💬 NLP

Retrieval-Augmented Defense: Adaptive and Controllable Jailbreak Prevention for Large Language Models

本文提出了检索增强防御（Retrieval-Augmented Defense, RAD），这是一个无需训练的框架，它利用已知攻击示例的数据库来检测并推断恶意越狱策略，从而为大语言模型提供自适应保护以及可控的安全与效用权衡。

原作者： Guangyu Yang, Jinghong Chen, Jingbiao Mei, Weizhe Lin, Bill Byrne

发布于 2026-08-11

📖 1 分钟阅读☕ 轻松阅读

原作者： Guangyu Yang, Jinghong Chen, Jingbiao Mei, Weizhe Lin, Bill Byrne

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，互联网就像一座巨大且繁忙的图书馆，而其中最新、最聪明的管理员就是人工智能。这些被称为大语言模型（LLM）的人工智能管理员可以写诗、解数学题，并能和你聊任何你能想象到的事情。它们非常乐于助人，但有一本严格的规则手册：它们被编程为绝不提供危险指令，比如如何制造炸弹或窃取他人身份。然而，就像一个聪明的孩子可以通过巧妙提问来戏弄严厉的老师一样，坏人已经找到了“越狱”（jailbreak）这些人工智能管理员的方法。他们给危险请求穿上了华丽的戏服——比如假装在编写电影剧本或进行角色扮演游戏——以此来欺骗人工智能，让它忘记规则并泄露秘密。大问题在于，构建这些人工智能系统的人发现，这些“诡计”变化的速度比他们教给人工智能新规则的速度还要快。每当他们修补一个漏洞时，新的漏洞就会出现，而且教人工智能学习所有这些新诡计通常需要一个庞大、昂贵且缓慢的重新训练过程。

这就是研究人员提出的名为**检索增强防御（Retrieval-Augmented Defense, RAD）**的新想法。请不要把 RAD 仅仅看作是一个试图记住所有诡计的老师，而要把它看作是一个拥有无穷无尽、实时更新的“通缉令”相册的超级聪明保安。RAD 不会强迫人工智能在每次出现新诡计时都重新学习它的整个个性，而是像一名站在门口的侦探。当用户提出问题时，RAD 不仅仅是看文字，它还会快速翻阅它的已知越狱尝试相册，看看当前的问题是否穿着伪装。如果它发现匹配项，它就会剥开这层戏服，露出下面真实的、危险的意图。如果意图是不良的，保安就会拦截该请求。如果是一个无害的问题，保安就会放行，让 AI 管理员履行职责。

研究人员发现，这种“相册”方法是一个游戏规则的改变者。在测试中，他们展示了 RAD 如何在无需重新训练人工智能的情况下，就能阻止强大的新型越狱攻击——例如通常能欺骗 AI 模型的“PAIR”和“PAP”方法。这就像是今天给保安的相册里增加了一张罪犯的照片，到了明天，保安就能抓到他们。更棒的是，这个系统是可调节的。运行人工智能的人可以决定保安应该有多严格。他们可以将保安设置为超级谨慎（抓住几乎所有的坏人，但偶尔也会拦住一些无辜的人），或者更加宽松（让更多人通过，但抓到的坏人较少）。这种平衡至关重要，因为你不希望一个安全系统严格到连回答“今天天气怎么样？”这种简单问题都拒绝。

论文指出，这种方法在保持人工智能安全性的同时，仍能使其保持实用性。在实验中，RAD 大幅降低了这些隐蔽攻击的成功率，在许多情况下将其降至接近于零，同时仍能让人工智能正确回答正常问题。研究人员还展示了，随着他们在相册中添加更多新的攻击案例，系统在捕捉这些特定新诡计方面变得更加聪明，同时又不会忘记如何捕捉旧的诡计。这是一个灵活的、“无需训练”的盾牌，只需通过向相册中添加新照片就能变得更加聪明，为在这个坏人不断发明新手段绕过规则的世界里，如何让我们的 AI 助手既安全又好用，提供了一种充满前景的方法。

技术摘要：检索增强防御 (Retrieval-Augmented Defense, RAD)

问题陈述

大语言模型 (LLMs) 仍然容易受到越狱攻击（jailbreak attacks）的影响，即恶意攻击者通过修改输入来诱导模型产生有害或不道德的响应。现有的防御机制面临两个主要挑战：

