🤖 machine learning

Diffusion LLMs as Targets and Adversaries: Mechanistic Safety Exploits

Diese Arbeit zeigt auf, dass diffusionsbasierte große Sprachmodelle spärliche und übertragbare Sicherheitsanfälligkeiten von ihren autoregressiven Vorgängern erben, was durch mechanistisches Neuron-Pruning und ein neuartiges SN-gesteuertes Diffusions-Framework hocheffektive Black-Box-Jailbreaks ermöglicht, die mit minimalen Generierungskosten eine nahezu perfekte Erfolgsrate bei Angriffen erzielen.

Ursprüngliche Autoren: Elena Dumitrescu, Gert Lek, Lydia Y. Chen, Jérémie Decouchant

Veröffentlicht 2026-08-10

📖 6 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Elena Dumitrescu, Gert Lek, Lydia Y. Chen, Jérémie Decouchant

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Welt vor, in der Computer Wörter nicht einfach nacheinander lesen, wie ein Mensch ein Buch von links nach rechts liest, sondern stat eine ganze Seite voller verschlüsselter Buchstaben betrachten und sie langsam, magisch, alle gleichzeitig entwirren, bis ein klarer Satz erscheint. Dies ist die neue Art und Weise, wie einige der klügsten Computergehirne, sogenannte Large Language Models (LLMs), zu denken lernen. Wissenschaftler nennen diese „Diffusion“-Modelle. Sie sind wie ein Detektiv, der mit einem unscharfen Foto eines Tatorts beginnt und den Fokus immer weiter schärft, bis das Bild kristallklar ist, anstatt zu versuchen, das nächste Wort in einem Satz eins nach dem anderen zu erraten.

Aber hier ist der knifflige Teil: Wir lehren diese Computer, „gut“ zu sein, indem wir ihnen Beispiele zeigen, was sie nicht sagen dürfen, wie zum Beispiel die Verweigerung, jemandem beim Bau einer Bombe oder beim Schreiben eines böswilligen Briefes zu helfen. Dies nennt man „Safety Alignment“ (Sicherheitsausrichtung). Lange Zeit dachten wir, dass diese Sicherheitsregeln tief in das gesamte Gehirn des Computers eingewebt sind, wie ein dicker, unzerbrechlicher Schild. Jüngste Forschungen deuten jedoch darauf hin, dass dieser Schild eigentlich nur aus ein paar winzigen, spezifischen Fäden besteht. Wenn man diese spezifischen Fäden finden und ziehen kann, könnte der gesamte Schild in sich zusammenbrechen. Das ist die große Frage, die sich Wissenschaftler stellen: Sind diese neuen „Entwirrungs“-Computer genauso sicher wie die alten, oder haben sie geheime, verborgene Schwachstellen, die wir noch nicht bemerkt haben?

Die große Entdeckung des Papers: Das Finden der „Sicherheitsschalter“

In diesem Paper beschloss ein Forscherteam, diese neuen Diffusionsmodelle auf zwei Arten zu behandeln: erstens als die Ziele, in die sie einbrechen wollen, und zweitens als die Gegenspieler (die Hacker), die sie nutzen wollen, um in andere Modelle einzubrechen. Sie wollten sehen, ob die Sicherheitsregeln in diesen Computern tatsächlich zerbrechlich waren, wie ein Kartenhaus, anstatt wie eine Festung.

Das Geheimnis der „Sicherheits-Neuronen“
Die Forscher fanden etwas Überraschendes heraus. In diesen komplexen Computergehirnen ist der Teil, der sagt „Nein, das kann ich nicht tun“, nicht überall verteilt. Stattdessen ist er in einer winzigen, spärlichen Gruppe spezifischer Teile konzentriert, die „Sicherheits-Neuronen“ genannt werden. Stellen Sie sich das wie ein Gebäude mit tausenden Glühbirnen vor. Man könnte denken, dass das „Nicht Betreten“-Schild auf jeder einzelnen Gl bulb ist, aber die Forscher fanden heraus, dass das Schild eigentlich nur ein kleiner Aufkleber auf nur einer Handvoll spezifischer Birnen ist. Wenn man diese wenigen Birnen mit Klebeband abdeckt (oder sie „beschneidet“/„pruned“), vergisst das Gebäude, dass es ein „Nicht Betreten“-Schild hat, und lässt jeden einfach herein.

