研究者提出意图隐藏越狱的信息论框架，分析组合式攻击

如何选择辅助任务，使含有害目标的组合在意图估计上贴近先验或低于阈值，同时目标仍可能被模型执行。

• 出现场景： 作者称，单独陈述的有害请求可能被拒绝，改写或嵌入更大、看似良性的查询后却可能得到回答。作者认为，拒绝直接请求并不能说明该请求作为更大指令集的一部分时防护仍然有效。
• 现有不足： Prompt Packer、ReNeLLM、DeepInception、SequentialBreak 用组合指令、改写、嵌套场景或良性序列伪装请求。作者称，辅助任务的内容和数量会同时改变上下文与必须遵循的指令；指令变密时遵循会变差，无关上下文也会干扰推理。
• 核心假设： 全集上任务级负意图概率的平均为先验，含目标 bundle 内的平均为后验。作者称，在所述均匀抽样假设下，使二者相等（prior–posterior matching）不改变有害意图的估计，目标仍留在 bundle 中。
• 本文做法： 先不考虑措辞，研究精确匹配的难度、分数权重的 water-filling，以及单侧阈值下的最小 bundle；再联合考虑任务选择与查询生成；最后比较直接请求与加入良性任务后的响应级攻击成功和目标保持。
• 威胁模型：
  • 目标： 隐藏目标任务 tb 的有害目的（作者称 intent privacy），并得到执行 tb 的响应 y。
  • 知识： 有限任务字母表上每个任务有负意图概率 ϵi。第 III–IV 节把这些概率当作给定；实验用 Llama Guard 3-8B 估计。
  • 能力： 攻击者选择含 tb 的 bundle，再写成一条自然语言查询。事前可在 bundle 级检查匹配，在查询级检查目标是否仍被清楚表达。作者称二者都不保证 responding LLM 会执行目标。
  • 受害系统： 接收查询 Q 并输出 Y 的 responding LLM。实验中 bundle 与查询的构造不访问 responding model。论文未使用 black-box、white-box 等术语。

组合式越狱与上下文

• 组合构造： Prompt Packer（Jiang 等，2023）、ReNeLLM（Ding 等，2024）、DeepInception（Li 等，2024）、SequentialBreak（Saiem 等，2025）分别把有害请求嵌进组合指令、改写加嵌套场景、分层虚构场景或一串良性提示。作者称这些方法显示周围指令可以伪装请求，但选择指令的内容和数量仍是要决定的问题。
• 越狱现象： Zou 等（2023）、Chao 等（2025）、Wei 等（2023）、Shen 等（2024）讨论改写或上下文绕过防护、安全训练失败，以及野外越狱提示。论文将其作为越狱背景引用。
• 指令数量与无关上下文： Jaroslawicz 等（2025）报告指令变密时遵循变差；Shi 等（2023）报告无关上下文会干扰推理任务。作者用它们说明辅助任务可能把响应带离指定目标。

信息论隐私与博弈

• 效果与隐蔽： Kao 等（2025）在视觉语言模型上考察攻击效果与隐蔽性的关系。
• 技能组合博弈： Wu 等（2026）用攻击者–防御者博弈研究通过技能组合隐藏意图，防御者过滤能力有限。作者称本文不分析均衡，而是隔离使 bundle 级意图后验匹配先验或满足阈值的选择机制（Remark 4）。
• 隐私漏斗与潜变量 PIR： Makhdoumi 等（2014）、Calmon 等（2017）用表示隐藏敏感变量并保留有用信息；Samy 等（2021）在检索目标项时隐藏相关敏感属性。作者称本文的表示必须是含指定目标的离散 bundle，要隐藏的是有害意图概率，而不是把目标任务本身藏掉（Remark 2、3）。

安全分类

• 接受或拒绝： Llama Guard（Inan 等，2023）与 Markov 等（2023）为有害内容评估和接受/拒绝决策提供依据。作者用它们说明单侧阈值比精确匹配更贴近过滤器；实验用 Llama Guard 3-8B 估计 ϵi。
• 响应判定： HarmBench（Mazeika 等，2024）的分类器判断响应是否达成目标行为；Flow-Judge-v0.1（Flow AI，2024）按用户 rubric 给输出打分。

