ECHO：以回复危害性替代合规代理的优化式越狱攻击

1. 01这篇论文试图解决什么问题？

   优化式越狱只最大化肯定前缀似然，ECHO改用解码回复的危害分数来搜索。

   优化式越狱最大化的是肯定前缀似然，而不是解码回复是否真正有害。

   • 场景：作者称大语言模型已用于高风险产品，仍会被越狱提示词绕过安全对齐并引出不允许内容。作者认为，能暴露已部署API漏洞、并给对抗微调、拒绝训练和circuit breakers提供对抗提示词的方法因此重要。
   • 现有不足：手工方法把探索固化进固定模板；LLM生成式方法每轮支付攻击模型的推理成本，并继承其风格偏差。优化式方法不需模板和攻击模型，但GCG、AutoDAN、LARGO都最大化受害回复以肯定合规前缀开头的似然；DSN与AdvPrefix记录了该代理错配，补救仍留在合规匹配族内。
   • 核心问题：作者称该代理算在提示词上，谨慎回避和可执行的有害回答可以同分，搜索看不到模型实际说了什么。作者问：能否只用模型自身解码回复的危害程度来驱动搜索；评分须连续、单次轻量前向可完成，并依据真实有害能力而非表面安全线索。
   • 本文提出：黑盒框架ECHO，用1.7B回归器HarmSig的响应级连续危害分替换token级合规代理，配合五个词级扰动算子和带全局top-m记忆的Keyword-Anchored Beam Search。
   • 威胁模型：
     • 访问：对目标LLM为black-box，可提交提示词并观察生成，没有参数或梯度。
     • 排除项：受害模型梯度、logit或概率、辅助攻击LLM、预定义越狱模板、固定肯定目标串、多轮交互。
     • 目标：把有害意图xmal映射为xadv，使单轮回复y=M(xadv)在评分目标下被判为有害；无对话历史。
     • 作者定位：作者称附录Table 8中，ECHO是同时满足这六项条件的唯一方法。

   收起这一问

2. 02有哪些相关研究？

   作者把越狱分成手工、LLM生成和优化式三类，并批评后一类共用合规代理。

   作者按是否做优化式搜索来分组，并把优化式方法收束到同一个合规代理模板。

   手工与规则式越狱

   • 固定变换：FlipAttack（Liu等，2025）做文本翻转，ArtPrompt（Jiang等，2024）用ASCII编码，Speak Easy（Chan等，2025）做多步多语交互；另有少样本角色框定（Zheng等，2025），以及把多轮对话压成单轮的M2S（Ha等，2025）。引言还把Wei等（2025）、Zhou等（2024）、Anil等（2024）列在相关构造里。
   • 作者的批评：作者称策略固化在固定变换或提示模式中，没有自适应生成环，多样性受人类创造力限制，表面模式一旦被识别就可以被修补。

   LLM生成式越狱

   • 攻击模型改写：PAIR（Chao等，2025）和TAP（Mehrotra等，2024）用社会工程或树搜索，把提示词生成交给攻击LLM。
   • 其他生成器：GASP（Basani与Zhang，2025）在语义嵌入空间做贝叶斯优化；RedAgent（Xu等，2026a）加入多智能体自反思；Jailbreak-R1（Guo等，2025）用强化学习追求多样性；AdvPrompter（Paulus等，2025）训练生成器朝token级目标优化。
   • 作者的批评：作者称它们缓解了静态模板瓶颈，但每轮都要付攻击模型的推理预算，并可能被攻击模型自身的安全对齐拦住（Kritz等，2025）。

   优化式越狱

   • 搜索机制：GCG（Zou等，2023）结合贪心坐标与梯度寻找通用对抗后缀；I-GCG（Jia等，2025）扩展多样目标模板；AutoDAN（Liu等，2024）用分层遗传算法；LARGO（Li等，2025）在连续潜向量上做梯度优化。ADC（Hu等，2024）用稠密到稀疏约束连接离散与连续优化；CRI（LeVi等，2025）沿合规方向改进GCG初始化。
   • 共用的目标：作者称尽管流程不同，共同模板都是用token级合规代理监督，而不是完整解码回复的危害程度。肯定前缀似然驱动GCG与AutoDAN；DSN（Zhou等，2025）加拒绝token抑制；AdvPrefix（Zhu等，2025）按模型细化前缀目标；LARGO把合规式目标放在潜空间；TAO-Attack（Xu等，2026b）惩罚伪有害补全，但仍保留第一阶段前缀监督。
   • 与本文的分界：作者称AdvPrefix和DSN记录了代理错配，但仍留在该族内；ECHO改为用HarmSig对受害模型的完整解码回复排序。

