Latent Fusion Jailbreak：通過融合有害和無害表示來破解 LLM 安全對齊

研究人員提出了一種名為 Latent Fusion Jailbreak (LFJ) 的白盒攻擊方法，旨在通過修改大型語言模型的內部表示來操縱安全對齊的模型。該方法將有害查詢與結構相似但無害的對應查詢配對，並在精心選擇的層級和詞元位置上對其隱藏狀態進行插值混合。拒絕損失梯度（refusal-loss gradients）用於確定具體的干預位置，而詞元歸一化的合規性與拒絕抑制目標則用於優化層級混合係數。編輯後的提示狀態會按順序傳播至剩餘的 Transformer 區塊。

在四個安全基準和五個開源權重目標模型上，LFJ 在描述的白盒協議下達到了 94.13% 的宏平均攻擊成功率（ASR）。由於 LFJ 直接訪問內部狀態，與僅提示攻擊的比較僅作為描述性參考而非匹配評估。實驗顯示，若放棄拒絕採樣，ASR 會降至 86.72%；而若將結構化的有害 - 無害配對替換為隨機配對，ASR 則會大幅下降至 27.45%。

針對此攻擊，研究人員設計了一種特定的 LFJ 潛在對抗性訓練程序。當攻擊針對經過防禦的模型重新優化時，ASR 從 94.13% 降至 12.37%。然而，這項防禦評估並未涵蓋向其他攻擊類型的轉移，也未評估對無害效用（benign utility）的保留情況。