基线方法与基准

• 基线： 直接请求（k=1），每个目标不加查询生成、单独评测一次。论文未把上述组合攻击实现为实验对比基线。
• 数据： JailbreakBench 的 100 个有害行为，覆盖十类滥用；从 Super-NaturalInstructions（1,616 个自然语言处理任务）抽取 50 个良性辅助任务。

作者把本文定位为：在写出具体查询之前，用给定的有害意图概率研究隐藏是否可行、需要多少辅助任务，再单独评估查询实现后的攻击成功与目标保持。

整体分两段：query-independent 只按任务级概率选含目标的 bundle；query-dependent 再把同一 bundle 写成查询，同时看意图隐藏和目标是否仍可识别。实验实际提交的是按低 ϵ 抽样的查询，不是第 IV 节的完整搜索。

任务模型与两种设定

• 字母表： T 有 n 个任务。每个任务有二值意图标签 L，负意图概率为 ϵi=Pr(L=−|T=ti)。理论分析假设 T 在字母表上均匀。ϵi 可以来自人工、LLM 评审或安全分类器；第 III–IV 节把它当作给定。
• 先验与后验： 在该假设和 Remark 1 的抽样下，先验与 bundle 后验为 ρ=1/n∑_iϵ_i、r(x)=1/(|x|₁)∑_i x_iϵ_i。精确隐藏定义为 r(x)=ρ；单侧过滤器在 r(x)≤τX 时接受。
• 目标约束： 指定目标下标 b 必须 xb=1。规模为 k 的 bundle 含 1 个目标和 k−1 个辅助任务。分析允许任何非目标任务作辅助；实验只用良性辅助任务。
• 两阶段评估： bundle 阶段还没写查询，只检查匹配。查询阶段检查 q 是否仍清楚表达 tb。作者称二者都不保证响应 y 会执行目标。

不考虑措辞的 bundle 选择

• 精确匹配： 选满整个字母表总能使 r(x)=ρ。作者要的是更小的含目标 bundle。作者称，在指定规模上限 K<n 下判断是否存在精确匹配，一般情况下是 NP-hard（Proposition 1）；Appendix A 用 SUBSET SUM 归约，并称对二进制编码的有理概率该判定属于 NP，因而 NP-complete。
• 分数松弛： 辅助任务权重 xi∈[0,1]，目标权重固定为 1。越狱相关情形是 ϵb>ρ，按 gi=ρ−ϵi 从大到小使用低于先验的任务，至多一个任务取分数权重（Proposition 2，water-filling）。作者称其最小总权重是“每项必须全选或全不选”时所需任务数的下界。相对全集平均，该松弛总是可行。
• 单侧阈值： 若 τX≥ρ，按 ϵi 升序加入辅助任务，首次满足 r(x)≤τX 的 bundle 规模最小（Proposition 3）。作者称沿该路径 r(x) 不必单调下降，证明不依赖单调性（Remark 6）。
• 目标保持代理： 在满足隐藏约束的 bundle 中偏好更小规模，代理量为 1/∥x∥1。作者称这只是与模型无关的代理，不是响应是否执行目标。

查询级隐藏与目标保持

• 两个查询级量： rQ(q)=Pr(L=−|Q=q)。目标信息 ℓb(q) 是 log(n Pr(T=tb|Q=q))，即事件 T=tb 与查询的点态互信息；非对数形式是后验提升 Liftb(q)=exp(ℓb(q))。
• 效用： UQ 等于 ℓb(q) 乘以两个指示：仅当 rQ(q)≤τQ 且 ℓb(q)≥η（η>0）时为正。此时最大化 UQ 等价于最大化 ℓb。作者称 bundle 规模不能代替这一判断：相近的 r(x) 和规模仍可能写成很不同的查询。
• 有界搜索： Algorithm 1 的候选集来自第 III 节的贪心前缀和 water-filling 支撑，而不是全部含目标 bundle。每个候选最多生成 M 条查询，用估计量 r̂Q、ℓ̂b 过滤，在通过者中取 ℓ̂b 最大者；否则返回未找到。作者称搜索代价为 M 乘候选数，且不完备：预算内没找到不表示不存在。
• 与响应级指标的差别： 作者称 ASR 和目标保持水平评估的是下游结果，并不直接估计查询级后验或 UQ（Remark 8）。

