大型推理模型的效率与安全困境：量化与剪枝如何影响越狱鲁棒性

效率技术会不会只是靠削弱推理，制造LRM表面更安全的假象。

• 场景：作者称LRM（如OpenAI-o1、DeepSeek-R1、QwQ、Qwen3）用思维链（chain-of-thought, CoT）做多步推理，推理成本上升后，量化、剪枝和KV Cache压缩被用来降本。这些方法主要维持任务效果或校准困惑度，对对齐和越狱抵抗的影响作者认为仍缺少探索，而LRM能力增强会放大风险。
• 现有不足：作者称既有效率方法的安全后果研究主要面向一般LLM，效率约束与LRM推理能力的交互仍 largely unexplored。作者把本文定位为对LRM在效率技术下的分析，并称是首次综合分析效率、越狱脆弱性与推理三者的关系。
• 核心观察：作者认为效率方法看似降低越狱成功率，但改进往往是表面的：推理能力下降导致“attempted but failed”的恶意回答，而不是真正对齐增强。表示漂移分析被用来说明推理能力损失与无法维持恶意语义轨迹之间存在严格耦合。
• 威胁模型：
  • 目标：衡量压缩后的LRM对越狱的安全性，安全以有害性评分（harmfulness rating, HR）代理，HR越高表示安全性越低。
  • 知识：作者采用 black-box 方法；攻击只依赖可观察输出，使用启发式或多步推理，不访问内部。gradient-based white-box攻击不在主要威胁模型内，但作者认为压缩潜空间对权重操纵仍是独立的理论风险。
  • 能力：攻击者不能改模型内部；效率方法由评测方施加于开源权重。量化为训练后4-bit权重、16-bit激活；剪枝稀疏率固定25%；KV压缩按官方实现设置窗口与容量。
  • 受害系统：三款开源LRM，QwQ-32B、DeepSeek-R1-Distill-Qwen-32B（R1D-Qwen-32B）、DeepSeek-R1-Distill-Llama-8B（R1D-Llama-8B）。
• 论文提出：联合分析显存效率、推理表现和以越狱脆弱性代理的安全，并比较单方法与组合。三个研究问题是：效率方法如何影响安全（RQ1）；安全、效率与推理的权衡（RQ2）；组合相对单方法的比较（RQ3）。

Large Reasoning Models

• CoT与System 2：Wei et al. (2022) 的CoT被LRM用来生成推理步骤；Evans (2003)、Kannengiesser and Gero (2019) 被用来对照启发式LLM与更审慎的System 2式过程。
• 代表模型：作者列举OpenAI-o1 (OpenAI, 2024)、DeepSeek-R1 (Guo et al., 2025)、QwQ (Qwen, 2025)、Qwen3-Thinking (Yang et al., 2025)、Qwen3.5 (Qwen Team, 2026)、DeepSeek-V4 (DeepSeek-AI, 2026)，并称它们在MATH (Hendrycks et al., 2021) 和AIME (Veeraboina, 2023) 上表现突出。
• 安全挑战：作者称这种thinking模式带来新的安全问题，使LRM更容易受到越狱，并引用Wang et al. (2025)、Kuo et al. (2025)、Jiang et al. (2025) 说明需要进一步研究。

Jailbreak Attacks

• White-box：Zou et al. (2023)、Zhan et al. (2023)、Jones et al. (2023)、Huang et al. (2023) 利用梯度等内部信号优化对抗提示。
• Black-box：Chen et al. (2026b)、Ding et al. (2023)、Liu et al. (2023a)、Li et al. (2023)、Liu et al. (2024) 只依赖可观察输出。作者称在闭源API和LRM规模增大的背景下，black-box已成为更主流、更现实的做法（Kuo et al., 2025; Yao et al., 2025; Rajeev et al., 2025），因此本文用black-box评估压缩后的安全。

