Phonetic Perturbations Reveal Tokenizer-Rooted Safety Gaps in LLMs
该论文提出了一种名为 CMP-RT 的新型诊断探针，揭示了大语言模型因分词机制将安全关键 token 碎片化为无害子词而导致的安全漏洞，并证实这种基于语音的扰动能绕过现有防御、跨模态及多模型（包括 Gemini-3-Pro）有效攻击，且可通过监督微调放大。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
这篇论文就像是在给大语言模型（LLM）做了一次“体检”，发现了一个非常隐蔽但致命的“安全漏洞”。
简单来说，研究人员发现：只要把一些敏感词汇的拼写稍微改得“听起来一样但看起来不一样”，大模型就会瞬间“失忆”，忘记自己应该遵守的安全规则，从而输出有害内容。
为了让你更容易理解，我们可以用几个生动的比喻来拆解这篇论文的核心发现：
1. 核心概念：给“坏词”穿上“隐身衣”
想象一下，大模型的安全系统像是一个严格的机场安检员。
- 正常情况：如果你拿着写有“制造炸弹”的纸条过安检，安检员一眼就能认出这几个字，立刻把你拦下（拒绝回答）。
- 论文中的攻击（CMP-RT）：研究人员发明了一种新招。他们不直接写“制造炸弹”，而是写成“制造炸弹”或者用拼音/谐音写成“制造zhadan"。
- 这就好比小偷把“炸弹”两个字拆成了“炸”和“弹”，或者换了一种方言口音说。
- 结果：安检员（模型）虽然能听懂你在说什么（它知道你想问什么），但它的**眼睛（分词器/Tokenizer）**却卡住了。它把“炸弹”这个危险词看成了两个无害的普通碎片（比如“炸”和“弹”），于是安检员觉得：“哦，这两个词都很安全，放行！”
2. 问题的根源：分词器的“近视眼”
论文指出，问题的根源不在于模型“变笨了”或者“不想遵守规则”，而在于分词器（Tokenizer）。
- 比喻：分词器就像是一个只会按固定模板切蛋糕的机器。
- 当蛋糕上写着标准的“炸弹”时，机器会切出一个完整的、标有“危险”标签的块。
- 但当蛋糕上写着“炸弹”或"zha dan"时，机器就会把它切成两块普通的、没有标签的碎屑。
- 后果：模型后面的“大脑”虽然接收到了这些碎屑，知道你在问关于“炸”和“弹”的事，但因为前面的“标签”丢了，后面的安全机制就没有触发。这就导致了模型完全理解你的意图，却完全忽略了安全警告。
3. 实验发现：漏洞无处不在
研究人员测试了各种模型（包括 ChatGPT、Llama、Gemma 等）和任务（文字生成、图片生成）：
- 文字生成：只要用这种“谐音/拼写错误”的方式提问，很多原本很安全的模型都会中招，开始教人如何制造危险物品或进行仇恨言论。
- 图片生成：这个漏洞甚至能骗过画图模型。比如，用正常的词描述“血腥画面”会被拒绝，但用这种“拼写错误”描述，模型就会真的画出一张血腥的图片。
- 防御失效：现有的防御手段（比如检查拼写错误、检查困惑度）几乎完全无效。因为这种拼写错误在人类看来是合理的（就像短信里的缩写），在机器眼里却成了“无害的碎片”。
4. 为什么会发生？（训练与对齐的“断层”）
论文做了一个有趣的“手术”来解释原因：
- 比喻：想象模型的学习过程分两步。
- 学前班（预训练）：模型在互联网上读了海量书，包括很多短信、网络聊天，那里充满了各种拼写错误和方言。它学会了理解这些“乱码”。
- 安全培训（对齐）：后来，为了安全，人们教它“看到‘炸弹’就要拒绝”。但是，这个培训用的全是标准拼写的“炸弹”。
- 断层：当模型遇到“炸弹”这种非标准写法时，它的前半部分（理解能力）还能认出这是“炸弹”，但后半部分（安全规则）因为只学过标准写法，所以没反应过来。这就造成了**“理解”和“安全”之间的脱节**。
5. 解决方案：强制“对齐”
研究人员尝试了一种修复方法：
- 比喻：既然模型在深层网络里“迷路”了，研究人员就强行把模型在深层网络里的“思考路径”拉回来。
- 他们让模型在生成回答时，强制要求：“不管输入是‘炸弹’还是‘炸弹’，你脑子里的‘拒绝’信号必须是一样的。”
- 结果：神奇的是，一旦强制模型在深层保持这种一致性，安全漏洞就被堵住了，而且不需要重新训练整个模型。
总结
这篇论文告诉我们一个令人警醒的事实：
目前的 AI 安全系统太依赖**“标准的拼写”**了。只要稍微把敏感词变得“听起来一样但看起来不同”（就像我们在短信里用的缩写或谐音），就能轻易绕过所有防线。
这就好比银行的金库大门只认“身份证”上的标准照片，如果有人戴个口罩、换个发型（但声音和指纹没变），保安虽然知道他是本人，却因为照片对不上而把他放行了。
这项研究呼吁未来的 AI 安全不能只盯着“标准输入”，必须考虑到人类语言中那些千变万化、充满“拼写错误”的真实交流方式。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。