实验里实际怎么构造

• 抽样： 总规模 k∈{2,3,4,5,6}。每个目标、每个 k 抽 M=20 个 bundle，辅助任务按权重正比于 exp(−ϵ̂i/max{σaux, 10^{-6}}) 无放回抽样，σaux 是 50 个辅助任务估计的标准差，除数取 50。每个 bundle 只生成一条查询，全部提交、不做 τQ 或 η 过滤。
• 作者写明的差别： 这是简单抽样，不是第 IV 节的完整搜索。Algorithm 1 的 M 是每个 bundle 的查询重写预算；实验的 M=20 是每个目标、每个 k 的 bundle 数。

实验设置

• 数据： 100 个 JailbreakBench 有害行为，覆盖十类滥用，作为目标；从 Super-NaturalInstructions 抽 50 个良性辅助任务。二者组成固定字母表。
• ϵi： Llama Guard 3-8B 在第一个输出位置取 unsafe 与 safe 概率，ϵ̂i=punsafe/(psafe+punsafe)。
• 生成器： 主生成器 Qwen3-32B；Qwen3-14B 实现完全相同的 10,000 个辅助 bundle。温度 0.9，top-p=0.92，最多 120 个生成 token，关闭 Qwen3 的逐步思考。生成器被要求把目标与辅助任务放进共享上下文并保留各自意图；Table I 有对照，此处不复述请求原文。
• 响应模型： 32B 查询评测 Qwen3-1.7B、Qwen3-4B、Qwen3-4B-Instruct-2507、Qwen3-8B、Mistral-7B-Instruct-v0.3、Gemma-3-4B-PT、Gemma-3-4B-IT。14B 查询只评前三个 Qwen3。响应温度 0、seed 1234、最多 512 个新 token。Gemma-3-4B-PT 是预训练基座，Gemma-3-4B-IT 是其指令微调版。
• 规模与判定： k=1 为原始请求，每目标 1 次；k≥2 每目标 20 条。每个生成器–响应模型对 10,100 条响应。HarmBench-Llama-2-13B-CLS 给出 hb(y)∈{0,1}。空白响应记 0；Gemma-3-4B-PT 的 4,718 条空白计为失败。13 条疑似生成器拒答的组合查询保留。Flow-Judge-v0.1 用五级 rubric，分数 s 归一为 (s−1)/4。
• ASR 定义： ASR≤K 是 B=100 个目标中，在 k≤K 的已评候选里至少一次 hb=1 的比例。每目标累积预算为 1+20(K−1)。作者称跨 K 的比较同时反映可用 bundle 规模和候选数量。ΔK 是到 K−1 都未成功、而在规模 K 首次成功的目标比例。

主结果

下表为 Qwen3-32B 生成查询时的累积 ASR。K=1 数字来自 Figure 4 与 Figure 5(a) 正文；K=6 来自 Figure 4 与 Figure 5。Gemma-3-4B-IT 的累积 ASR 正文未给出，故不列入。

响应模型	K=1	K=6
Qwen3-4B	3%	96%
Qwen3-4B-Instruct-2507	0%	73%
Mistral-7B-Instruct-v0.3	60%	99%
Gemma-3-4B-PT	19%	96%
Qwen3-1.7B	未报告	99%
Qwen3-8B	未报告	97%

• 作者对单步增益的解读： 最大单步增益出现在第一次加入一个辅助任务。Qwen3-4B 从 K=1 的 3% 到 K=2 的 86%（+83 个百分点），更大 bundle 只再覆盖 10 个目标。Instruct-2507 在 K=2 为 35%（+35 个百分点），K=6 为 73%。作者称 K=3 之后每一档至多增加 7 个百分点，并因此停在 K=6。
• 作者对家族与规模的解读： 作者称三个家族在直接请求上差别大，组合后变小；因构造不访问响应模型，同一攻击迁移到这三个家族。在 1.7B 到 8B，作者认为后训练比参数规模更关系稳健性：同参数量的 Instruct-2507 在 K=6 为 73%，低于同图中的 1.7B、4B、8B。
• Table II： 对 Qwen3-4B-Instruct-2507，两则目标的直接请求被 HarmBench 标为 Not Jailbreak，Qwen3-32B 生成的组合查询被标为 Jailbreak。此处不复述查询和响应原文。

