针对大语言模型越狱攻击的结构化语义遮蔽

安全机制会在推理中恢复被混淆的有害意图并拒答，论文要找出会推迟、打乱这种语义重建的提示结构。

• 场景：作者称LLM已用于安全关键应用，被操纵后可能产出钓鱼邮件、非法药物制造说明和黑客策略，使部署方承担法律、财务和声誉后果。红队与越狱被作者视为部署前探测漏洞的手段。
• 现有不足：作者把既有越狱分为表层混淆、改写和自优化。并称近期模型会从输入内部表示和中间生成中恢复恶意语义签名，意图在解码时一旦明确就经常拒答，许多表层混淆因此失效。
• 核心观察：作者认为安全激活不只取决于有害意图能否恢复，还取决于它在生成的哪一阶段、以多连贯的形式被重建。作者称把敏感内容切到不相交片段后，即便仍可经共指消解推断含义，拒答也会变弱（Figure 2）。
• 本文提出：Structured Semantic Cloaking（S2C），含Contextual Reframing、Content Fragmentation、Clue-Guided Camouflage，把语义线索分散到多个结构维度，推迟完整意图整合，同时保留可恢复性。
• 威胁模型：
  • 目标：对有害查询Q寻找变换，得到提示词P，使P绕过护栏或过滤器G，并让目标模型M生成符合Q的响应y。
  • 知识：主实验采用论文所说的black-box，理由是无法获取专有模型的内部表示或logits。S2C不使用目标模型梯度或logits；对部分开源模型的logprob比较只用于动机分析。
  • 能力：单轮，不保留也不访问先前对话。攻击方控制改写、切分、线索伪装和重建指令，并用攻击侧模型与工具生成P。
  • 受害系统：Table II的开源与专有指令/推理模型；Table IV另测护栏能否把生成提示标为有害。成功由评审函数判定输出是否符合对应有害查询。

论文在Related Work把越狱分成三条线，引言则把方法归为混淆、改写和自优化。

自优化对抗搜索

• 通用后缀与搜索：Zou等（2024）寻找可跨提示迁移的通用对抗后缀。TAP（Mehrotra等，2024）迭代扩展并剪枝候选提示；AutoDAN（Liu等，2024）做分层遗传搜索，AutoDAN-Turbo（Liu等，2025）扩展为持续学习策略的智能体。
• 黑盒变异：GPTFuzzer（Yu等，2023）与TurboFuzz（Goel等，2025）用black-box变异和选择发现越狱提示。作者称这类方法通常要大量迭代查询才能找到高表现提示。

情境改写

• 情境与少样本：PAIR（Chao等，2024）自动生成用来正当化有害请求的情境。Anil等（2024）用大量不良示例做many-shot提示，并报告成功率随示例数呈幂律变化。Zheng等（2024）用少样本示范、token插入和随机采样提高迁移。
• 说服与长上下文：PAP（Zeng等，2024）检验说服策略；LongSafety（Lu等，2025）讨论长上下文交互中的安全退化。作者称这些方法常有可识别的修辞或结构模式，现代安全分类器越来越能处理。

表层混淆

• 编码与替换：Wei等（2023）报告Base64可绕过GPT-4等模型的安全机制。ArtPrompt（Jiang等，2024）用ASCII艺术替换有害关键词；Jin等（2024）把越狱前缀与影子模型生成的密文输出结合，以同时绕过输入侧和输出侧防御。
• 固定模板：WordGame（Zhang等，2025）、PUZZLED（Ahn与Lee，2025）和HaPLa（Joo等，2025）分别使用文字游戏、谜题编码，以及ASCII移位、emoji等轻量掩码。作者称这些方法多由固定变换模式驱动，带语义级审核的对齐模型越来越能检出，并引用Fu等（2025）。

