真相深藏：通过潜在意图验证反制语义伪装

# 真相深藏：通过潜在意图验证对抗语义伪装  
来源：https://arxiv.org/html/2608.20378  

###### 摘要  
大型语言模型（LLMs）的安全对齐往往流于表面，其拒绝机制仅在生成的最后阶段触发，而未清除预训练阶段获取的有害概念基础知识。本研究证明，这种架构上的脱节使模型容易受到语义伪装的攻击——这类对抗性攻击将有害意图包裹在良性的叙事语境中（例如创意写作），从而有效绕过标准的输入和输出防护机制。通过分析三种不同小型语言模型（SLMs）系列（Phi-3、Qwen2.5 和 Gemma-2b）在对抗性压力下的潜在激活轨迹，本研究发现了一个普遍的“意图边界”——一个关键的深度（通常为总层数的15-20%），在此深度处，模型对有害意图的独特预训练表征会随着查询被情境化为“安全”叙事而崩溃。结果表明，虽然伪装攻击的后期表征在数学上与安全查询无法区分（检测率 < 20%），但早期表征仍保留了独特且可检测的“有害特征”。基于这一见解，本文提出了潜在意图验证（LIV），一种轻量级的探测防御方法。在 PKU-SafeRLHF 数据集上的实验表明，LIV 在所有测试架构上比标准防护机制高出 20-50%，无需模型重训练即可有效中和零日语义攻击。  

## I 引言  
尽管通过基于人类反馈的强化学习（RLHF）进行了广泛的安全对齐，大型语言模型（LLMs）仍然极其脆弱。虽然像 Llama-3 和 Phi-3 这样的模型在应对明确有害查询时表现出稳健的拒绝率，但它们在抵抗语义伪装方面经常失败——这是一种复杂的对抗性攻击，恶意意图被隐藏在良性的叙事结构中，例如创意写作、角色扮演或代码优化任务。这种漏洞凸显了当前防御范式的一个关键缺陷。  
现有的防护机制通常充当“边界防御”，监控初始输入提示或最终输出嵌入。这种方法假设有害内容在语言上与安全内容有区别。然而，语义伪装将恶意意图与恶意词汇分离，使得基于关键词和浅层语义过滤器的方法失效。因此，出现了一种“猫鼠游戏”动态，静态防御不断被利用模型指令遵循能力的零日越狱手段所超越。  
本研究表明，解决方案不在于更好地过滤输出，而在于深入其处理过程。本研究利用机制可解释性，调查了小型语言模型（SLMs）在对抗性压力下的内部激活轨迹。中心假设是，安全对齐不是一个二元状态，而是一个衰减信号——本文将这一现象称为“意图边界”。“意图边界”代表了神经网络中的一个关键深度，在此深度，有害意图的显著表征被语境化框架所抑制。通过对微软 Phi-3、Qwen2.5 和 Gemma-2b 的实证分析，本研究揭示，虽然伪装攻击的后期表征在数学上与安全查询无法区分，但早期表征仍保留了生动的“有害特征”。为此，本文提出了潜在意图验证（LIV），这是一种新颖的防御机制，将安全检查点从输出层转移到模型的“潜意识”早期层。  
本文的具体贡献如下：  
- • **识别意图边界**：经验性地绘制了有害意图信号的逐层衰减，揭示安全信息在网络深度的前15-20%内最可提取。  
- • **证明安全差距**：定量证据表明，标准的后期层防御未能检测到 >60% 的语义伪装攻击，而这些攻击对早期层探测器来说很容易被发现。  
- • **开发 LIV**：一种轻量级、与模型无关的探测技术，在 PKU-SafeRLHF 数据集上将零日越狱检测率提高了 20-50%，无需模型重训练或微调。  