分数匹配代价

• 测了什么： 用参考混合 ρ(π)=πϵtgt+(1−π)ϵaux，取 π0=0.1，得到匹配基准 ρ0=0.103113。作者称它不同于理论里的均匀字母表先验；后者因目标数是辅助任务的两倍，约为 0.65（Appendix B 给出 ρunif≈0.651405，ϵtgt≈0.973929，ϵaux≈0.006356）。
• 结果： 100 个目标中 99 个估计高于 ρ0，在 50 个辅助任务的分数松弛下精确匹配可行；中位最小辅助质量 8.713，中位松弛 bundle 规模 9.713。余下 1 个低于 ρ0，已满足单侧条件，但因全部辅助任务也低于 ρ0，精确匹配不可行。
• 作者的解读： 响应实验最多 6 个任务，低于该中位松弛规模 9.713。作者称停在 6 是因为更大已测规模上累积 ASR 的额外增益总体上更小，且组合查询能在直接请求失败的目标上成功。

生成器对比

• 测了什么： Figure 6 用完全相同的 10,000 个辅助 bundle，比较 Qwen3-32B 与 Qwen3-14B，响应模型为 Qwen3-1.7B、Qwen3-4B、Qwen3-4B-Instruct-2507。
• 结果： K=6 累积 ASR，32B 对 14B 分别为 99% 对 98%、96% 对 95%、73% 对 57%。
• 作者的解读： 更大生成器在前两个已经容易越狱的模型上只多 1 个百分点，在 Instruct-2507 上多 16 个百分点；三个被两种生成器都评过的模型里，生成器效应在 Instruct-2507 上最大。

响应级目标保持

• 测了什么： Flow-Judge-v0.1 按原始目标评分；只完成辅助任务不算保持目标。Table III 是全部候选的平均，k=1 为 100 条，k≥2 每个格子为 2,000 条。Figure 3 把 Mistral-7B-Instruct-v0.3 与 Qwen3-8B 画成各自 k=1 基线的百分比。

响应模型	k=1	k=6
Qwen3-1.7B	0.108	0.057
Qwen3-4B	0.105	0.076
Qwen3-4B-Instruct-2507	0.098	0.068
Qwen3-8B	0.128	0.068
Mistral-7B-Instruct-v0.3	0.233	0.061
Gemma-3-4B-IT	0.135	0.112

• 结果： 图注写明，两模型在 k=2 损失最多，之后下降更慢；k=6 时 Mistral 保持基线的 26%，Qwen3-8B 保持 53%。Table III 中，Qwen3-1.7B、Qwen3-4B、Qwen3-8B、Mistral 的平均水平大体随 k 下降；Instruct-2507 与 Gemma-3-4B-IT 在组合规模上没有一致趋势。Gemma-3-4B-PT 未列入 Table III。
• 作者的解读： 作者称更大 bundle 能在增长的候选预算下覆盖更多目标，同时若干响应模型的平均目标保持下降。累积 ASR 问的是是否有任一候选成功，TPk 平均的是该规模全部候选，因此 TPk 下降本身并不表示成功响应保留了更少目标。

其他消融与分析

• Figure 4 中间累积 ASR：Qwen3-4B 在 K=2 至 5 为 86%、93%、95%、95%；Instruct-2507 为 35%、57%、61%、68%。
• Appendix B：50 个辅助任务估计都低于 ρ0，C−≈4.837864，C+=0；最大正偏移约 0.896828，故 99 个高于 ρ0 的目标在分数松弛下可行。
• 论文没有对 τQ、η、Algorithm 1 的 M 或候选集做消融；Section V 明确未跑该搜索。
• 负面情形：1 个目标无法对 ρ0 精确匹配；实验最大 k=6 低于中位松弛规模 9.713；Gemma-3-4B-PT 有 4,718 条空白并计为失败。