   实验基线与基准

   • 对照：主实验基线为FlipAttack、DeepInception、PAIR、GCG、AutoDAN、DSN。基准为AdvBench（520条有害行为）和HarmBench的标准200行为子集（六类）。

   作者把本文定位为：不最大化肯定前缀似然，而用响应级危害分驱动黑盒、单轮、无攻击模型、无模板的搜索。

   收起这一问

3. 03论文如何解决这个问题？

   离线冻住HarmSig和算子权重，在线用词级扰动加束搜索最大化响应危害分。

   离线准备一次并冻住HarmSig与算子权重，在线用关键词约束的束搜索最大化响应级危害分。

   问题设定

   • 优化目标：从恶意目标xmal经第3.3–3.4节搜索可达的提示词集合记为X(xmal)。目标写成 x^∗_adv=argmax_{x∈ X(xmal)} F(M(x))，F把回复映到[0,1]，即HarmSig对完整解码回复的分数。
   • 不设前缀目标：作者称肯定目标串只是合规代理；去掉它后，目标不约束回复词形，只看解码内容实际给出了什么。
   • 流程：Figure 2是离线准备，Figure 3是在线循环。单轮、无对话历史；六项访问排除见第1问。

   HarmSig与算子权重

   • 回归器：骨干为Qwen3-1.7B，注意力投影上加LoRA；最终token隐状态接两层MLP再经sigmoid。搜索时对回复文本做一次前向，只编码回复。
   • 教师：29,744条真实越狱轨迹上的受害回复，标签是Qwen3.5-27B、GPT-OSS-Safeguard-20B、Gemma-4-26B-A4B-IT的平均分。用MSE而不是二值交叉熵，以保留邻近候选的排序。
   • 训练数据：候选目标相对AdvBench、HarmBench做字符5-gram Jaccard去重，阈值0.88。留出4,460条验证，训练25,284条，截断到1,024个子词。附录B给出AdamW、LoRA r=16、三轮等细节；按验证集Spearman相关选检查点。
   • 权重：w在单纯形上只调一次。Figure 2的验证池为100个恶意目标，探针模型为Llama-2-7B-chat。坐标z在[-4,4]的四维区间内，经softmax（第五个logit钉住）得到五个算子概率；高斯过程加expected improvement最大化各目标轨迹最高F的平均。大实验中权重固定。

   五个词级算子

   • 关键词表K：搜索前从xmal取非停用词内容词及其WordNet同义词，此后固定。算子和可行性过滤都作用在K上，用来保住恶意意图的语义身份。
   • 替换类：CORE替换属于K的词，换成该词同义词集中的另一个；PERIPH替换K以外的外围内容词。每步只抽一个算子，产生一跳邻居。
   • 其余三类：PRESSURE在抽样位置插入要求更具体、更有步骤或语气更缓的短修饰；DELETE仅在通过关键词可行性检查时删除；SWAP交换两个相邻的非保护词。作者称SWAP是词级的Damerau–Levenshtein换位。

   Keyword-Anchored Beam Search

   • 扩展：束宽至多k。每个提示词按w抽b个子代；关键词不可行的丢弃，其余完整回复由F打分。
   • 记忆与停止：前k个子代进入下一深度；被接受的子代都并入全局top-m缓冲H。最多T步，或任一回复达到阈值α即停。Algorithm 1返回H中的最优提示词。
   • 查询：top-m回复在搜索中已解码并缓存，报告best-of-m不再额外查询受害模型。作者称其他探索器可以替换限宽层，但其消融里束搜索变体的权衡最好，因此采用该变体。
   • 默认参数：除非另述，k=10，b=5，T=20，α=0.8，m=25。从原始恶意目标出发，不用越狱模板。