基线与基准

• 基线方法：PAIR、PAP、CodeChameleon、ReNeLLM、Cipher、Word-based Puzzle、HaPLa。作者把前两者归为情境改写，其余归为表示混淆；全部为单轮，不使用先前对话。
• 基准：JBB-Behaviors（Chao等，2024）与HarmBench（Mazeika等，2024）。引言还用Qi等（2024）和Andriushchenko等（2025）说明：拒绝词若不在最初若干token中，通常会生成有害内容；作者以此对比早期浅层对齐和后来可由内部语义签名触发的防御。

作者把三条线的共同限制写成：它们主要处理模型在输入层看到什么，或优化哪种输入变体能成功，而没有显式操纵有害意图在生成中如何、何时被重建。作者称S2C针对这一缺口。

S2C不把有害指令收成不可读字符串了事，而是拆开并改形语义线索，使完整意图要经过多步推理和长距离共指，才在更深层表示中整合。作者的中心假设是：推迟整合可以绕过安全机制最有效的阶段，同时不必显式重建原提示。

动机分析中的拒答代理

• 对每条恶意查询，作者取模型特定的高概率拒答前缀和高概率接受前缀，比较二者在原始提示与切分提示下的对数概率。短语对数概率是各token条件对数概率之和。
• 拒答相对接受的差定义为 D(y^r, y^a)=log p(y^r∣ x_1:m)−log p(y^a∣ x_1:m)。D越大，作者将其视为生成起点更偏向拒答，并当作防御被激活的代理。
• 查询来自JBB-Behaviors，共100条。正文点名Phi-4与Qwen2.5-72B-Instruct；Figure 2还包含Llama3.3-70B-Instruct。附录写提取logprob时温度为0.1；Llama3.3-70B-Instruct最常出现的拒答短语是“I can't”，Phi-4是“I'm sorry”。
• 作者称原始提示的D一致高于切分提示。图注写对角线以上表示原始提示拒答率更高。文本转换未保留散点，无法核对是否每个点都在对角线以上。

三个组件

• Contextual Reframing：攻击侧LLM按策略参数θ把Q改写成情境脚本S。论文举例θ为persuasion，并称S用来提高任务重要性、从而增加顺从。正文写改写模型为Gemma-9B-it，附录写Gemma-2-9B-it。附录A给出完整提示词。
• Content Fragmentation：从S中取k个关键项，映射到占位符，得到去掉完整语义的Sred，迫使目标模型用长距离依赖还原符号。主设置用GPT-4.1-mini定位带负面情感的敏感词；后文另用spaCy抽取名词短语和动词短语。论文未给出固定的k。
• Clue-Guided Camouflage：把关键项变成混淆字符串，同时嵌入可恢复线索。方法从池Ω采样，难度λ分为low、medium、high。Table I的类别为视觉伪装、字符串操作、编码或加密、代码表示、语言切换，以及级联至少两种方法的Hybrid。

组装与成功定义

• 最终提示由删节情境、混淆线索和重建指令组成。重建指令说明任务目标、输出格式、如何恢复被删内容，以及解码步骤的示范。附录A另给出关键词抽取和“展示解码步骤”的完整提示词。
• 作者把攻击成功写成：目标模型在内部完成占位符与线索到原词的逆映射，同时护栏G没有认出Q的重建，且输出含Q所要求的被禁止信息。
• 实验中的ASR不由人工逐条判定。HarmBench的微调Llama-2-13B-chat根据输出是否符合对应有害查询给出0或1。RSR看响应是否语义重建了被删查询，由GPT-4.1判定。

主实验固定选择

• 线索实验限制为7种两级级联：Reversal分别叠加Char Noise、A1Z26、Base64、Caesar、Word Play，以及Misspell叠加Char Noise或Base64。脚注称线索策略可以扩展，但实验未超出这些两级组合。
• 语言切换把关键项译成中文，错拼由GPT-4.1-mini生成。情境改写同时考虑原始查询和说服策略。Figure 3写每次从池中采样线索方法；论文未写每个查询重复采样几次。
• 目标模型经OpenAI、Claude和Openrouter的API调用，温度为默认值，最大生成长度为4096。GPT-5-mini的reasoning effort设为Medium。基线按各自源代码和模板实现。