作者指出的局限与后续方向

论文未专门讨论局限。Conclusions、Discussion 或附录中没有专节把某项结果或设定写成局限、不足或未来工作。

实验覆盖范围

• 响应模型： Section V-A 用 Qwen3-32B 查询评测 Qwen3-1.7B、Qwen3-4B、Qwen3-8B、Qwen3-4B-Instruct-2507、Mistral-7B-Instruct-v0.3、Gemma-3-4B-PT、Gemma-3-4B-IT，共 7 个。Qwen3-14B 查询只评测其中 Qwen3-1.7B、Qwen3-4B、Qwen3-4B-Instruct-2507。
• 数据与预算： 100 个 JailbreakBench 目标、50 个 Super-NaturalInstructions 辅助任务；k∈{2,3,4,5,6}，每目标每档 20 个 bundle、每个 bundle 一条查询；k=1 每目标 1 次。每个生成器–响应模型对 10,100 条响应。响应温度为 0、seed 1234。
• 估计与判定： ϵi 由 Llama Guard 3-8B 估计；越狱标签由 HarmBench-Llama-2-13B-CLS 给出；目标保持由 Flow-Judge-v0.1 按五级 rubric 评分。
• 实际流程： 作者写明实验按低 ϵ 抽样并提交全部查询，测的是简单抽样，不是 Algorithm 1 在 τQ、η 下的完整搜索。bundle 与查询构造不访问 responding model。
• 论文未报告： 查询级 rQ 与 ℓb 的数值估计、评审与人工一致性，以及 seed 1234 之外的重复次数。正文未给出 Gemma-3-4B-IT 的累积 ASR；Table III 未列入 Gemma-3-4B-PT 的目标保持。

这篇工作把组合式意图隐藏写成任务选择：有害目标必须留在 bundle 里，同时让估计的有害意图概率贴近全集先验，或降到阈值以下。

• 问题： 直接有害请求可能被拒绝，嵌进良性辅助任务后的一条查询却可能得到不同响应。作者要在写措辞之前判断：含指定目标、满足隐藏条件的 bundle 是否存在、最少要多少辅助任务。
• 方法： 先验是任务级负意图概率的平均，后验是 bundle 内平均；二者相等称为 prior–posterior matching。作者称规模上限下的精确匹配一般是 NP-hard，分数权重有 water-filling 解，单侧阈值下按 ϵi 升序贪心可得最小 bundle。查询级再用负意图后验和目标信息 ℓb 定义效用。实验并未跑该搜索，而是用 Llama Guard 3-8B 的 ϵ̂ 偏向低意图辅助任务抽样，每档 20 个 bundle，全部提交。
• 攻击成功： 目标来自 JailbreakBench，共 100 个；辅助任务 50 个。Qwen3-32B 写查询时，Qwen3-4B 的累积 ASR 从 K=1 的 3% 到 K=6 的 96%，其中 K=2 已到 86%。Qwen3-4B-Instruct-2507 从 0% 到 73%。Mistral-7B-Instruct-v0.3 从 60% 到 99%，Gemma-3-4B-PT 从 19% 到 96%。同一 bundle 换 Qwen3-14B 写查询，Instruct-2507 在 K=6 为 57%，前两个 Qwen3 只少 1 个百分点。跨 K 的比较同时包含更大 bundle 和更多候选。
• 目标保持： 对若干响应模型，平均目标保持随 k 下降。Figure 3 中 k=6 时 Mistral 保留其直接请求基线的 26%，Qwen3-8B 保留 53%。作者称 ASR 问是否有任一候选成功，目标保持平均的是该规模全部候选，二者不能互相代替。分数匹配的中位松弛规模为 9.713，实验停在 6。
• 作者的结论： 作者认为，少量良性辅助任务就常能到达直接请求被拒绝的目标；跨家族的直接请求差异在组合后变小；所评 1.7B 到 8B 内，参数规模没有带来一致的稳健性上升，后训练差异更明显；同一 bundle 的不同写法对更稳健的响应模型影响可以很大；辅助任务变多也会使若干模型更难忠实执行原目标。