   收起这一问

4. 04论文做了哪些实验？

   五个开源受害模型上，ECHO的top-m=25在SR与HB上都高于Table 1各基线。

   实验设置

   • 受害模型：Llama-2-7B-Chat、Llama-2-13B-Chat、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Gemma-3-12B-IT。附录H另把已得提示词零查询迁到GPT-5.4。
   • 数据：AdvBench为520条有害行为，覆盖非法活动、暴力、欺诈和隐私侵犯。HarmBench为标准200行为子集，六类：Chemical & Biological、Cybercrime、Harassment、Harmful、Illegal、Misinformation。
   • 基线与选择：FlipAttack、DeepInception、PAIR、GCG、AutoDAN、DSN。top-m=1是单条输出对照；top-m=25取全局记忆中的最好一条。这25条在同一次搜索中已生成并缓存，不追加受害模型查询。
   • 指标：StrongREJECT（SR）是[0,1]连续分数，作者称用来缓解基于关键词的ASR的过度拒绝偏差。HarmBench（HB）是二值分类器成功率（%）。作者称两个结构不同的评审用来避免只拟合单一校准。
   • ECHO预算：k=10，b=5，T=20，α=0.8，m=25；权重在验证池上贝叶斯优化后固定。作者称默认配置每目标最多1000次受害模型查询，早停后平均877次。
   • 评审与重复：论文未写StrongREJECT和HarmBench分类器的模型版本与判定阈值，也未报告主实验随机重复次数。人工部分为两名标注者盲评。

   主结果

   下表据Table 1。格内为SR / HB（%）。五行是全部受害模型。省略GCG、AutoDAN、DeepInception三行，以免超过列数。

   表格较宽，可左右滑动

   模型	ECHO m=25	ECHO m=1	DSN	PAIR	FlipAttack
   Llama-2-7B-Chat	0.835 / 78.27%	0.685 / 58.27%	0.385 / 54.42%	0.320 / 21.15%	0.104 / 10.19%
   Llama-2-13B-Chat	0.821 / 75.19%	0.685 / 58.46%	0.174 / 17.69%	0.367 / 25.58%	0.238 / 28.85%
   Llama-3.1-8B-Instruct	0.857 / 80.38%	0.710 / 65.96%	0.357 / 40.00%	0.518 / 53.46%	0.239 / 26.92%
   Qwen2.5-7B-Instruct	0.898 / 89.23%	0.780 / 71.92%	0.568 / 64.81%	0.510 / 48.27%	0.378 / 35.00%
   Gemma-3-12B-IT	0.702 / 81.54%	0.525 / 52.69%	0.161 / 6.15%	0.168 / 17.50%	0.602 / 65.00%

   • 合规代理：作者称在safety-tuned的Llama-3.1上，以肯定前缀似然为目标的攻击进入平台期：模型仍会对许多对抗后缀给出肯定式开头，正文却保持回避；代理记为成功，StrongREJECT给低分。未列入上表的Table 1格子中，该模型上GCG为0.303 / 30.00%，AutoDAN为0.045 / 0.58%。
   • 其余基线：作者称DSN的辅助信号仍对对齐体制敏感；PAIR是文中提到的、在Llama-3.1上有竞争力的另一方法，但推理时需要辅助攻击LLM。ECHO top-m=1在四个模型上领先，只在Gemma-3-12B-IT上低于FlipAttack；top-m=25在该模型上回到领先。作者称没有基线超过65%；上表基线HB的最高格是FlipAttack对Gemma-3-12B-IT。据Table 1，省略三行在各模型上的SR与HB都低于同模型ECHO top-m=25。
   • 记忆与饱和：作者称全局top-m收回束剪枝丢掉的高分提示词，因此top-m=25在每个受害模型上都高于top-m=1。作者称Figure 4中SR与HB曲线在m≈20–25附近饱和，两种指标的模型排序在五个里有四个一致；图注写在m≈25附近饱和。Table 10中m=25之后仍有上升，例如Qwen2.5-7B在m=100时SR为0.907、HB为91.35%；作者称按该表精度，m>100后不再变化。