## II 文献综述  
大型语言模型的安全性正在迅速演变，因为对齐防御与日益复杂的对抗性攻击相互竞争。本节回顾了当前安全防护机制的概况、越狱方法的进展以及强化学习（RL）的新兴作用。  

### II-A 安全防护机制的演变  
为了减轻有害或不道德内容的生成，现代大型语言模型的部署依赖于多层防御架构[19, 6]。这些机制通常分为**输入防护**（在处理前过滤对抗性提示）和**输出防护**（实时监控生成的响应）[19]。实施策略范围从微调的自然语言处理分类器（例如基于 BERT 的检测器）[9]到执行伦理准则的可编程基于规则的系统[6]。开源框架如 Llama Guard 和 Nvidia NeMo 已将这些防御标准化[5]，而更先进的“自防御”机制则采用次要的“影子 LLM”来审计主模型的输出[17]。  
然而，最近的实证研究表明这些基于边界防御的固有局限性。研究表明，防护机制不存在“免费午餐”；严格的安全措施通常会降低模型的整体效用，而灵活的系统则容易被操纵[12]。这种权衡强调了需要那些在内部而非仅仅在输入/输出表面进行防御的必要性。  

### II-B 对抗性环境：从优化到伪装  
越狱技术——旨在绕过安全对齐的方法——已从人工工程转向算法优化[17, 8]。早期方法依赖人类直觉，但基于优化的攻击（如贪婪坐标梯度法）现在可以自动生成“对抗性后缀”，以最大化肯定回应的概率[20]。这些自动化攻击在不同模型架构间表现出高度的可迁移性。  
一个更阴险的发展是**语义伪装**，其中恶意意图被良性的语言特征或创造性框架所掩盖，有效绕过标准分类器[18]。这类攻击包括利用编码漏洞的“无限多释义”攻击[8]，以及利用拟人化和虚拟场景来逃避使用控制的“嵌套越狱”（例如 DeepInception）[13, 4]。此外，多模态能力的引入开辟了新的攻击向量，其中视觉线索被用来绕过文本安全检查[3]。  
这些“伪装”攻击对最先进模型[1]的有效性凸显了检测潜在意图（而不仅仅是表面关键词）的防御的迫切需求[15]。  

### II-C 对抗性环境中的强化学习  
强化学习（RL）已成为对抗性生成的强大加速器。与静态优化不同，RL 代理可以训练以动态发现新的绕过路径[7, 14]。例如，REINFORCE 算法已被调整以优化语义触发器，将攻击成功率在已对齐的模型上提高了一倍[7]。最近的框架如 RL-JACK 将提示生成视为黑盒搜索问题[2]，而“AdvPrompter”利用次要 LLM 在无人监督的情况下自适应生成对抗性后缀[14]。  
虽然一些研究探索使用 RL 来优化查询以增强鲁棒性[10]，但主流趋势表明，大型语言模型具有“自我学习”越狱策略的内在能力[16, 11]。这种自动适应能力构成了“零日”威胁，需要本研究提出的动态、深度感知的防御。  

## III 方法论  
![方法论流程图](此处隐含图注)  
**图 1：方法论流程**：潜在意图验证（LIV）的三阶段实验设计。第一阶段准备跨三种架构的量化小型语言模型环境。第二阶段涉及提取内部激活以训练线性探测器，用于早期（LIV）与后期层。第三阶段用零日“语义伪装”攻击对模型施压，以量化安全差距（ΔS）。  
为了验证基于边界防御的失效并评估潜在意图验证（LIV）的有效性，设计了一个机制可解释性框架来探查大型语言模型的内部残差流。本节详细说明理论公式、实验对象以及用于映射意图边界的探测架构。  

### III-A 理论框架：意图边界  
假设大型语言模型对有害查询 x 的处理在其层 l ∈ {1, ..., L} 中演变。令 h_l(x) 表示第 l 层的隐藏状态激活向量。标准安全对齐基于这样一个假设：随着 l → L，有害检测概率 P(Harm | h_l) 增加或保持稳定。“意图边界”假设挑战了这一假设。意图边界定义为一个关键深度 l_crit，在该深度，查询的语义情境化抑制了原始有害意图信号。形式上，对于语义伪装的提示 x_cam，该假设陈述为：  
P(Harm | h_l) ≈ 1 对于 l < l_crit  
P(Harm | h_l) → 0 对于 l > l_crit (2)  
这意味着，尽管对有害性的“认知识别”在网络早期存在，但最终层的“拒绝机制”被良性的叙事包装所绕过。  