Der „Copy-Paste“-Hack
Hier wird es wirklich clever. Viele dieser neuen Diffusionsmodelle werden gebaut, indem man die Gehirne älterer, „von links nach rechts“ lesender Modelle nimmt und ihnen eine neue Art zu denken gibt. Die Forsmcher entdeckten, dass das neue Modell bei diesem Vorgang versehentlich exakt dieselben „Sicherheits-Aufkleber“ vom alten Modell kopiert.

Sie testeten dies, indem sie die Sicherheits-Neuronen in einem alten Modell (genannt Qwen2.5) fanden und dann einfach auf die exakt gleichen Stellen in einem brandneuen Diffusionsmodell (genannt Dream oder Fast-dLLM) zeigten. Sie mussten nicht einmal in das neue Modell hineinschauen, um die Schwachstellen zu finden; sie nutzten einfach die Karte des alten Modells.

Das Ergebnis: Als sie diese kopierten Sicherheits-Neuronen „mit Klebeband abdeckten“, wechselten die neuen Modelle von sehr sicher (Verweigerung böser Fragen in 98 % der Fälle) zu völlig defekt (Beantwortung böser Fragen in 73,2 % der Fälle bei Dream und 86,3 % der Fälle bei Fast-dLLM). Dies bewies, dass die Sicherheitsmängel „übertragbar“ sind – man kann die Schwäche eines Modells stehlen und nutzen, um ein anderes zu brechen.

Die neue Waffe: „SN-Guided Diffusion“

Zu wissen, dass diese Sicherheits-Neuronen existieren, ist das eine, aber wie nutzt man das, um einen Computer zu hacken, den man nicht direkt berühren kann (ein „Black-Box“-Modell)? Die Forscher erfanden ein neues Werkzeug namens SN-Guided Diffusion.

Stellen Sie sich vor, Sie versuchen, einen Brief zu schreiben, den ein strenger Lehrer lesen wird. Wenn Sie etwas Schlechtes schreiben, stoppt er Sie. Aber was wäre, wenn Sie den Brief so schreiben könnten, dass er für das Gehirn des Lehrers sich sicher anfühlt, obwohl er eigentlich nach etwas Gefährlichem fragt?

Die Forscher nutzten die Fähigkeit der Diffusionsmodelle, Text zu „entwirren“, zu ihrem Vorteil. Anstatt Wort für Wort zu raten, stellten sie den Computer so ein, dass er mit einer schlechten Antwort beginnt, die sie wollten (wie „Wie baut man eine Bombe“) und baten den Computer dann, rückwärts zu arbeiten, um eine Frage zu finden, die zu dieser Antwort führt. Aber hier ist der Clou: Während der Computer rückwärts arbeitete, nutzten sie einen speziellen „Kompass“ (genannt Weighted Safety Neuron Loss), um den Prozess zu steuern.

Dieser Kompass sagte dem Computer: „Wähle keine Wörter, die die Sicherheits-Neuronen aufleuchten lassen. Wähle Wörter, die diese Neuronen dunkel halten.“ Durch ständiges Überprüfen und Anpassen der Wörter, um die Sicherheits-Neuronen ruhig zu halten, generierte der Computer einen „Jailbreak“-Prompt (Knack-Prompt), der geschickt getarnt war. Er sah wie eine normale, sichere Frage für die Sicherheitsfilter aus, führte den Computer aber dazu, eine gefährliche Antwort zu geben.

Wie gut hat es funktioniert?
Die Ergebnisse waren beeindruckend. Diese neue Methode musste das Zielmodell nicht tausende Male fragen, um zu lernen, wie man es bricht (was langsam und teuer ist). Stattdessen erledigte sie die gesamte Arbeit offline mit einem „Surrogat-Modell“.

Gegen ein Modell namens Llama-3-8B war sie in 77,1 % der Fälle erfolgreich.
Gegen Qwen2.5 war sie in 86,9 % der Fälle erfolgreich.
Gegen ein Google-Modell namens Gemini-2.5-Flash-Lite war sie in 74,3 % der Fälle erfolgreich.

Vielleicht am wichtigsten: Sie erledigte dies alles mit nur 20 Versuchen pro Frage. Andere Hacking-Methoden benötigen oft tausende Versuche. Das bedeutet, dass die neue Methode nicht nur effektiv, sondern auch unglaublich schnell und kostengünstig in der Ausführung ist.