   评分器消融

   • 设置：Table 3只换内层评分函数，搜索环、算子池、受害模型、预算和评测协议不变。n=100个目标，受害模型为Llama-2-7B-Chat。四个评分器为Random、关键词覆盖率、合规代理和HarmSig。合规代理对肯定前缀token的平均对数概率做sigmoid（平移5），需要白盒logit；其余三者不需要。
   • 结果：SR / HB（%）为Random 0.062 / 1、Keyword 0.099 / 2、合规代理0.253 / 8、HarmSig 0.793 / 59。墙钟分别为73.96、74.48、81.90、81.80秒/目标。
   • 作者解读：作者给出的顺序是Random低于Keyword，再低于合规代理，再低于HarmSig。作者称关键词只略高于随机，因为回复可以含目标词而不提供可执行内容；合规代理虽有白盒logit，分数大约只有HarmSig的三分之一，且能引出肯定式开头，但不能把正文导向真正有害的内容。作者把StrongREJECT当作此处主指标：Gemma-3-12B-IT更常给出不够具体的恶意回复，二值HB会计为越狱，SR给低分。

   跨模型迁移

   • 设置：Table 2在源模型上用HarmSig扩展束，然后冻结每目标top-m=25条提示词，不再搜索，直接拿到目标模型上评。n=520。格子为SR@25 / HB@25（%）。
   • 结果：Llama-2-7B与Llama-2-13B互相迁移的SR为0.661–0.674。Gemma-3-12B-IT作源时，Qwen2.5-7B为0.786 / 65.00%，Llama-3.1-8B为0.741 / 60.77%。Qwen2.5-7B作源时，Llama-2族为0.436–0.458 SR，Llama-3.1-8B为0.690 SR。
   • 作者解读：作者认为共享对齐训练的模型会继承相似的、会触发拒绝的表面模式；并认为在能力更强的受害模型上优化，得到的提示词针对的脆弱区间不同于Llama-2上调出的提示词。作者称非对角项没有接近零，并把这解释为提示词带有可迁移对抗结构，而不是源模型痕迹。

   人工核验与闭源零查询

   • 人工：两名标注者独立评ECHO的top-m=1输出，不看HarmSig、SR、HB。与消融相同的100个目标，模型为Qwen2.5-7B-Instruct和Llama-2-13B-Chat，共200条（Table 6）。HB / 标注者A / 标注者B：Qwen为80% / 78% / 80%，Llama-2-13B为62% / 63% / 65%，合并为71.0% / 70.5% / 72.5%。Table 7：HB与A的一致率94.5%、Cohen's κ=0.87；HB与B为91.5%、0.79；A与B为95.0%、0.88。作者称两名标注者紧跟HarmBench。
   • GPT-5.4：附录H、Table 13，同一100个AdvBench目标。提示词来自Llama-2-7B-Chat实验并按HarmSig排序，不做目标侧搜索。top-m=1为SR 0.165、HB 0.0%；top-m=25为SR 0.564、HB 10.0%。
   • 运行时间：Table 5在Llama-2-7B-Chat、100个AdvBench目标、NVIDIA RTX PRO 6000上，每目标平均秒数为AutoDAN 357.15、GCG 126.23、DSN 63.22、ECHO 81.80。作者称ECHO快于GCG和AutoDAN，慢于DSN。

   其他消融与分析

   • 搜索策略（Table 4，Llama-2-7B-Chat，n=100，HarmSig固定，20步、每步50次目标评测）：SA为0.161 / 5%，Greedy为0.376 / 21%，plain Beam为0.626 / 48%，ECHO为0.793 / 59%。作者称SA会被Boltzmann接受准则带到更弱候选；ECHO相对plain beam增加关键词可行性、BO权重和全局记忆，作者给出+0.167平均SR和+11个HB百分点。
   • HarmBench分类（Table 12，top-m=25，n=200）：作者称Harassment最难，Llama-2-13B为42.1%、Gemma-3-12B为47.4%；Qwen的Chemical & Biological与Cybercrime均为100.0%，Llama-3.1-8B的Cybercrime为100.0%、Chemical & Biological为78.6%。Gemma的Misinformation为SR 0.534、HB 97.1%。
   • 多语（附录F，同一100目标译成法/德，Qwen2.5-7B-Instruct，保留原算子边际）：法语top-m=1为0.627 / 70%，top-m=25为0.806 / 92%；德语为0.661 / 85%与0.884 / 97%。
   • 查询削减（附录G，Llama-2-7B-Chat，100目标）：独立重跑基线平均871.50次查询（作者称因随机性不是877），降至779.28次，降10.58%（95% CI [5.81, 15.14]）；耗时从81.80秒到70.06秒。top-m=1的SR/HB从0.784 / 67%到0.736 / 64%，top-m=25从0.883 / 84%到0.867 / 83%。作者称质量差异的配对置信区间都包含零。
   • HarmSig验证（Table 9，4,460条）：第3轮Spearman ρ=0.846，RMSE 0.164，MAE 0.105，阈值0.5下准确率0.896、F1 0.820。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者指出独立安全分类器、查询预算和中日文分词会限制闭源与多语使用。

