SPARK：在 KV 记忆层对齐表征以防御视觉语言模型越狱

视觉语言模型把有害意图拆到文本和图像后，单模态安全机制不够，而过宽的推理时编辑又会压掉有用表征；作者要在不改推理时参数的前提下，只修预填充形成的多模态 KV 记忆。

• 场景：作者称 VLM 在多模态推理上已经较强，但有害提示、对抗图像和跨模态越狱仍能绕过语言骨干继承来的对齐行为。任务是把干预收得足够局部，以保留良性推理所需的表征。
• 现有不足：作者认为，不安全输出本身并不标出行为偏移的内部方向；有害–良性对比还会把普通图像与提示差异混进残差。Steering、投影和激活修订能提高拒答，但宽泛编辑也会抑制良性推理所需的表征。
• 核心观察：作者问，能否在固定输入上分离出与安全相关的位移，把它定位到构成注意力记忆的 KV 状态，并按这些方向在推理时被表达的强度来缩放。这把“抑制什么、如何补回被抑制掉的有用信息、每个注意力头该改多少”拆开。
• 提出 SPARK：两阶段、针对 KV 记忆的修复。Stage 1 用一次性诊断适配器在有害校准输入上找出 harm-calibrated 的键、值位移子空间并正交投影；Stage 2 在投影后的 cache 上学轻量残差修复，并用图像结构先验锚定修复后的键。推理时不使用显式有害分类器，而是用干预相关子空间能量 Eh 得到每个头的混合系数 gh⋆。
• 威胁模型：
  • 目标：降低把有害意图分散在文本与图像上的多模态越狱成功率，同时保留一般能力。
  • 知识与攻击面：评测包含模板越狱、应力损坏（裁剪、噪声、近白），以及针对 gh⋆ 的 white-box adaptive joint prompt–image 攻击；另有把每个目标头的 gh⋆ 置 0 的 mix bypass。
  • 防御者能力：不修改推理时模型参数；在多模态预填充之后写一次 KV cache，生成阶段复用。
  • 受害系统：被测为 LLaVA-OneVision-7B、Chameleon-7B，以及补充实验中的 Qwen2-VL-7B、InternVL2-4B。

多模态安全与推理时对齐

• 语言骨干对齐与多模态失效：作者引用安全对齐在多模态适配后可能变差，对抗图像可与文本一起绕过已对齐行为 [3, 11, 25]。防御方向包括安全指令微调 [3]、提示级防护 [24, 28]，以及推理时表征干预 [10, 12, 18, 20, 22]。
• Steering 与激活修订：Steering 编辑与安全或拒答相关的方向；AutoSteer 额外定位这些方向，并用内部 prober 决定是否打开编辑 [18, 22]。Internal Activation Revision 与按头的方法同样针对激活 [5, 10]。HiddenDetect 表明 LVLM 隐状态带有可预测越狱的信号 [8]。
• 与本文的关系：作者称 SPARK 采用同一表征层面的视角，但编辑的是注意力记忆：K 与 V 在受控地偏向有害完成时如何移动，并且只在预填充写一次，而不是在解码时于残差流中做 steering。

安全子空间与行为位移

• VLM-Guard 与 InferAligner：VLM-Guard 从表征对比估计安全方向并投影出去 [12]；InferAligner 同样在推理时使用内部状态 [20]。
• 对比残差的问题：作者指出，有害–良性对比同时改变输入和行为，残差里也会包含普通图像与提示变化。SPARK 改为测量 input-matched displacement：对固定有害校准输入，用临时 Diagnostic Stress Adapter（DSA）诱导受控的安全退化扰动，见式 (1)。

事实编辑与 KV cache 压缩

• ROME、MEMIT 与 H2O、Scissorhands：作者把 Transformer 注意力写成式 (2)，并称键决定寻址、值携带被检索内容 [6, 17]。此前方法用相关记忆通路编辑事实关联（ROME、MEMIT），或在测试时压缩注意力 cache（H2O、Scissorhands）[14–16, 27]。
• 区别：作者称 SPARK 两者都不是：它为多模态安全编辑注意力 KV cache，投影 harm-calibrated 的 K/V 方向，恢复有用结构，并用当前 KV 状态导出的按头系数混合原记忆与修复记忆。