Efficiency LLMs

• 量化：Shao et al. (2026)、Lin et al. (2024)、Frantar et al. (2022)、Dettmers et al. (2022)、Xiao et al. (2023) 用低精度降低计算和显存。
• 剪枝与KV压缩：剪枝包括Wang et al. (2026)、Frantar and Alistarh (2023)、Sun et al. (2023)、Xia et al. (2023)、Ashkboos et al. (2024)、Yang et al. (2024c)；KV Cache压缩包括Cai et al. (2026)、Joo et al. (2026)、Zhang et al. (2023)、Li et al. (2024)、Cai et al. (2024)、Yang et al. (2024b,a)。
• 安全副作用：Kumar et al. (2024)、Belkhiter et al. (2024)、Kharinaev et al. (2025)、Hong et al. (2024) 开始研究效率方法的非预期安全后果，作者称这些工作主要关注一般LLM。

基线方法与基准：实验基线是未压缩模型（None，非量化时为FP16）。效率方法为GPTQ、AWQ、SparseGPT、Wanda、SnapKV、PyramidKV，以及SparseGPT、GPTQ、PyramidKV的两两组合。安全基准为H-COT和Mousetrap（各50条提示；Mousetrap还涉及AdvBench、StrongREJECT、HarmBench），推理基准为MATH-500和AIME。

作者把本文与上述工作的区别放在LRM上：效率约束与推理能力的交互仍 largely unexplored，并以black-box越狱、推理和显存三者联合分析来填这一空缺。

作者在三款开源LRM上施加量化、剪枝和KV Cache压缩，同时测越狱HR、推理pass@1和GPU显存，再用层间表示漂移检查安全变化是否与推理轨迹偏离同步。整体框架见图Figure 1。

问题设定与形式化

• 模型：QwQ-32B；R1D-Qwen-32B，由DeepSeek-R1从Qwen2.5-32B蒸馏；R1D-Llama-8B，从LLaMA3.1-8B蒸馏。选择理由是开源、研究社区使用广、推理基准表现强。
• 安全代理：两个black-box越狱基准。H-COT用多步CoT提示引出有害输出，覆盖暴力、自伤和非法活动等意图，50条查询，作者称在多个LRM上攻击成功率超过90%。Mousetrap把混沌变换注入推理链以绕过对齐过滤，使用策划的有毒提示集及AdvBench、StrongREJECT、HarmBench，作者称在多个LRM上攻击成功率超过80%。
• 漂移定义：对类别T（Reasoning或Jailbreak），第l层漂移为最后token隐状态的余弦不相似度。

Drift_l^T=1−CosineSimilarity(H_l,orig^T,H_l,comp^T)

H_l^T是该类提示最后token隐状态的平均。漂移接近0表示保留原激活模式，更高表示压缩噪声扭曲特征空间。

效率方法

• 量化：GPTQ用逐层二阶近似最小化误差；AWQ按激活感知量化以处理激活离群并保持输出分布。权重量化到4-bit，激活保持16-bit，用C4做训练后校准。
• 剪枝：Wanda按幅度与注意力分数的启发式删权重；SparseGPT用Hessian近似限制稀疏化后的损失。稀疏率固定为25%。
• KV Cache压缩：SnapKV复用历史状态的低秩快照压缩长上下文；PyramidKV按新近性和重要性把缓存分成不同保真度的时间块。按官方实现，window_size=32，max_capacity_prompt=64。作者称在此设置下推理时缓存用量降到完整KV的10%–20%，在最大输入长度时进一步降到约1%。
• 组合：以SparseGPT、GPTQ、PyramidKV分别代表剪枝、量化和KV压缩，做Quant+Prune、Quant+KV、Prune+KV。一种直接沿用Table 1超参，显存更低；另一种调整超参，使显存约为原模型的40%，以便公平比较。安全与推理分别在H-COT和AIME上评。