   作者指出的局限与后续方向

   • 商业分类器：作者称商业系统把模型对齐与独立的输入/输出安全分类器结合起来，会进一步降低ECHO的攻击成功率。（Limitations）
   • 查询预算：作者称ECHO的查询预算大，使对这类API的直接优化代价高。（Limitations）
   • 闭源迁移：作者称零查询迁移避开了优化成本，但迁到GPT-5.4在top-m=25下HarmBench成功率为10.0%（附录H）；这些未被观测到的安全目标仍是闭源部署的局限。（Limitations）
   • 书写系统：多语评测只覆盖法语和德语。作者称扩展到中文、日文等非字母或混合书写系统仍然困难，因为词级算子和关键词约束依赖可靠分词与词汇资源，技术术语和新词的覆盖也可能有限。（Limitations）

   实验覆盖范围

   • 主结果受害模型为Llama-2-7B-Chat、Llama-2-13B-Chat、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Gemma-3-12B-IT；AdvBench为520条。HarmBench为标准200行为、六类，附录D给出top-m=1与top-m=25的分类结果。
   • 基线为FlipAttack、DeepInception、PAIR、GCG、AutoDAN、DSN；指标为StrongREJECT与HarmBench分类器成功率。论文未报告这两种评审器的模型版本和判定阈值，也未报告主实验的随机重复次数。
   • 评分器消融与搜索消融都在Llama-2-7B-Chat的100个目标上（Table 3、Table 4）。跨模型迁移为5×5网格、n=520、每目标top-m=25（Table 2）。
   • 人工核验为两名盲标、200条top-m=1回复，来自Qwen2.5-7B-Instruct与Llama-2-13B-Chat各100条（Table 6–7）。
   • 附录F在同一100目标的法语和德语译文上评Qwen2.5-7B-Instruct。附录H把Llama-2-7B-Chat搜索得到的提示词零查询迁到GPT-5.4，不做目标侧再搜索。

   收起这一问

6. 06总结一下论文的主要内容

   ECHO用HarmSig的响应危害分驱动黑盒束搜索，top-m=25高于Table 1所列基线。

   ECHO是黑盒优化式越狱框架，用解码回复的危害分替换肯定前缀似然。

   • 问题：GCG、AutoDAN、LARGO一类方法最大化受害模型以肯定合规前缀开头的似然。作者称该代理不区分谨慎回避和可执行的有害回答。ECHO要在无梯度、无logit、无攻击模型、无模板、无固定前缀目标的单轮black-box设定下，只按完整回复的危害程度搜索。
   • 方法：三名前沿教师给29,744条轨迹回复打平均分，蒸馏出1.7B回归器HarmSig；贝叶斯优化在100个目标的验证池上标定五个词级算子的抽样权重。在线搜索用关键词可行性过滤，默认束宽10、分支5、深度20、早停阈值0.8、全局记忆25，最大化HarmSig。
   • 主结果：AdvBench上，ECHO的top-m=25在五个开源受害模型的SR和HB上都高于Table 1的基线。Qwen2.5-7B-Instruct为SR 0.898、HB 89.23%；作者给出的HB区间为75.19%–89.23%。top-m=1在Gemma-3-12B-IT上低于FlipAttack，top-m=25回到领先。
   • 对照实验：同一搜索环、Llama-2-7B-Chat、n=100时，HarmSig为SR 0.793、HB 59%，需要白盒logit的合规代理为0.253、8%（Table 3）。冻结提示词后，Gemma-3-12B-IT源在Qwen2.5-7B上为0.786 / 65.00%（Table 2，n=520）。零查询迁到GPT-5.4的HB为10.0%（附录H，top-m=25，100目标）。
   • 作者结论：作者称增益来自评分函数，而不是其余搜索设计；所得提示词可跨模型族迁移。作者进一步称，一旦搜索信号看的是解码回复，当前安全对齐对表层编辑仍然脆弱。

   收起这一问

相关论文