基线方法与基准

• 基线：未防御的 LLaVA [9]、Safety SFT [3]、Steer/AutoSteer [22]（解码时隐状态 steering）、VLM-Guard [12]、OmniSteer [18]，以及 Projection-AlwaysOn（所有目标头 gh⋆=1 的 SPARK）。Chameleon 上的 Safety SFT 另做固定种子的超参扫描。
• 基准：VLSafe [3]；作者自建的 ToViLaG [21] 文本、图像、文本+图像分区（各 n=500）；MM-SafetyBench [13]；能力侧为 MMMU [26] 与 RealWorldQA [23]（各 n=500），以及噪声、近白、裁剪的跨模态应力集。

作者把贡献定位为四点：固定输入上由临时诊断扰动得到的 input-matched KV 子空间；带键侧结构锚定与查询侧分离的 project-and-repair；由子空间能量 Eh 得到、且不依赖学习型有害检测器的按头闭式混合 gh⋆；以及对安全、效用、鲁棒性和开销的评测，并消融子空间、恢复损失与自适应混合。

SPARK 把 KV 空间的安全干预拆成诊断与修复：Stage 1 找出并去掉 harm-calibrated 位移方向，Stage 2 补回投影损失的信息，推理时按每个头的子空间能量在原 cache 与修复 cache 之间插值（Figure 1）。

问题设定与干预位置

• 输入与记忆：冻结 VLM 记为 fθ，输入 x=(xv, xt)。层 l、头 h 的键和值为 K=H WK、V=H WV（式 (3)）。作者干预在验证集上选定的一组层和头；未另说明时省略层下标。默认目标为偏视觉的后层 18–24。
• 只改预填充：预填充 KV cache 是多模态证据制约后续自回归解码的持久表示。SPARK 在多模态预填充之后干预一次，修复后的记忆贯穿整段生成，不在解码时反复 steering。
• 混合形式：对强度 gh∈[0,1]，Kout=(1−gh)K+gh Ks，Vout 同样（式 (11)）。gh=0 不改该头，gh=1 使用完整的投影并修复表示。没有样本级或层级别的系数。

Stage 1：harm-calibrated KV 位移

• DSA：冻结 fθ，在有害校准集 Dh 上训练秩 rDSA 的 Diagnostic Stress Adapter（∆WDSA），诱导受控地偏向不安全完成的偏移。主实验 rDSA=16，Dh 为 1K 条有害 VLSafe 发现样本。对同一输入记录基座与 DSA 扰动模型的键、值激活，残差为 ∆XK、∆XV（式 (4)）。
• 子空间：对堆叠后的 token 级残差分别做 SVD（式 (5)），保留前 rs 个右奇异向量作为 PK、PV。主实验 rs=8。作者称对激活残差而不是对 ∆WDSA 做分解，是因为隐表示 H 随 token、样本和模态变化，激活空间的方向才是随后被编辑的空间。
• 硬投影：正交投影器 ΠK=PK PK⊤、ΠV=PV PV⊤。投影后 K⊥=K(I−ΠK)，V⊥ 同样（式 (6)），使投影结果与这些基正交。提取方向不必是“只含有害成分”。子空间取出后丢弃 DSA，PK、PV 冻结。

