无需梯度或先验的大语言模型越狱：有效且可迁移的攻击
Jailbreaking LLMs Without Gradients or Priors: Effective and Transferable Attacks
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出无需梯度和人工先验的越狱优化框架 RAILS，仅利用模型 logits 做 token 级迭代局部搜索。
- 现有 LLM 安全评估常高估鲁棒性，因为自动化攻击依赖手工先验或需要白盒梯度，且梯度方法绑定特定 tokenizer，难以跨词表迁移。作者希望仅凭模型 logits 就能有效越狱并迁移到闭源系统。
- 提出 RAILS，一种无梯度、无先验的随机迭代局部搜索框架：用强制精确前缀匹配的自回归损失（AR loss）引导 token 级扰动，并用基于历史缓冲的候选选择策略平衡低损失与时间多样性；因不依赖梯度，可对词表不重叠的模型做跨 tokenizer 集成攻击。
- 在 HarmBench 上，RAILS 在 Vicuna、Qwen、Baichuan2 上接近 100% ASR，在 Llama2 上达 90.2%，高于 GCG 的 43.9%；跨模型迁移在 GPT-3.5 达 82.9%、Gemini Pro 达 51.2%，优于使用 GPT-4 作源的 TAP-T。消融显示历史选择与 few-shot 攻击把 ASR 从约 42% 提升到 80%，短后缀更易迁移，集成多样性提升迁移性。
- RAILS 仍需大量模型查询，计算开销较高；研究只评估模型级防御，未测试输入/输出过滤或 moderation API 等系统级防御；为何某些 token 扰动更易泛化仍待可解释性研究。
研究者提出无需梯度和人工先验的越狱优化框架 RAILS，仅利用模型 logits 做 token 级迭代局部搜索。该方法以自回归损失强制前缀精确匹配，并用基于历史的候选选择弥合代理目标与真实攻击成功率之间的差距。在 HarmBench 上，RAILS 在 Vicuna、Qwen、Baichuan2 上达到 100% 攻击成功率，在 Llama2 上为 90.2%，高于 GCG 的 43.9%。以 Llama2、Vicuna、Qwen 集成优化后，跨 tokenizer 攻击向 GPT-3.5 Turbo、Gemini Pro 1.5、GPT-4 Turbo 的迁移成功率分别为 82.9%、51.2% 和 22.0%。作者称在会过滤掉 5% 真实用户提示的困惑度阈值下，RAILS 在 Llama2 上仍保持 38% 成功率。
推荐理由论文给出无需梯度与人工先验的越狱优化方法，并在开源与闭源模型上报告攻击成功率与迁移数据，可供红队方法对照。