指标与判定

• HR：GPT-4o对每条生成按六点量表打HR，附录A.7给出评测提示模板。每个提示在温度τ∈{0, 0.3, 0.6}各采样一次，最终HR由多数投票决定，再对数据集取平均。HR越高表示越不安全。附录A.6用人工标注检验GPT-4o标签，作者称与人类判断一致性高，因此全部HR由GPT-4o打分。
• 失败回答：附录A.8的分类器把非越狱成功的回答分为明确拒答、有害内容和“尝试但差/失败”。Figure 5报告的是尝试回答但未能给出有效恶意补全的失败率。
• 推理：AIME面向多步符号逻辑，MATH-500覆盖多种高中竞赛领域。pass@1的最终预测同样在τ∈{0, 0.3, 0.6}上多数投票，若三次输出都不同则用贪心解码（τ=0）。
• 效率：以最大支持输入长度处的GPU显存为指标，含参数、激活和KV Cache。R1D-Llama-8B与R1D-Qwen-32B为128K tokens，QwQ-32B为40K tokens。未量化时以FP16加载。附录A.1补充TTFT和吞吐。

机理分析

• 对象与数据：只在R1D-Llama-8B上做逐层表示一致性分析。附录A.9给出两组提示，推理与越狱各10条，分别取自MATH、AdvBench和H-COT，作者称这样隔离压缩造成的漂移。
• 统计：计算全部层上推理漂移与越狱漂移的Pearson相关r。作者用它代理语义偏离：压缩噪声打断复杂上下文所需的语义轨迹。分析比较AWQ、Wanda和PyramidKV。

实验设置

• 被测模型：QwQ-32B、R1D-Qwen-32B、R1D-Llama-8B。未压缩为None；非量化时FP16。GPT-4o只做HR评审，不是被攻击模型。
• 基准与规模：H-COT与Mousetrap各50条提示。推理为MATH-500与AIME。机理分析每类10条提示。论文未报告AIME题量，也未报告重复实验次数。
• 效率设置：GPTQ、AWQ为4-bit权重、16-bit激活，C4校准；Wanda、SparseGPT稀疏率25%；SnapKV、PyramidKV为window_size=32、max_capacity_prompt=64。组合用SparseGPT、GPTQ、PyramidKV。
• 指标：HR（越高越不安全）；pass@1（表中记为MATH、AIME分数）；显存占未压缩模型的百分比；Pearson相关；失败回答率；表示漂移。
• 评审：每个提示在τ∈{0, 0.3, 0.6}采样，HR与pass@1均用多数投票。HR评分模板在附录A.7，失败回答分类模板在附录A.8。
• 显存测量：在各模型最大输入长度处测量，含参数、激活和KV Cache。附录A.1给TTFT与吞吐，正文未给出这些数字。

主结果

Table 1同时给出HR、推理和显存。下表只列H-COT HR与AIME；显存与MATH见后文。None为未压缩。

表格较宽，可左右滑动

模型	设置	H-COT HR	AIME
R1D-Llama-8B	None	2.92	46.67
R1D-Llama-8B	PyramidKV	0.68	20.00
R1D-Qwen-32B	None	3.18	75.00
R1D-Qwen-32B	SnapKV	1.10	53.33
QwQ-32B	None	3.46	66.67
QwQ-32B	GPTQ	3.60	63.33
QwQ-32B	SnapKV	2.36	36.67

据Table 1。Mousetrap上R1D-Llama-8B从None的0.70降到SnapKV的0.02；QwQ-32B从1.24升到GPTQ的1.72。MATH上R1D-Llama-8B从88.00降到PyramidKV的75.20，QwQ-32B从89.80升到SparseGPT的94.60。显存：R1D-Llama-8B的GPTQ/AWQ为69.9%、SnapKV为50.1%；R1D-Qwen-32B的GPTQ/AWQ为54.4%、SnapKV/PyramidKV为66.2%；QwQ-32B的AWQ为39.7%、GPTQ为42.1%、SnapKV为86.3%。