Stage 2：恢复性 KV 对齐

• 残差适配器：独立轻量适配器 ϕ 从模型表示产生 ∆Kϕ、∆Vϕ，加到投影后的 cache 上得到 Ks、Vs（式 (7)）。它不重复投影，而是在三个约束下恢复信息。Stage 2 在 3K 对对比样本上训练；Lrecon、Lground、Lsep 的权重为 (1.0, 0.6, 0.4)。优化器 AdamW，学习率 2e−4，batch size 32，3 个 epoch，骨干冻结。
• 结构锚定 Lground：作者不用模型自身视觉特征去匹配 Ks，因为那会恢复产生该完成的外观；默认用训练无关的 Canny 边缘 [1] 作布局锚。C(xv) 经冻结视觉通路和冻结键投影得到 Gedge，只约束键（式 (8)）。默认阈值为 Tlow=100、Thigh=200。作者称键参与 QK⊤ 寻址，值在权重形成后携带内容，故结构先验只加在键上。
• 抑制子空间重建 Lrecon：惩罚修复后的 Ks、Vs 在冻结位移基上的能量（式 (9)）。因投影后该项只来自残差，适配器被鼓励在子空间之外恢复信息。
• 查询侧分离 Lsep：不编辑 Q，但惩罚查询在被抑制键方向上的对齐（式 (10)）。作者称 KV 投影去掉记忆中的校准方向，Lsep 减少同一键空间方向上的查询分量。

按头的最小干预强度

• 能量与目标：干预相关子空间能量 Eh(x)=‖K PK‖F²+‖V PV‖F²（式 (12)），作者强调这是这些基上的能量，不是有害性分数。混合后的残差能量 Lres 与改写代价 Lint 进入总目标 LSPARK=α Lres+β Lground+γ Lrecon+δ Lsep+λ Lint（式 (15)）。
• 闭式解：若修复支路已落在 Stage 1 基之外，与 gh 有关的部分按头分离为 Jh(gh)=α(1−gh)² Eh+λ gh（式 (16)）。裁剪到 [0,1] 得到 gh⋆=clip(1−λ/(2α Eh), 0, 1)（式 (18)）。Eh=0 时 gh⋆=0；Eh≤λ/(2α) 时不编辑（式 (19)）。作者称 gh⋆ 来自当前 KV 状态能量与编辑代价的折中，不是 P(有害|x) 的估计，也没有二值指示器或学习型检测器。
• 分位校准：在与 Stage 1–2 以及 MMMU/RWQA 不相交的良性池 Db（n=3,000）上，把 λ/(2α) 设为良性逐头 Eh 的第 90 百分位。按此规则，90% 的良性（样本, 头）对上 gh⋆=0；因为一条输入含多个目标头，约 86% 的良性输入在全部目标头上都不干预，14% 至少有一个头 gh⋆>0。作者把这 14% 称为输入级干预率，而不是有害分类器的假阳率。

数据划分与成功判定

• 四份不相交划分：发现用 1k 有害 VLSafe 做子空间提取；对齐用 3k 安全/不安全对比对（提示匹配）训练 Stage 2，其中 MS-COCO 安全图像配 ToViLaG 对抗上下文，类别覆盖暴力、非法行为、自伤和露骨内容；系数校准用 3k 良性多模态 VQA 提示确定 Eh 百分位，且与 MMMU/RWQA 测试 ID 分开；评测在未见的安全与能力测试上。Stage 1 用未过滤的响应激活轨迹，而不是静态拒答标签。
• 判定：有害性由指令微调的 LLM 评审按固定二元量规打分；附录 S7 给出三条标准、平局规则和完整提示词。人工审计一致性为 κhuman-human=0.89、κLLM-human=0.84（n=500）。ASR 在 VLSafe 与自建 ToViLaG 三分区上报告；作者注明原始 ToViLaG 是生成式毒性数据集，并未定义这些分区。