实验设置

• 被测模型：Table II共16个：Llama3.3-70B-Instruct、DeepSeek-r1、DeepSeek-v3、DeepSeek-v3.2、Qwen2.5-72B-Instruct、Qwen3-32B、GPT-OSS-20B、GPT-4o-mini、GPT-4o、GPT-4.1-mini、GPT-5-mini、Claude-3-7-Sonnet、Claude-4.5-Haiku、Gemma3-27b-it、Gemini-2.5、Phi-4。论文按Instruction或Reasoning标注；Claude-3-7默认不开CoT，被当作指令模型。正文在说明无法读取logits时另写Gemini-2.5-flash。Table III只用其中8个。
• 数据：JBB-Behaviors为100条不同滥用行为。HarmBench只取standard子集200条恶意查询；论文写该数据集有4个功能类别，结果未按类别分列。
• 基线与指标：基线为PAIR、PAP、CodeChameleon、ReNeLLM、Cipher、Word-based Puzzle、HaPLa，均为black-box、单轮。ASR是N条中评审判成功的比例；RSR是成功语义重建被删查询的比例；Table IV是防御准确率，越高表示越多提示被标为有害。
• 评审：ASR用HarmBench评审模型，即微调的Llama-2-13B-chat。RSR用GPT-4.1。论文未写判定阈值，也未报告重复次数。
• 攻击侧与生成：敏感词、中文翻译和错拼用GPT-4.1-mini，该模型同时是Table II的被测对象。情境改写正文写Gemma-9B-it，附录写Gemma-2-9B-it。温度为默认值，最大生成长度4096；GPT-5-mini的reasoning effort为Medium。
• 排除：作者排除参数更小的LLM，理由是采用率较低、推理能力较弱，可能难以解码线索。

主结果

据Table II（JBB-Behaviors，ASR，%）。16个模型只列8行，含S2C最低的GPT-5-mini。省略DeepSeek-r1、DeepSeek-v3、DeepSeek-v3.2、Qwen3-32B、GPT-4o-mini、GPT-4.1-mini、Gemma3-27b-it、Gemini-2.5。

表格较宽，可左右滑动

模型	S2C	CodeChameleon	HaPLa	PAIR
Llama 3.3-70B-Instruct	94.0	91.0	96.0	67.0
Qwen2.5-72B-Instruct	96.0	91.0	98.0	63.0
GPT-4o	95.0	91.0	99.0	54.0
GPT-OSS-20B	82.0	14.0	45.0	34.0
Claude-3-7-Sonnet	86.0	78.0	47.0	46.0
Claude-4.5-Haiku	63.0	76.0	0.0	12.0
GPT-5-mini	50.0	6.0	21.0	24.0
Phi-4	82.0	78.0	66.0	39.0

• 平均口径：全表S2C平均为89.4%，CodeChameleon为79.7%，HaPLa为73.7%，PAIR为52.8%。正文称高出最强基线9.7个百分点；摘要写成提高9.7%。引言称相对基线高出9.7–50.5个百分点、平均增益30.4个百分点，后文又称相对其他基线高出15.7–50.5个百分点。
• 并非每行最高：上表中Llama 3.3-70B-Instruct、Qwen2.5-72B-Instruct、GPT-4o的HaPLa高于S2C；Claude-4.5-Haiku的CodeChameleon为76.0%，S2C为63.0%。未列入表的DeepSeek-v3.2上CodeChameleon为100.0%、S2C为99.0%；Gemini-2.5上二者均为99.0%。
• 与“至少85%”不符：作者称S2C在所有被测模型上至少达到85% ASR。Table II中GPT-5-mini为50.0%，Claude-4.5-Haiku为63.0%，GPT-OSS-20B与Phi-4为82.0%。GPT-5-mini上PAIR为24.0%；摘要称高出最强基线26%。

