基于可复制上下文的护栏无法为 LLM 提供可靠安全

研究者论证，大语言模型护栏在决定是否回答时看不到答案将如何被使用，而攻击者可以模仿良性请求和交互历史，这对双用途任务构成根本限制。论文将模型释放的能力与关于下游使用的证据分离，证明当证据可复制时，在保留有用回答的条件下攻击者辅助存在最坏情况下的下限，由此得出安全三难困境：有用能力、可靠安全与开放访问无法同时成立。作者进一步提出可信凭证（trusted credential）可作为现有护栏的补充，提供难以复制、能预测实际下游使用的信息，并给出消除该下限所需的更强条件；双用途评测、自适应攻击与已部署的可信访问项目的证据支持这些条件的现实相关性。