实验设置

• 模型：主骨干 LLaVA-OneVision-7B，完整防御对比还有 Chameleon-7B。同一协议（按骨干做 Eh 百分位与层校准）另用于 Qwen2-VL-7B 与 InternVL2-4B，但不在后两者上重跑完整 Steer/OmniSteer 网格。
• 数据：VLSafe 文本；ToViLaG 的文本、图像、文本+图像分区，各 n=500，由作者为 VQA 式越狱测试构建。能力为 MMMU 与 RealWorldQA，各 n=500。另有跨模态应力集，以及补充的 MM-SafetyBench。
• 基线：未防御模型、Safety SFT、Steer、AutoSteer、VLM-Guard、OmniSteer、Projection-AlwaysOn。Table 2 为共享解码下的 matched-protocol 复现；仅过滤的对照在附录 S8。
• 指标与评审：ASR 越低越安全；MMMU、RealWorldQA 准确率越高效用越好。指令微调 LLM 评审使用固定二元量规；κhuman-human=0.89，κLLM-human=0.84（n=500）。
• 实现与重复：层 18–24，rs=8，rDSA=16。种子 {13, 17, 23}。子空间发现约 2.1 GPU 小时，训练约 3.4 GPU 小时，设备为 8×A100-80GB。作者用配对 bootstrap 报告 p<0.01。Table 2 为均值，方差在附录。

主结果

Table 2（ASR ↓ / Acc ↑；‡ 表示该行 SPARK 优于最强非 SPARK 防御，配对 bootstrap p<0.01）：

表格较宽，可左右滑动

设置	LLaVA 原模型	LLaVA SPARK	Chameleon 原模型	Chameleon SPARK
VLSafe 文本 ASR	60.0	3.1	67.8	10.2‡
ToViLaG 文本 ASR	44.8	2.4	51.6	11.9‡
ToViLaG 图像 ASR	70.6	4.7‡	52.0	31.4
ToViLaG 文本+图像 ASR	30.0	7.4	56.1	9.1‡
RealWorldQA	61.8	60.7	60.0	58.8
MMMU	48.4	47.8	32.0	31.2

• 作者解读：在 LLaVA-OV 上，SPARK 的 ToViLaG 纯图像 ASR 最低（4.7%，次优 6.8–7.3%），MMMU/RWQA 接近原模型（47.8/48.4，60.7/61.8）。Steer 在 VLSafe 文本（2.0 对 3.1）、ToViLaG 文本（1.6 对 2.4）和文本+图像（1.2 对 7.4）上更低；作者认为这与语言主导的越狱以及解码时隐状态 steering 一致。
• Chameleon：SPARK 在 VLSafe 文本（10.2%）、ToViLaG 文本（11.9%）和文本+图像（9.1，Steer 为 9.4）上取得该行最低 ASR，防御侧 MMMU 最高（31.2，VLM-Guard 为 27.2）。纯图像上 Steer 更低（29.3 对 31.4），SPARK 仍低于 OmniSteer（40.8）和 VLM-Guard（37.9）。
• 图像差距：作者称 LLaVA 与 Chameleon 的 4.7% 对 31.4% 反映早期融合和保守门控。在 Chameleon 纯图像有害查询上强制投影把 ASR 降到 26.7%，但增加良性拒答并降低 MMMU（附录 S14，Table S25）。Safety SFT 在 Chameleon 上最佳扫描检查点只有 14.8 MMMU，SPARK 为 31.2；作者因此把 SPARK 当作训练时对齐的互补推理时层。

子空间、混合与其他骨干

• 子空间构造：Figure 2(a)–(b) 为样本残差堆叠上的奇异值谱与累积能量，作者据此保留 rs=8。图 (c) 标注：input-matched ∆X 为 ASR 5.2、MMMU 47.9；有害–良性对比 18.0/47.6；对 ∆WDSA 做 SVD 为 23.5/47.5；随机基 30.4/47.2；良性 VQA 子空间 34.6/47.4。作者称独立估计的基在种子与发现集变化下仍大幅重叠（投影相似度 S(Ua, Ub)，附录 S9，Table S22）。
• 按头能量：Figure 3 画在样本良性/有害图像、层 18–24 上。作者称大多数头低于 T=λ/(2α)（自然图像池上为 6.2），有害分布有更重的尾部，而不是在 Eh=T 处分开。Eh≤T 时 gh⋆=0。第 90 百分位时，14% 的良性输入和 80% 的有害输入至少有一个头 gh⋆>0。更低截断提高良性输出拒答（第 80 百分位行 9.4%）；第 95 百分位漏出不安全上下文（有害验证 ASR 11.5%，第 90 百分位为 5.2%）。作者称误触发集中在结构密集、Eh 天然高的图；对所有头强制 gh⋆=1 使 AI2D 从 62.4% 降到 31.2%（选择性 gh⋆ 为 62.0%，附录 S14）。
• Qwen2-VL 与 InternVL2：附录 Table S23。Qwen2-VL：VLSafe 文本 45.2%→9.8%，ToViLaG 图像 58.4%→14.2%，MMMU 49.1 对基座 50.3，RWQA 55.6 对 56.8。InternVL2-4B：VLSafe 文本 48.7%→12.7%，ToViLaG 图像 62.1%→17.6%，MMMU 44.2 对 45.8，RWQA 50.9 对 52.4。作者称效用下降小但不均匀，与部分迁移而不是完全相同的迁移一致。

