SpatialJB：文本分布艺术如何成为 LLM 护栏的越狱钥匙

如何让输出护栏认不出模型输出中的恶意意图，从而绕过输出审查。

• 场景：作者称 LLM 已进入各类自主系统，但仍会生成不安全内容。控制输出格式被作者视为一条越狱途径；Peng et al.（2024）在 GPT 一类模型上成功率约 90%。
• 现有不足：引言把格式控制分成“替换恶意内容的载体”（编码、低资源语言、ArtPrompt、FlipAttack）和“加入干扰”（如 Ubbi Dubbi）。作者认为二者仍保留恶意语义，而微调过的 Transformer 护栏能从混淆序列重建语义。引言举例 Llama Guard 在 OpenAI-Mod 上检测准确率为 83.7%，并能挡住 PAIR 与 AdvPrompter。
• 观察：作者认为自回归、按 token 的处理抓不住非线性空间文本。引言写垂直重排后，嵌入空间语义相关度为 0.5846，线性格式为 0.9419。
• 提出的方法：SpatialJB 把有害内容嵌进结构化空间模板，使人仍可读、序列语义被打断。作者同时给出并评估基线防御 SpatialD（附录 B）。
• 威胁模型：
  • 目标：使护栏无法识别模型输出中的恶意意图，从而绕过输出审查。
  • 知识：论文未使用 white-box、black-box、gray-box 或 no-box。商业 LLM 经 API 访问，Llama Guard 4 在本地八张 RTX 4090 上部署。
  • 能力：用带 few-shot 范例的提示词指定输出版式，把有害内容放到非连续空间位置。评测时再按模板坐标抽回隐藏信息。
  • 受害系统：被要求按版式生成的 LLM，及其后的输出护栏。成功当且仅当抽出内容的词级检查为有害，且语义检查把整段输出判为良性或正面。

作者把已有格式越狱分成换载体和加干扰，并称它们没有利用文本的空间结构。

对齐与部署

• 指令微调与强化学习：Section 2 称这些技术用于让模型遵循用户意图并避免有害或偏见内容。Xu et al.（2024）、Weber et al.（2025）被引为对齐模型仍易受对抗输入影响的研究。
• 使用范围：作者称 LLM 已进入职业与日常生活（Qi et al., 2025 等），因此关心开放环境中安全机制是否站得住。

格式控制越狱

• 早期提示与掩盖：作者称早期工作用提示工程让模型重复有害内容或做摘要。Wei et al.（2023）、Yong et al.（2024）、Peng et al.（2024）用编码、稀有语言等方式掩盖意图。引言写 Peng et al. 在 GPT 上约 90%。
• ArtPrompt 与 FlipAttack：Jiang et al.（2024）用 ASCII 艺术，Liu et al.（2025b）的 FlipAttack 被作者称为目前最先进的越狱方法。作者认为防御变强后，忽略空间结构的方法效果变差。
• 两类机制：替换载体包括编码、低资源语言、ArtPrompt、FlipAttack；加干扰以 Ubbi Dubbi 为例。作者认为二者表面不同，底层恶意语义仍在，挡不住顺序语义理解。

输出护栏

• 检测器：Weber et al.（2025）、Chi et al.（2024）一类分类器毒性检测器和微调过的 LLM 评估器，用于识别不安全提示与输出。
• 商用接入：作者称护栏已接入商业管线（Openai, 2025）。Llama Guard 在 OpenAI-Mod 上的检测准确率被写作 83.7%，并能防御 PAIR 与 AdvPrompter（Xu et al., 2024; Chao et al., 2025）。
• 作者的判断：作者认为多数护栏仍依赖语义相似度或 token 级分析，对破坏上下文连贯或采用特殊空间版式的攻击仍然暴露。

基线与基准

• 基线方法：Base64、Zulu、Ubbi Dubbi、PAP（Zeng et al., 2024）、SATA（Dong et al., 2025）。附录只概括其机制：编码、低资源语言、口语游戏式变换、说服性改写、关键词掩盖并连接辅助任务。
• 数据集：主实验用 HateBenchSet、Hate-Speech-Offensive、OffensiveLong、Dynamically Generated Hate Dataset。与 FlipAttack 叠加时用 AdvBench。SpatialD 用 JailBench。