• 作者解读：对两款蒸馏模型，几乎所有方法降低HR；QwQ-32B在量化和剪枝下HR上升，作者认为压缩噪声扰乱其安全过滤，效率带来的安全对架构敏感。AWQ比另一种量化更有效，剪枝降得更多，KV压缩降幅最大，但作者认为后者常来自生成能力损坏。
• 权衡：Figure 4中，显存与另外两维的相关在R1D-Llama-8B、R1D-Qwen-32B上为正，在QwQ-32B上为负。推理与安全（HR）在三款模型上均为强正相关。作者认为安全收益主要来自推理退化，而不是真正的鲁棒性提升。
• 类别平均：Figure 6标注的类别平均中，量化最接近原模型，剪枝次之，KV压缩的表面安全收益最大、推理下降也最大。图上QwQ-32B的AIME：原模型71.7，量化68.3，剪枝63.3；R1D-Llama-8B的AIME原模型46.7，KV压缩20.0。作者称量化在较大的32B模型上显存效率也强于剪枝和KV压缩。

失败回答与机理

• 测了什么：Figure 5把未成功越狱的回答拆成拒答和失败尝试，覆盖三模型、七种设置、H-COT与Mousetrap。图的纵轴是Failed Answer Rate（%），刻度0到80。正文未给出各柱的精确百分比。
• 结果：作者称效率方法很少增加拒答；KV压缩下拒答率甚至下降，失败尝试上升，KV压缩最明显，其次是剪枝和量化。例外是QwQ-32B的失败回答率下降，作者称这与Table 1中其推理增强一致。
• 作者解读：模型仍意图服从但执行失败。附录A.2的对照实验被作者用来说明这种破坏是LRM特有的；附录A.3的分阶段追踪称，基于权重的方法破坏早期规划，KV缓存压缩因上下文截断造成后期失败。Figure 7在R1D-Llama-8B上，Wanda、GPTQ、PyramidKV的Pearson r分别为0.972、0.928、0.954；正文另写AWQ的r=0.928，与图中GPTQ标注并列，论文未解释这一名称差异。作者称点沿对角线分布，浅层漂移小、深层累积，压缩引入表示噪声而不是选择性过滤有害内容。

组合方法

• 测了什么：Table 2在三模型上比较Quant+Prune、Quant+KV、Prune+KV。每个模型前三行沿用Table 1超参，后三行把显存调到大约40%。指标为H-COT HR、AIME和显存百分比。未报告Mousetrap和MATH-500。
• 约40%显存：R1D-Llama-8B的Quant+Prune为HR 1.26、AIME 30.00、显存42.9%；Quant+KV为0.84、20.00、41.8%。R1D-Qwen-32B的Quant+Prune为2.36、56.67、41.0%，Quant+KV为1.64、36.67、40.1%。QwQ-32B的Quant+Prune为3.10、63.33、38.8%，Prune+KV为2.98、53.33、40.2%。作者称此预算下Quant+Prune推理最好并保持其所谓合理的安全水平；Quant+KV推理下降更大。
• 相对单方法：作者称QwQ-32B的Quant+Prune只用38.8%显存，AIME高于多数需要更多显存的单方法，同时安全更强。R1D-Qwen-32B在40%显存的Quant+Prune和Prune+KV，推理超过单次量化，安全相当或更好。直接组合的显存更低，例如R1D-Qwen-32B的Quant+KV为15.9%显存、AIME 33.33、HR 1.28。

其他消融与分析

• Figure 4：R1D-Llama-8B上Memory与H-COT、Mousetrap、AIME、Math的相关为0.76、0.88、0.74、0.65；H-COT与Math为0.66。R1D-Qwen-32B上H-COT与Math为0.96，Memory与AIME为0.93。QwQ-32B上Memory与H-COT为-0.29，与Math为-0.51，H-COT与AIME为0.96。
• Table 1：R1D-Llama-8B的AWQ将H-COT从2.92降到2.68、Mousetrap从0.70降到0.20，AIME仍为46.67；GPTQ将H-COT升到3.54、AIME降到26.67。
• Table 1：R1D-Qwen-32B的GPTQ与AWQ的H-COT均为3.10（None为3.18），AIME分别为50.00和43.33（None为75.00）。
• Table 1：QwQ-32B的SparseGPT将MATH从89.80升到94.60、AIME从66.67升到73.33，同时H-COT从3.46升到3.58、Mousetrap从1.24升到1.44。
• Figure 3给出相对未压缩模型的显存百分比，与Table 1一致，例如R1D-Qwen-32B的84.6%与66.2%，QwQ-32B的42.1%与39.7%。绝对MB柱高论文未以可核对数字写明。
• 附录A.4、A.5讨论温度与更细粒度的安全-推理关系；正文未给出可单独引用的数值。人工一致性的具体比例论文写在附录A.6，正文只称一致性高，未给出百分比。