社区基准、自适应攻击与消融

• MM-SafetyBench：同一 LLM 评审与解码设置下，SPARK 的 ASR 为 12.4%，基座 39.2%，低于复现的 OmniSteer（14.8%）（附录 S17）。
• 自适应攻击：针对 gh⋆ 的 white-box 自适应攻击使 SPARK 的 ASR 升至 15.9–20.3%（联合为 20.3%；同一协议下 AutoSteer 为 22.7%）。mix bypass（每个目标头 gh⋆=0）达到 38.6%。作者称这表明对自适应规避的鲁棒性有限。未防御模型在联合自适应设置下为 54.6%（摘要；Table S38 同一数字）。
• Table 3 消融（LLaVA-OneVision；完整 SPARK 的 ASR 5.2、MMMU 47.9）：去掉 Lground 为 6.1 / 42.1；Lground 同时用于键和值为 5.1 / 44.5；去掉 Lsep 为 9.8 / 47.5；始终投影（gh=1）为 5.0 / 45.9。在 RealWorldQA 上，Lsep 的良性拒答率作者称统计上不变（1.2% 对 1.3%）。正文另写始终投影使 ASR 与 MMMU 一起下降（45.9 对门控的 47.9）。

其他消融与分析

• Canny（Table 1，White-ASR / MMMU / RWQA）：无结构先验 12.7 / 42.1 / 54.9；默认 Tlow=100、Thigh=200 为 8.9 / 47.9 / 60.7。作者称相对无先验，White-ASR −3.8、MMMU +5.8。Tlow/Thigh 为 50/150 时 9.1 / 47.8 / 60.6，150/250 时 9.2 / 47.6 / 60.5。
• 结构锚（Table S36）：打乱边缘 14.1 / 40.6 / 52.8；模糊 Canny 9.2 / 47.4 / 60.1；Sobel 9.0 / 47.8 / 60.6；HED 9.3 / 47.7 / 60.5。作者称打乱位置比去掉先验更差，Sobel/HED/模糊 Canny 接近默认，收益来自空间对应，而不是 Canny 独有；输入模糊与 CLIP 仍低于 SPARK。
• 排版越狱（Table S37，n=500 纯图像有害）：SPARK 4.7±0.3 ASR、MMMU 47.8±0.3；仅高斯模糊 28.6±1.1 / 47.2±0.4；无 Canny 锚 10.4±0.6 / 44.3±0.4。
• 诊断（Table 4，均值）：Aimg→unsafe（有害）由 0.41 到 0.19；基去除 ASR 由随机补丁 33.8 到已识别方向 11.3（层 18–24）；有害→安全最近质心率由 28.4% 到 58.2%。作者称这些检查支持干预相关方向，而不是单一因果机制。
• 层与开销：作者称中层 12–16 较弱，只做深层 24–28 校正不足，18–24 平衡最好。预填充开销 +1.6%，无逐 token 解码开销（Table S18）；相对地，AutoSteer 为每 token +7.8% 解码开销。Figure 5 为端到端开销随 batch size 的曲线，作者称预填充开销不大。跨模态应力中，作者称裁剪攻击上的相对 ASR 降幅最大（附录 S3，Table S3）；Table S38 列出 Stress White 子集基座 49.1、OmniSteer 11.7、SPARK 8.9。