作者将本文放在空间结构上：既有输出控制打不乱 Transformer 的顺序语义，SpatialJB 则把文本重排成对人可读、对护栏语义断裂的二维版式。

SpatialJB 把有害内容嵌进二维版式，使人能按空间位置读出原意，而只按一维序号做注意力的护栏难以把这些 token 连起来。作者另给事后防御 SpatialD。

问题设定与形式化

• 一维处理：文本被写成 X=(x₁,…,x_n)，每个 token 嵌入后按层计算注意力，位置编码加在序列下标上。作者由此认为 token 只由其序号识别，而不是二维坐标。
• 模板族：攻击被写成模板族 T。每个模板把顺序输入映射到多行、分栏或对角布局，用来打断语义连续性并保持可读。Figure 3 给出六类模板的示意。
• 两类指令：同一批有害内容走直接重复（Repeat）和基于推理的摘要（Summary），分别对应护栏研究里的复述和越狱评测里的摘要。

六类模板

• 行首与行尾：Acrostic 把有害 token 放在每行开头；Telestich 放在行尾，用来改位置依赖。
• 行中、对角与四角：Center-Embedded 嵌在每行中部；Staircase 把第 i 个目标 token 放在位置 (i, i)；Corner 放在文本块四角。
• 填充：Multilingual Randomization 在有害 token 之间插入填充或外文 token，以提高词表差异。
• 生成：附录 Algorithm 1 按所选版式把 few-shot 范例交给 LLM，逐 token 放入对应位置后拼成输出 Y。论文未写迭代次数，也未写独立的攻击者模型。

理论分析

• Token Layout Loss：二维布局 L(r, c) 经展平 π 变成序列后，视觉邻域不再等于序列邻域经 π 拉回的集合。作者认为自注意力因此接触不到序列化时被分开的视觉邻居。附录 C.1 给出推导。
• Token Sensitivity：作者将相关 token 的期望注意力写成 E[A_ij] ∝ e^−α|i−j|（α>0），即序列距离变大时语义相关指数衰减，护栏所用的局部聚合变弱。附录 C.2 给出推导。Figure 4 把线性布局的局部相似度标为 0.9419，空间布局标为 0.5846。

成功判定

• 三阶段：附录 D.1.4 与 Figure 8：先按预设模板坐标抽出字符；再做词级检查和语义检查，文中语义检查举例为 Perspective API 等护栏；仅当抽出内容被判有害、整段输出被判良性或正面时记成功。
• 人工抽查：作者对 3% 结果做随机人工抽查，称与人工评估一致性高，未给一致率。

防御 SpatialD

• 位置：输出交给用户之前的事后检查。按换行和字符位置还原二维网格，而不是把输出只当成一条线性序列。
• 抽取：除最后的随机模板外，抽首列、末列、对角、每行首尾词和每行中心，再拼接（附录 Algorithm 2）。
• 处置：各片段交 Llama Guard 检查。任一段被判违规则隔离原输出并返回拒绝；否则原样展示。作者称当前实现依赖启发式抽取规则。

实验设置

• 被测 LLM：Section 4.1 为 GPT-4、DeepSeek-R1、DeepSeek-V3、Llama-4-Maverick、Gemini-2.5-Pro、Claude、Grok-4。附录 D.1.1 将同一组中的 GPT-4 写作 GPT-4o、Claude 写作 Claude 3.5 Sonnet。表头为 GPT4、Llama4、Grok4、Gemini 2.5-Pro。
• 防御评测另用：ChatGPT-4o、Claude-3-7-sonnet、Gemini-2.5-flash-preview、DeepSeek-V3、Qwen-long（Table 4）。
• 基线与护栏：Base64、Zulu、Ubbi Dubbi、PAP、SATA。护栏为 Llama Guard 4、Perspective API、OpenAI Moderation API、WildGuard、HarmAug。Perspective API 阈值 0.5；其余阈值论文说见附录 D.1.5，正文未给数字。
• 数据与任务：HateBenchSet、Hate-Speech-Offensive（论文写 24,783 条推文）、OffensiveLong、Dynamically Generated Hate Dataset（论文写 40,463 条）。领域为 race、gender、religion、culture、economy、politics。任务为 Repeat 与 Summary。叠加实验用 AdvBench，SpatialD 用 JailBench。论文未报告各 ASR 格子的样本量与重复次数。
• 指标：ASR 为式 (1) 的成功比例。此处成功不是“模型说出了有害内容”本身，而是抽出内容有害且整段被语义检查判为良性或正面。SpatialD 用 DSR。人工抽查覆盖结果的 3%。