HarmBench

据Table III，standard子集200条，8个模型，ASR %。

表格较宽，可左右滑动

模型	S2C	CodeChameleon	HaPLa
Llama3.3-70B-Instruct	85.0	90.5	89.0
Qwen2.5-72B-Instruct	98.5	90.5	98.0
Claude-3-7-Sonnet	85.5	86.5	2.0
DeepSeek-v3	99.5	98.0	99.0
Phi-4	93.5	60.0	62.5
GPT-OSS-20B	96.0	41.5	82.5
GPT-4o	95.0	91.0	96.5
GPT-4.1-mini	99.5	95.5	96.0

• 平均：S2C为94.1%，CodeChameleon为81.7%，HaPLa为78.2%，Cipher为15.8%。作者称相对最强基线提高12.4个百分点；摘要写成提高12.4%。
• 反例：Llama3.3-70B-Instruct上CodeChameleon为90.5%、HaPLa为89.0%，均高于S2C的85.0%。GPT-4o上HaPLa为96.5%，高于S2C的95.0%。Claude-3-7-Sonnet上CodeChameleon为86.5%，高于S2C的85.5%。
• 类别：作者未按HarmBench的4个功能类别报告ASR。

护栏规避与线索偏好

• 护栏设置：Table IV的提示只来自未做情境改写的原始查询，线索为Char Noise、Reversal、Caesar和随机抽取的Hybrid。论文未说明这些查询来自哪个数据集、共多少条。
• 防御准确率：OpenAI Moderator上Char Noise为2.0%，其余三种S2C变体为1.0%，Cipher为94.0%；同表WBP与CodeChameleon为0.0%。LlamaGuard-3-8B上四种S2C变体为9.0%、11.0%、14.0%、12.0%，Cipher为97.0%，PAIR为5.0%，WBP为4.0%。
• 作者解读：作者称多数S2C提示能绕过这些护栏，并称Caesar比其他S2C变体更常被标记；给出的解释是Caesar常见于预训练数据，并可能在安全对齐中被强化。NemoGuard-8B上Caesar为27.0%、Char Noise为0.0%；Qwen3Guard-Gen-8B上Caesar为39.0%、Reversal为24.0%。Figure 4中，作者称中等难度Char Noise在所绘模型里最常成功；GPT-OSS-20B、GPT-5-mini、Claude-3-7上Reversal、Word Play、Hybrid贡献更大。正文未给出各柱数值。

消融

Table V的ASR %。其中GPT-5-mini的S2C为52.0%，与Table II的50.0%不同，论文未解释。

• 去掉情境改写：GPT-5-mini从52.0%到12.0%，作者称下降40%；Llama3.3-70B从94.0%到77.0%，Claude-3-7从86.0%到71.0%，Qwen2.5-72B从96.0%到85.0%。Qwen3-32B从95.0%到100.0%，GPT-OSS-20B从82.0%到84.0%。作者称GPT系列下降明显，但GPT-OSS-20B这一行并未下降。
• 去掉级联或高难度：无级联时Llama3.3-70B从94.0%到86.0%，Claude-3-7从86.0%到80.0%，GPT-OSS-20B从82.0%到90.0%。作者推测级联同时影响重建难度、对安全检查的注意和暴露出的推理步骤。只留Misspelling与Translation时，Claude-3-7为10.0%，Llama3.3-70B为59.0%，GPT-5-mini为25.0%；作者认为这些模型可能在训练中见过简单攻击模式。
• 展示完整解码：作者原预期会触发防御。Qwen、DeepSeek和多数GPT没有普遍下降；Claude-3-7从86.0%到51.0%，Llama3.3-70B从94.0%到79.0%，GPT-OSS-20B从82.0%到97.0%。作者称前两个模型仍有超过一半查询未被拒绝，并认为其防御在很大程度上依赖输入中的语义签名。

其他消融与分析

• Figure 2：100条JBB-Behaviors；作者称切分后D下降。文本转换未保留散点。
• Figure 5：每次只用一种线索。作者称除视觉伪装外，单项方法很少取得高ASR，没有一种方法能在全部情形中泛化；Claude-3-7对Base64更易检出，对coding与hybrid抵抗较弱。正文无图中数字。
• RSR：作者称hybrid低于视觉伪装和coding，Phi-4相对更低，并认为Table II中Phi-4较低的ASR更可能来自解码能力而非更强对齐。正文无RSR数值。附录有恢复失败示例。
• Figure 6：比较敏感词、名词短语、动词短语。作者称多数模型ASR变化不大，Llama3.3-70B与Claude-3-7对切分方式敏感；作者的解释是只替换短语时敏感词仍可能留下。正文无图中数字。