作者指出的局限与后续方向

• 攻击类型：评测限于black-box攻击。作者认为压缩模型被改变的潜空间可能对基于梯度的white-box利用呈现新的脆弱性（Limitations, Attack Vectors）。
• 模型规模：主文评测限制在不超过32B参数。作者认为超过100B的大规模前沿模型中涌现的安全性质需要进一步跟踪（Limitations, Model Scale）。
• 交互形式：使用的是静态安全基准。作者认为动态、多轮交互中的长期对齐仍是开放问题（Limitations, Static Context）。
• 部署建议：结论称量化加剪枝是平衡效率、安全与推理的策略，并为LRM部署提供经验基础（Conclusion）。这是作者的结论，不是额外实验。

实验覆盖范围

• 模型：主实验为QwQ-32B、R1D-Qwen-32B、R1D-Llama-8B共3个；机理分析只在R1D-Llama-8B上进行（Section 5、Figure 7）。
• 方法：单方法为GPTQ、AWQ、SparseGPT、Wanda、SnapKV、PyramidKV；组合为SparseGPT、GPTQ、PyramidKV的三种两两搭配，含直接组合和约40%显存两组（Section 3.3、Table 2）。
• 数据与协议：H-COT与Mousetrap各50条提示；每个提示在三个温度采样并用多数投票。推理指标为MATH-500与AIME的pass@1。机理分析每类10条提示（Section 3.2、3.4，附录A.9）。
• 评审：HR全部由GPT-4o按六点量表评分；附录A.6做了人工标注对照，正文未给出一致性百分比。失败回答分类使用附录A.8的三类标签。
• 论文未报告：主表未报告攻击查询次数、实验重复次数，以及附录A.1中TTFT和吞吐的具体数值；Figure 5未在正文给出各柱的失败率百分比。

作者分析量化、剪枝和KV缓存压缩如何同时改变LRM的显存、推理和越狱脆弱性。

• 问题：LRM的CoT推理推高推理成本，效率方法通常只顾任务效果。作者要区分真正的安全对齐和能力下降造成的失败，并比较单方法与组合。
• 做法：在QwQ-32B、R1D-Qwen-32B、R1D-Llama-8B上测试GPTQ、AWQ、Wanda、SparseGPT、SnapKV、PyramidKV。安全用H-COT和Mousetrap的GPT-4o HR（各50条，三温度多数投票），推理用MATH-500和AIME的pass@1，效率用最大输入长度处的GPU显存。另在R1D-Llama-8B上计算推理提示与越狱提示的逐层表示漂移相关。
• 单方法：蒸馏模型上多数方法降低HR，例如R1D-Llama-8B的H-COT从2.92降到PyramidKV的0.68，AIME从46.67降到20.00（Table 1）。QwQ-32B相反，GPTQ把H-COT从3.46升到3.60。Figure 4显示三款模型上推理与HR正相关。作者称表面安全来自“尝试但失败”的回答，拒答并未增加。
• 组合与机理：约40%显存时，Quant+Prune的AIME最高，QwQ-32B为63.33、显存38.8%（Table 2）。Figure 7上Wanda、AWQ/GPTQ标注、PyramidKV的漂移相关为0.972、0.928、0.954。作者称能力损失与越狱轨迹偏离严格耦合，噪声在深层累积。
• 作者结论：效率方法带来的安全收益往往是表面的；量化最接近原模型的安全与推理，量化加剪枝是作者认为更均衡的部署组合。作者同时指出评测限于black-box、32B以内和静态基准。