主结果

下表为 Repeat，据 Table 1。列是 Random 模板和无护栏 SATA。七个模型都列入。

表格较宽，可左右滑动

模型	无护栏 Random	Llama Guard Random	OpenAI Random	无护栏 SATA
GPT4	98.3%	92.3%	95%	25.8%
Deepseek-R1	100%	90%	77.3%	27.4%
Deepseek-V3	100%	87%	90%	30.3%
Llama4	100%	90%	85.6%	31.4%
Gemini 2.5-Pro	94.3%	85.6%	74.6%	20.7%
Claude	76.6%	61.3%	65.3%	19%
Grok4	100%	88.3%	80%	25.9%

其余模板、PAP 等基线、Summary 以及 Perspective、WildGuard、HarmAug 未列入上表。

• 无护栏：作者称多数模型上空间模板 ASR 接近 100%，并称 DeepSeek-V3、Llama4、Grok4 被完全攻破。Table 1 中这三行六个空间模板均为 100%。Claude 的 Corner 为 62.7%，Staircase 为 79.7%，不是 100%。引言写 GPT-4 上最高 96%；Table 1 无护栏 GPT4 的 Random 为 98.3%。
• 相对基线：作者称 Zulu、Base64、Ubbi Dubbi 约 7%–15%，PAP 平均 15%–19%，SATA 平均 20%–31%，并称差距超过 80 个百分点、大约一个数量级。Table 1 无护栏 Repeat 中前三项为 7%–15.6%，SATA 为 19%–31.4%。
• 与摘要表述不完全一致：摘要写面对 OpenAI Moderation API 仍超过 75%。Table 1 的 OpenAI 块中，Claude 的 Corner 为 57.3%，Gemini 2.5-Pro 的 Corner 为 73.7%。

护栏、任务与内容类别

• 护栏后：作者称各方法 ASR 下降，但空间版式仍使护栏难以检出恶意内容。Table 1 中 Claude 在 Llama Guard 下的 Acrostic 为 57%，该行 SATA 为 19.3%；作者称前者仍大约高 40 个百分点。作者称 Perspective API 最严，DeepSeek 系列与 Grok4 在其下仍几乎无法抵抗。
• Summary：作者称摘要要压缩内容，模型可能滤掉关键有害 token，这类输出被计为失败，故 ASR 普遍下降。Table 2 无护栏 Grok4 的 Random 为 72.6%，Claude 的 Corner 为 47.0%。
• 类别：Figure 5 的具体柱高正文未给出。作者称除 Claude 外各类别 ASR 都高，gender 与 policy 相对更低。

组合与消融

• Table 3 只测 Claude：仅 Format Control 为 68%；仅 Positive Guidance 为 20.80%；仅 Think Guidance 为 10.40%；Format+Positive 为 86.80%；Format+Think 为 76.20%；三者为 97.60%。作者称 ASR 随模块数大致线性上升，模块针对不同弱点且互补。论文未说明该表的护栏和是 Repeat 还是 Summary。
• 与 FlipAttack：AdvBench 上 FlipAttack 的 521 条有害输出中，415 条（79.65%）原本可被 Llama Guard 检出，经 SpatialJB 后被判为安全。作者称前者作用于引出，后者作用于投递。附录给出 ArtPrompt+SpatialJB 与 FlipAttack+SpatialJB 的示例。
• 作者在 Section 4.2 的两点：多层策略比单维攻击更有效；只做单维检查的护栏不足以对付多模块攻击。