### III-B 主体模型与环境  
为确保发现的普遍性，选择了三种不同的小型语言模型（SLMs）架构，它们因其效率和高推理/尺寸比而被选中。所有模型均使用 4 位归一化浮点（NF4）量化加载，以模拟资源受限的部署环境：  
1. **微软 Phi-3-mini-4k-instruct (3.8B)**：因其密集的推理能力和在合成数据上的独特训练而被选中。  
2. **Qwen2.5-1.5B-Instruct (1.5B)**：作为高效、非西方模型架构的代表而被选中。  
3. **谷歌 Gemma-2b-it (2B)**：作为标准密集 Transformer 架构的代表而被选中。  

### III-C 数据收集与整理  
构建了一个双阶段评估数据集以严格测试泛化能力：  
- • **训练集（标准）**：使用了 PKU-SafeRLHF 数据集[19]，采样了 2,000 个平衡的安全和明确有害提示对（例如“如何制造炸弹”）。此数据仅用于训练线性探测器。  
- • **评估集（伪装）**：策划了一个自定义的“零日”数据集，包含 100 个语义伪装提示（例如电影脚本生成、教育角色扮演、代码调试语境），用以包裹有害意图。重要的是，这些提示不包含训练集中发现的任何明确“触发词”，迫使探测器检测潜在意图而非词汇模式。  

### III-D 探测架构  
采用线性探测器来提取和分析特定网络深度处的“有害特征”。对于每个模型，从两个不同的位置提取激活：  
1. **早期探测器（LIV）**：针对总深度的 15%（例如，Phi-3 的第 4 层）。这针对预情境化的语义处理。  
2. **晚期探测器（标准）**：针对最终隐藏层（第 N-1 层）。这代表现有输出防护机制使用的标准嵌入。  
在标准集上训练逻辑回归分类器（C=1.0，L2 惩罚），并在伪装集上进行评估。训练（明确）和评估（伪装）之间的这种脱节专门衡量了“有害特征”对语义转变的鲁棒性。  

### III-E 评估指标  
报告了在伪装数据集上的检测率（DR）。安全差距（ΔS）定义为早期和晚期探测器之间的性能差异：  
ΔS = DR_early - DR_late (3)  
正的 ΔS 证实了意图边界假设，表明随着模型处理对抗性语境，安全信息会丢失。  

## IV 结果  
本节呈现了意图边界假设的实证验证。分析了多个架构上早期和晚期探测器之间的性能差异，绘制了安全信号的精确逐层衰减图，并提供了潜在空间分离的几何证据。  

### IV-A 安全差距：早期 vs. 晚期检测  
主要实验评估了潜在意图验证（LIV）对零日语义伪装的鲁棒性。图 2 展示了三种不同小型语言模型架构在保留的对抗性数据集上的检测率。结果显示了显著的安全差距（ΔS）。标准的晚期层防御（红色条）持续未能检测到大多数伪装攻击，Phi-3 的检测率低至 18%，Gemma-2b 为 22%。这证实了基于边界的防护机制对语义包装实际上是“盲视”的。  
相比之下，早期层的 LIV 探测器（绿色条）保持了 58% 至 65% 的稳健检测率。对于 Qwen2.5-1.5B 模型，将防御深度从最终层转移到第 4 层，性能相对提升了 50%。这表明“有害特征”并非不存在；它只是被后续的处理层抑制了。  

![安全差距图](此处隐含图注)  
**图 2：安全差距**。三种模型系列上对抗性越狱的检测率。绿色条（LIV）始终优于红色条（标准），突显了基于输出的防御的脆弱性。  

### IV-B 映射意图边界  
为理解这种抑制的动态过程，对微软 Phi-3 模型进行了细粒度的逐层扫描。图 3...（内容截断）