作者指出的局限与后续方向

• 评测范围：Limitations 写明评测了模板越狱、应力损坏和 white-box 自适应攻击（附录 S17）。
• 校准与泄漏：子空间使用 1k 条 VLSafe 样本；过松的 Eh 百分位或 OOD 攻击可能漏出不安全输出（Section S5）。
• 结构先验：作者称 SPARK 并不必须使用 Canny，此处把它当作确定性、训练无关的结构先验；学习的或任务自适应的锚定可能更强。
• 不能替代其他检查：作者称 SPARK 不是安全检查和对抗测试的替代。
• 结论中的强弱：结论写，若干视觉与跨模态划分上的安全–效用有改善，文本中心越狱和自适应混合攻击上的收益更低。

实验覆盖范围

• 骨干：完整防御对比为 LLaVA-OneVision-7B 与 Chameleon-7B；Qwen2-VL-7B 与 InternVL2-4B 使用同一 SPARK 协议，论文写明未在后两者上重现完整 Steer/OmniSteer 网格。
• 划分与规模：发现 1k、对齐 3k、系数校准 3k，与评测不相交；ToViLaG 三个自建分区及 MMMU、RealWorldQA 各 n=500；评审一致性审计 n=500。
• 攻击与防御对照：Table 2 含未防御、Safety SFT、Steer、AutoSteer、VLM-Guard、OmniSteer；另有始终投影、针对 gh⋆ 的自适应攻击和 gh⋆=0 的 mix bypass。
• 消融：Table 3 改变 Lground、Lsep 和 gh；Table 1 与 Table S36 改变结构锚；Figure 2(c) 比较 input-matched、有害–良性、∆W 的 SVD、随机基和良性 VQA 子空间。
• 统计与开销：主结果为种子 {13, 17, 23} 的均值，配对 bootstrap p<0.01；论文报告预填充 +1.6% 与无逐 token 解码开销，子空间发现约 2.1 GPU 小时、训练约 3.4 GPU 小时。

SPARK 是一种不改 VLM 参数、只在预填充后改写一次 KV cache 的推理时防御，用来处理分散在文本和图像上的越狱。

• 问题：语言侧对齐盖不住多模态越狱；不安全输出又不直接给出该抑制的内部方向，有害–良性对比还会混入普通图像和提示差异。宽泛的 steering 或始终投影会连有用能力一起压低。
• 方法：一次性 DSA 在固定有害输入上产生键、值位移，SVD 取 rs=8 的子空间后丢弃适配器并正交投影。Stage 2 用轻量残差补回信息，以 Canny 边缘只锚定键，并惩罚子空间重建和查询对齐。每个头用子空间能量 Eh 的闭式 gh⋆ 在原 cache 与修复 cache 之间混合；阈值取良性逐头 Eh 的第 90 百分位，作者称这不是有害概率。
• 安全结果：LLaVA-OneVision-7B 上，ToViLaG 纯图像 ASR 从 70.6% 到 4.7%（Table 2，该行最低）。MM-SafetyBench 从 39.2% 到 12.4%。white-box 自适应联合攻击下为 20.3%（未防御 54.6%），把 gh⋆ 全部置 0 则到 38.6%。
• 例外：LLaVA 的 VLSafe 文本、ToViLaG 文本和文本+图像上，Steer 的 ASR 更低（2.0、1.6、1.2，对 SPARK 的 3.1、2.4、7.4）。Chameleon 纯图像上 Steer 为 29.3，SPARK 为 31.4。
• 效用与开销：LLaVA 的 MMMU 为 47.8（原模型 48.4），RealWorldQA 为 60.7（原模型 61.8）。始终投影的 MMMU 为 45.9。预填充开销 +1.6%，作者称没有逐 token 解码开销。作者的结论是：选择性修复干预相关的 KV 子空间可以缓解多模态越狱，尤其当有害证据在视觉模态上；文本中心越狱和自适应混合攻击上的收益更低，且不能替代安全检查与对抗测试。