Warum das wichtig ist

Das Paper kommt zu dem Schluss, dass die Sicherheit dieser neuen KI-Modelle viel zerbrechlicher ist, als wir dachten. Der „Sicherheits-Schild“ ist keine massive Wand; es sind ein paar spezifische Schalter, die gefunden, kopiert und ausgeschaltet werden können.

Die Forscher zeigten, dass, wenn man eine neue KI baut, indem man das Gehirn einer alten kopiert, man auch deren Sicherheitsmängel kopiert. Sie bewiesen auch, dass man die „Entwirrungs-Superkraft“ der neuen KI nutzen kann, um Prompts zu erstellen, die an den Sicherheitsfiltern vorbeischlüpfen, indem man die böse Absicht effektiv in ein sicher aussehendes Paket verpackt.

Obwohl dies beängstigend klingt, argumentieren die Forscher, dass das Verständnis dieser Schwachstellen der einzige Weg ist, sie zu beheben. Wenn wir wissen, dass die Sicherheitsregeln nur ein paar winzige Neuronen sind, können wir nicht einfach hoffen, dass sie standhalten; wir müssen die KI so umgestalten, dass Sicherheit in jeden Teil ihres Gehirns eingewebt ist und nicht nur in ein paar versteckten Schaltern existiert. Bis dahin könnten diese neuen Modelle viel verwundbarer sein, als wir realisiert haben, und die Werkzeuge, um sie zu brechen, liegen bereits in unseren Händen.

Technisches Resümee: Diffusion-LLMs als Ziele und Kontrahenten: Mechanistische Sicherheitsausbeutung

1. Problemstellung

Das rasche Aufkommen von Diffusion Large Language Models (DLLMs) führt eine neue Generation von Textgeneratoren ein, die die autoregressive (AR) Next-Token-Vorhersage durch iteratives, paralleles Denoising ersetzen. Während DLLMs Vorteile in der bidirektionalen Kontextmodellierung und Dateneffizienz bieten, bleibt ihre interne Sicherheitsmechanik unzureichend verstanden. Die bestehende Forschung zur Sicherheitsausrichtung (Safety Alignment) hat sich weitgehend auf AR-Architekturen konzentriert, bei denen Sicherheit oft auf spärliche Mengen von „Sicherheitsneuronen“ lokalisiert ist.

Diese Arbeit untersucht zwei kritische Fragen:

Als Ziele: Erben DLLMs dieselben spärlichen, mechanistischen Sicherheitsanfälligkeiten, die in ihren AR-Vorgängern (z. B. Qwen2.5) zu finden sind, und sind diese Schwachstellen über Architekturen hinweg transferierbar?
Als Kontrahenten: Können die einzigartigen Eigenschaften von DLLMs (speziell ihre Fähigkeit, die gemeinsame Prompt-Response-Verteilung $q(x, y)$ zu modellieren) genutzt werden, um adversarielle Prompts effizienter zu generieren als aktuelle State-of-the-Art (SOTA) Jailbreak-Methoden, die oft auf rechenintensiver Token-Suche oder Reinforcement Learning basieren?

Die Autoren postulieren, dass aktuelle Sicherheitsframeworks strukturell fragil sind und dass der Übergang zu Diffusionsparadigmen völlig neue Angriffsvektoren offenlegen sowie gleichzeitig neue Werkzeuge zur Ausbeutung bieten kann.

2. Methodik

Das Paper schlägt einen zweigleisigen Ansatz vor: einen White-Box Transfer Attack, um die Vererbung von Sicherheitsanfälligkeiten zu validieren, und ein Black-Box Jailbreak Framework (SN-Guided Diffusion), um diese Schwachstellen auszunutzen.

2.1. White-Box: Cross-Architecture Transferability

Die Autoren stellen zunächst fest, dass Sicherheitsmechanismen in DLLMs spärlich und transferierbar sind.