SpatialD

• 设置：附录 B 的轻量评测，JailBench，五个商业模型，五个位置模板，不含 Multilingual Randomization。指标为 DSR。
• 结果：Table 4 平均 DSR 为 Acrostic 90.5%、Telestich 87%、Center 80.5%、Corner 81%、Staircase 77%。作者称 Acrostic 的 DSR 超过 90%；该列 Qwen-long 为 85%，五模型平均为 90.5%。表中最低为 DeepSeek-V3 的 Staircase 65%。
• 作者解读：作者称这是简单且可行的事后方案；预先固定的抽取在恶意内容错位时 DSR 可能下降。

其他消融与分析

• 附录 Table 5，Repeat，Perspective：Claude Acrostic 64.7%，Grok4 Staircase 93%。
• 附录 Table 5，WildGuard：Claude Acrostic 62.4%，Grok4 Staircase 91.5%。
• 附录 Table 5，HarmAug：Claude Acrostic 60.5%，Grok4 Staircase 96.1%。
• 引言与 Figure 4：线性布局 0.9419，空间布局 0.5846。
• Table 2 无护栏 Summary：GPT4 Random 73.7%，Claude Staircase 59.8%。
• Table 1 无护栏 Repeat：Llama4 的 SATA 为 31.4%，是该块基线中的高值；Claude 的 Base64 为 7%。

作者指出的局限与后续方向

• 错位内容：附录 B.2.2 写，由于抽取方式预先编程且固定，恶意内容放错位置时 SpatialD 的 DSR 可能下降，作者称这是后续防御研究的主要任务。
• 启发式规则：附录 B.3 写，当前实现依赖启发式空间抽取和输出检测；作者认为把空间语义和非线性文本感知纳入安全对齐是后续方向。
• 护栏需要的能力：Section 5 写，作者认为护栏需要整合空间语义感知和非线性上下文感知，才能做到稳健的安全对齐。

实验覆盖范围

• 主攻击：七个 LLM、五种基线、四种有害内容数据集、Repeat 与 Summary、五种输出护栏（Section 4.1，Table 1–2，附录 Table 5–6）。
• 叠加与消融：Table 3 只报告 Claude。与 FlipAttack 的叠加用 AdvBench 的 521 条输出，并由 Llama Guard 判定（Section 4.2）。附录另有 ArtPrompt 与 FlipAttack 的组合示例。
• SpatialD：五个商业模型、JailBench、五种位置模板上的 DSR（Table 4）。论文写明不含最后的随机模板。
• 未报告的评测信息：论文写明 Hate-Speech-Offensive 有 24,783 条、Dynamically Generated Hate Dataset 有 40,463 条，但未报告各 ASR 条件的样本量、重复次数和查询次数。
• 判定细节：人工抽查为结果的 3%，作者称一致性高，未报告一致率。Perspective API 阈值为 0.5，其余护栏阈值正文未给出。Table 3 未写明护栏和任务类型。

SpatialJB 是一种输出格式越狱，并附带事后防御 SpatialD。

• 问题：作者要让按顺序重建语义的输出护栏认不出输出里的恶意意图，同时让人仍能读出内容。
• 做法：六个模板把有害 token 放到行首、行尾、行中、对角、四角，或在其间插入填充 token。理论部分用序列化丢失视觉邻接，以及注意力随序列距离指数衰减来解释。判定成功需要抽出内容有害，且整段被语义检查判为良性或正面。
• 主结果：Table 1 的 Repeat、无护栏下，DeepSeek-V3、Llama4、Grok4 六个空间模板 ASR 均为 100%，GPT4 的 Random 为 98.3%，Claude 的 Corner 为 62.7%。同一表的 OpenAI 块中，Claude 的 Corner 为 57.3%。引言另写 GPT-4 上最高 96%。
• 叠加与防御：AdvBench 上 521 条 FlipAttack 输出中，79.65% 经 SpatialJB 后被 Llama Guard 判为安全。Table 3 中 Claude 的三模块组合 ASR 为 97.60%，论文未说明护栏与任务。Table 4 中 SpatialD 的 Acrostic 平均 DSR 为 90.5%，DeepSeek-V3 的 Staircase 为 65%。
• 作者结论：作者认为这暴露了 Transformer 护栏的结构弱点，并称护栏需要空间语义感知和非线性上下文感知。SpatialD 被作者称为基线缓解；固定抽取在内容错位时可能失效。