作者指出的局限与后续方向

• 单轮：评测限于没有对话记忆的单轮。作者称多轮如何影响ASR仍未知：安全机制可能随上下文累积而降低ASR，更长上下文也可能改善提示恢复并升高ASR。（Section V）
• 线索配置：只评估固定的7种级联线索。自动发现更优攻击策略，以及过滤低RSR的技术，作者称尚未探索。（Section V）
• 评审：攻击成功只由一个评审模型，即微调的Llama-2-13B-chat判定。作者称加入其他评审或人工评估会加强所报ASR的可靠性。（Section V）
• 不确定性：ASR以点估计报告，没有置信区间。作者称后续应量化结果在查询样本上的统计变异。（Section V）

这些内容写在Section V，论文没有单独的Limitations节。伦理声明中的研究用途说明，不计入上述局限。

实验覆盖范围

• Table II报告16个模型在JBB-Behaviors（100条）上的ASR；Table III报告其中8个模型在HarmBench standard子集（200条）上的ASR。
• 攻击与所列基线均为论文所称black-box、单轮。基线是PAIR、PAP、CodeChameleon、ReNeLLM、Cipher、Word-based Puzzle、HaPLa。论文未报告对目标模型的查询次数。
• ASR评审是微调的Llama-2-13B-chat，RSR评审是GPT-4.1。论文未报告与人工判定的一致性、重复次数；Section V写明未报告置信区间。
• Table IV的护栏为OpenAI Moderator、LlamaGuard-3-8B、Qwen3Guard-Gen-8B、NemoGuard-8B、ShieldGemma2-4B、LionGuard2；该表提示未做情境改写。论文未报告这组查询的数量和来源数据集。
• 动机分析用100条JBB-Behaviors；Figure 2包含Llama3.3-70B-Instruct、Phi-4、Qwen2.5-72B-Instruct。附录写logprob温度为0.1。作者在实验设置中排除参数更小的LLM，理由是采用率较低、推理能力较弱。

S2C是一种black-box、单轮越狱框架，用来探测安全对齐是否依赖有害意图在生成中被连贯、明确地重建。

• 问题：作者认为近期模型能在解码时恢复被混淆的恶意语义并拒答，固定模板和表层编码因此常常不再够用。论文的观察是，把敏感内容切散后，拒答前缀相对接受前缀的对数概率差下降。
• 做法：攻击侧模型把查询改写成高风险情境，抽出关键项换成占位符，再配上可恢复线索和重建指令。主结果使用7种两级级联。成功由微调的Llama-2-13B-chat按输出是否符合有害查询判定。
• JBB-Behaviors：16个模型上S2C平均ASR为89.4%，CodeChameleon为79.7%。GPT-5-mini上S2C为50.0%，PAIR为24.0%。同表HaPLa在Llama 3.3-70B-Instruct、Qwen2.5-72B-Instruct、GPT-4o上高于S2C；Claude-4.5-Haiku上CodeChameleon为76.0%，S2C为63.0%。
• HarmBench与护栏：standard子集200条、8个模型上，S2C平均94.1%，CodeChameleon平均81.7%。Llama3.3-70B-Instruct上S2C为85.0%，低于CodeChameleon的90.5%。未做情境改写时，OpenAI Moderator对S2C Char Noise的防御准确率为2.0%（Table IV）。
• 作者结论：作者认为当前安全机制仍会受生成时语义重建方式的影响，只锚定表层语义检测不够。作者还认为，提高混淆复杂度本身不带来线性的ASR提升，攻击效果取决于结构选择之间的配合，以及破坏语义与保持可恢复之间的平衡。各模型对改写、线索难度和是否展示解码步骤的反应并不相同。