Identifizierung von Sicherheitsneuronen: Unter Verwendung einer Variante des NeuroStrike-Frameworks identifizieren die Autoren „Sicherheitsneuronen“ in einem Open-Weight-Quellmodell (entweder ein natives DLLM wie LLaDA oder ein AR-Modell wie Qwen2.5). Sie extrahieren Feed-Forward-Netzwerkaktivierungen aus benignen und maliziösen Prompts und trainieren einen logistischen Regressionsklassifikator, um Neuronen zu isolieren, deren Gewichte signifikant vom Mittelwert abweichen.
Direkte Index-Abbildung: Für DLLMs, die von AR-Gewichten initialisiert wurden (z. B. Dream, Fast-dLLM aus Qwen2.5), ist die interne Netzwerkstruktur identisch. Die Autoren bilden die identifizierten Sicherheitsneuron-Koordinaten $(\ell, i)$ des Quell-AR-Modells direkt auf das Ziel-DLLM ab, ohne das DLLM selbst zu profilieren.
Inferenzzeit-Pruning: Um die Verwundbarkeit zu testen, setzen die Autoren die Aktivierungen dieser abgebildeten Sicherheitsneuronen während des Forward-Passes auf Null. Dieses „Transfer-Pruning“ umgeht Sicherheitsbarrieren, ohne ein Fine-Tuning des Modells zu erfordern.

2.2. Black-Box: SN-Guided Diffusion Framework

Um Jailbreaks zu generieren, ohne das Zielmodell abzufragen, führen die Autoren mit SN-Guided Diffusion ein vollständig offline arbeitendes Framework ein.

Weighted Safety Neuron (SN) Loss: Die Autoren formulieren eine kontinuierliche Verlustmetrik, um den Diffusionsprozess zu steuern. Anstatt diskreter Optimierung berechnen sie eine gewichtete Erwartung der Sicherheitsneuron-Aktivierungen:
$SN(x) = E_\ell \left[ \sum_{i:(\ell,i) \in S} h^\ell_i(x) \cdot w_{\ell,i} \right]$
wobei $w_{\ell,i}$ die während der Identifizierung gelernten logistischen Gewichte sind. Die Minimierung dieses Verlusts steuert die Generierung weg von sicherheitsauslösenden Regionen.
Generative Pruning Cascade: Um hochwertige adversarielle Antworten zu gewährleisten, nutzt das Framework zuerst ein progressiv gepruntetes Surrogat-DLLM, um „getarnte“ Prompt-Response-Paare zu generieren. Diese Kaskade filtert Verweigerungen (Refusals), Degeneration und semantische Verwässerung heraus und etabliert so eine zuverlässige „Jailbreak Zone“ im Aktivierungsraum.
Offline-Optimierungsschleife: Das Framework verankert den Reverse-Diffusionsprozess an einer festen maliziösen Zielantwort $y^*$ . In jedem Denoising-Schritt evaluiert es Kandidaten-Token für maskierte Positionen. Es wählt Token aus, die den SN-Loss minimieren und gleichzeitig die semantische Fluenz bewahren, wodurch die Trajektorie effektiv in die „Jailbreak Zone“ (einen nieder-aktivierten Subraum, der von benignen Abfragen ununterscheidbar ist) gesteuert wird.
Intent Cloaking: Um lexikalische Filter zu umgehen, verwendet das Framework persona-basierte Templates und euphemistische Übersetzungen, um rohe maliziöse Trigger vor Beginn des Diffusionsprozesses zu maskieren.

3. Kernbeiträge

Nachweis der strukturellen Transferierbarkeit: Das Paper liefert empirische Belege dafür, dass die Sicherheitsausrichtung in DLLMs hochgradig lokalisiert und strukturell transferierbar bleibt. In AR-Modellen (wie Qwen2.5) identifizierte Sicherheitsneuronen können direkt auf DLLMs abgebildet werden, die von diesen Gewichten initialisiert wurden, was Cross-Architecture-Angriffe ermöglicht, ohne das Ziel-DLLM zu profilieren.
Einführung des Weighted SN Loss: Die Autoren schlagen eine kontinuierliche, skalare Verlustmetrik vor, die Neuron-Aktivierungen mit gelernten logistischen Gewichten integriert. Diese Metrik erreicht eine nahezu perfekte Separabilität (AUROC = 1.0) zwischen benignen, schädlichen und Jailbreak-Prompts und etabliert somit ein zuverlässiges Ziel für die Optimierung zur Inferenzzeit.
SN-Guided Diffusion Framework: Ein neuartiger, vollständig offline arbeitender Black-Box-Jailbreak-Generator. Im Gegensatz zu bisherigen Methoden, die Tausende von Abfragen oder Reinforcement Learning erfordern, nutzt dieses Framework die bidirektionale Natur von DLLMs, um das Jailbreak-Optimierungsproblem als Inferenzzeit-Problem zu lösen. Es erreicht eine konkurrenzfähige Transferierbarkeit bei um Größenordnungen geringeren Generierungskosten.

