 ASR 远小于拒绝字符串；原因是模型会生成不连贯、无关或事实不正确的文本。Figure G.1b 中，通用对抗后缀在有害分不低于 4 的响应上，ASR 高于固定短后缀。正文无百分比。
• 作者解读：因此后续缩放实验改用 Mistral 评审，并且只把分数不超过 4 的回答计入成功。Figure G.3 中，作者称 GPT-4 与 Mistral 对 GPT-Turbo-3.5、Claude-Sonnet-4.5 的 ASR 高度一致，未给数字。

更多模型、数据集与类别

• 附录 H 把 GCG 与 AutoDAN 扩到 Llama-3.2-3B-Instruct、Llama-3-70B-Instruct、Olmo-3.1-32B-Instruct，以及 HarmBench standard。作者称趋势与 Figure 3 类似。
• 高注入、大 k 处再次出现直线，作者归因于代码的数值限制，附录未重复 10^{-3} 这一数字。
• Figures H.5–H.13 按类别作图。AdvBench 类别由 GPT-5.1 标注，HarmBench 用自带标签。正文未给各类 ASR。

自旋玻璃数值

• 附录 F 在 N=24、p=2、β=10、j0=1、1024 个无序样本上计算教师–学生 ASR。不安全方向取教师最低层、m=1 的尺寸偏置团簇。
• 小场与 Result 4 的公式在所述适用域内一致；场强增大、kλ^2 不再远小于 1 后，数值明显偏离该式。
• 大场下仍可拟合带 -μ̂k 的形式，且 μ̂、ν̂ 随 h 单调上升。这与 Result 7 把强场边缘指数写成 ν̂=0 不是同一句话；论文对数值拟合的说法是两者都上升。

其他消融与分析

• 弱场解析：攻击强度增加时 ν=m(1-ml) 上升，μ 约为 0（Remark 2，并指向 Figure 2）。
• 强场解析：h 超过 hc 后，间隙的对数下界为 -kN Ih(ql+1)，Ih 随 h 增大（Result 5、Remark 3）。
• Figure 2 只给出“缩放参数随越狱强度变化”的标题，正文未给坐标读数。
• 缩放温度 0.6，前沿 k=1 实验温度 0；两种温度之间没有交叉对比表。
• 每条件 2 次生成；GEM 参数用 32 次尺寸偏置排列、折棒长度 8、199 点网格估计。
• 负面情形：强模型在作者对 Figure 1a 的描述中没有转到指数修正；小场公式在大 h 失效；高注入曲线被约 10^{-3} 的下限截断；拒绝字符串相对 LLM 评审给出更高 ASR，但无百分点。

作者指出的局限与后续方向

• 工作限于对开源指令微调 LLM 的攻击（第 6 节）。
• 这些模型的预训练和后训练流程不同，研究未刻画脆弱性如何依赖训练方法（第 6 节）。
• 攻击依赖通用越狱字符串；模型特定的越狱字符串可能进一步提高对给定目标的攻击效果（第 6 节）。
• 未考察额外防御机制如何影响攻击成功率（第 6 节）。

实验覆盖范围

• 缩放实验的目标模型为 GPT-Turbo-4.5、Llama-3.2-3B-Instruct、Llama-3-8B-Instruct、Llama-3-70B-Instruct、OLMo-2-0325-32B-Instruct、Olmo-3.1-32B-Instruct；参数规模在摘要中写为 3B 到 70B（第 5 节，附录 G、H）。
• 攻击条件包括无注入、GCG 和 AutoDAN；附录 G 另有固定短后缀，用于前沿模型的评审对比。后缀生成用 Vicuna-7B-v1.5，GCG 为 50 步、后缀 20 token，AutoDAN 为 100 代。
• 数据为 AdvBench 520 条和 HarmBench standard 200 条；附录 H 按类别作图。k 从 1 到 20，再从 21 到 128、步长 4，每条件 2 次生成，缩放温度 0.6。
• 前沿 API 模型 Claude-Sonnet-4.5、Claude-Haiku-3.5、GPT-Turbo-3.5、GPT-4 在 k=1、温度 0、最多 512 token 下做了度量对比。评审包括 34 条拒绝字符串、Mistral-7B-Instruct-v0.3 和 GPT-4。
• 自旋玻璃数值为 N=24、p=2、β=10、j0=1、1024 个无序样本（附录 F）。论文未报告与人工判定的一致性、正文中的 R²、各次标准差，以及除 Figure 1 的 p̂ 和 Figure 3 数值下限以外的可提取 ASR 百分数。

作者用一个可解的统计模型，解释提示注入如何改变越狱成功率随推理时样本数的缩放。

• 问题：无注入时，k 次采样中至少一次成功的概率按多项式增长。注入后，作者在部分模型上看到失败概率下降更快，希望用同一机制覆盖两种情形。
• 方法：总体 ASR 由单次安全概率的矩决定。上端若是幂律尾，间隙就是幂次乘指数衰减。SpinLLM 把生成写成自旋玻璃的 Gibbs 测度：教师的低能团簇规定不安全区域，学生受到指向该区域的磁场。短注入是弱场，主要改变幂次；长注入是强场，带来随 k 的指数衰减。
• LLM 结果：AdvBench 上，Llama-3.2-3B-Instruct 无攻击时安全概率上端为 1，GCG 下约为 0.9（Figure 1，Mistral-7B-Instruct-v0.3 评审）。作者称 GPT-Turbo-4.5 在攻击下仍接近多项式，而 Llama-3.2-3B-Instruct 偏离线性。Llama-3-8B-Instruct 与 OLMo-2-0325-32B-Instruct 上，GCG 和 AutoDAN 的注入曲线下降更快（Figures 3、4）；附录 H 扩到 Llama、Olmo 家族和 HarmBench。拒绝字符串的 ASR 高于 LLM 评审（Figure G.1），正文没有百分比。
• 理论对照：N=24 的自旋玻璃数值在小场与解析公式一致，大场则要加上指数项；作者称这与语言模型曲线定性吻合。Figure 3 的高注入直线停在 1-Πk 约 10^{-3}，作者归因于数值下限。
• 作者的结论：越狱提示长度可看作有效磁场强度。弱场抬高多项式指数而指数修正仍接近 0，强场则使失败概率按指数下降。作者同时写明，这些攻击实验限于开源指令微调模型上的通用越狱串，没有分离训练流程，也没有测额外防御。