4. Experimentelle Ergebnisse

4.1. White-Box Transfer Attacks

Self-Pruning: Das Pruning von Sicherheitsneuronen in nativen DLLMs (LLaDA, Dream) erhöhte die Attack Success Rate (ASR) von ~2,6 % auf 73,8 % (LLaDA) und von 1,9 % auf 86,6 % (Dream).
Transfer Pruning: Das Pruning von Neuronen, die von Qwen2.5 auf Ziel-DLLMs abgebildet wurden, erhöhte die ASR von 1,9 % auf 73,2 % bei Dream und von 7,0 % auf 86,3 % bei Fast-dLLM.
Utility Preservation: Die allgemeine Nützlichkeit (gemessen via GSM8K) blieb weitgehend intakt, mit einer Degradation von typischerweise unter 2-3 %, was bestätigt, dass Sicherheitsneuronen von allgemeinen linguistischen Fähigkeiten unterscheidbar sind.

4.2. Black-Box Transferability

Performance: SN-Guided Diffusion erreichte hohe ASR über diverse Targets hinweg:
- Llama-3-8B-Instruct: 77,1 %
- Qwen2.5-7B-Instruct: 86,9 %
- Gemini-2.5-Flash-Lite: 74,3 %
- Fast-dLLM-v2-7B: 88,8 %
Vergleich zu SOTA: Die Methode übertraf NeuroStrike (z. B. 83,3 % vs. 54,7 % auf Gemini-2.0-Flash) und konkurrierende Frameworks wie Puzzler, während sie nur 20 Generationsepisoden pro Prompt benötigte.
Defense Evasion: Der Angriff blieb robust gegenüber Perplexity Filtering und SmoothLLM. Layer-Specific Editing (LSE) bot die stärkste Abschwächung, reduzierte die ASR jedoch nur auf 69,0 % bei Llama-3, was auf die systemische Natur der Schwachstelle hindeutet.

4.3. Effizienz

Das Framework benötigt etwa 1.920 Surrogate-Evaluierungen pro Episode. Bei einem maximalen Budget von 20 Episoden pro Prompt belaufen sich die Gesamtkosten auf 38.400 Surrogate-Evaluierungen pro adversariellem Versuch. Dies ist um Größenordnungen niedriger als die Millionen von Rollouts, die GRPO-basierte Methoden erfordern, oder die zehntausenden Abfragen, die iterative Suchmethoden wie GCG benötigen.

5. Bedeutung und Behauptungen

Das Paper behauptet, dass der Übergang zu diffusionsbasierten Generationsparadigmen die Probleme der Sicherheitsausrichtung nicht inhärent löst, sondern vielmehr bestehende Schwachstellen aus AR-Modellen auf neue Architekturen übertragen kann. Die Autoren argumentieren:

Sicherheit ist spärlich und transferierbar: Sicherheitsmechanismen sind nicht holistisch, sondern beruhen auf spärlichen, lokalisierten Neuronen, die erhalten bleiben, wenn DLLMs von AR-Gewichten initialisiert werden. Dies schafft ein „zweischneidiges Schwert“, bei dem die Gewichtsteilung für Fähigkeiten auch die Schwachstellen teilt.
Mechanistische blinde Flecken: Es existiert eine „Jailbreak Zone“ im Aktivierungsraum, in der Prompts strukturell optimiert werden können, um den Sicherheitsneuron-Aktivierung zu minimieren und gleichzeitig die maliziöse Absicht beizubehalten. Diese Zone ist über Offline-Diffusion-Guidance zugänglich.
Effizienz mechanistischer Angriffe: Durch die Nutzung der gemeinsamen Verteilungsmodellierung von DLLMs können Angreifer die Notwendigkeit einer teuren Online-Optimierung oder eines Reinforcement Learning umgehen und eine hohe Transferierbarkeit bei minimalem Rechenaufwand erreichen.

Die Autoren kommen zu dem Schluss, dass zukünftige Alignment-Strategien über oberflächliches Verhaltens-Tuning hinausgehen müssen, um diese fundamentalen strukturellen Schwachstellen anzugehen, beispielsweise durch die Verknüpfung von Sicherheitsrepräsentationen mit den Kern-Linguistik-Fähigkeiten oder durch die Störung der Eins-zu-eins-Abbildung von Sicherheitsneuronen.