适应性： 多样化且不断演变的攻击策略快速涌现，使得防御系统难以在不进行昂贵模型重训的情况下进行更新。
安全性与效用之间的权衡 (Safety-Utility Trade-off)： 激进的防御策略往往会导致高误拒率（拦截良性查询），而宽松的策略则无法拦截有害内容。因此，需要一种能够根据特定部署需求和风险容忍度来控制这种权衡的机制。

方法论：检索增强防御 (RAD)

作者提出了检索增强防御 (RAD)，这是一个利用检索增强生成 (RAG) 和集成分类技术来检测越狱尝试的无需训练（training-free）的框架。与以往干扰响应生成的基于 RAG 的防御不同，RAD 是作为一个独立的检测系统运行的。

核心组件

RAD 流水线由一个离线数据库构建阶段和五个在线处理步骤组成：

数据库构建：
- 构建一个包含原始用户查询 ( $q_i$ ) 及其对应的越狱提示词 ( $x_i$ ) 对的数据库。
- 使用 LLM，系统会为每个条目推断其潜在的越狱策略 ( $\tilde{S}_i$ ) 和提取引导 ( $\tilde{G}_i$ )。
- 越狱提示词 $x_i$ 作为稠密文本嵌入检索的键（key）。
在线检测流水线：
- 检索 (Retrieve)： 给定一个新的输入提示词 $x$ ，系统使用余弦相似度从数据库中检索出最相似的前 $K$ 个越狱示例。
- 重排序 (Rerank)： 对检索到的集合进行重排序，以确保推断策略的相关性。提出了两种评分方法：
  - PMI 评分： 使用互信息 (Pointwise Mutual Information) 来衡量策略与输入之间的关联性。
  - 策略似然评分 (Strategy Likelihood Scoring)： 使用给定输入下该策略出现的概率。
  - 包含一个“无策略 (no strategy)”元素，以处理良性查询。
- 提取 (Extract)： 对于每个排名靠前的“策略-引导”对，LLM 从输入提示词中提取出一个候选原始用户查询 ( $\bar{q}_j$ )，这实际上是在尝试逆转攻击转换过程。
- 分类 (Classify)： 系统计算每个提取出的查询在给定查询、策略及原始输入条件下的有害性概率 ( $P_j$ )。
- 投票 (Vote)： 单个概率通过多数投票（平均值）或加权投票（按联合后验概率加权）进行聚合，从而产生最终的有害性概率 $P(\text{harmful}|x)$ 。
决策与控制：
- 将最终概率与可调阈值 $\tau$ 进行比较。如果 $P(\text{harmful}|x) \ge \tau$ ，系统执行硬拒绝；否则，将提示词传递给目标 LLM。
- 通过调整 $\tau$ ，从业者可以明确控制安全性（拦截有害提示词）与效用（保留良性响应）之间的平衡。

核心贡献

无需训练的适应性： RAD 通过简单地向数据库添加新的攻击示例来实现持续更新。这使得系统能够在无需重训底层模型的情况下，应对新兴的越狱策略（例如新的 PAIR 或 PAP 变体）。
鲁棒的防御性能： RAD 显著降低了多种目标模型（Qwen, GPT-4o, Llama）上强力越狱攻击（包括 PAP, PAIR 和 Template 攻击）的有效性，同时保持了较低的良性查询误拒率。
可控的安全性-效用权衡： 作者引入了一种基于操作曲线 (Operating Curves)（防御得分 vs. 误拒率预算）的评估方案。RAD 展示了稳健的帕累托前沿 (Pareto frontier)，允许用户选择符合特定应用风险容忍度的操作点。
效用保持： 作为一个仅限检测的系统，RAD 避免了其他防御方法（如意图分析或安全上下文检索）所需的提示词修改，从而保留了目标模型在通用问答任务（AlpacaEval 2.0, MMLU）上的性能。

实验结果

实验在 StrongREJECT 基准测试和通用问答数据集上进行：

攻击缓解： RAD 显著降低了 StrongREJECT 上的攻击得分。例如，针对 Qwen-2.5-14B-Instruct 的 PAP 攻击，RAD-Base-14B 将攻击得分从 81.51（无防御）降低到了 30.91。针对 Template 和 DAN 攻击，RAD 实现了接近零的攻击得分。
适应性： 当向数据库中添加新的攻击示例（如 ReNeLLM, SATA）时，RAD 对这些特定新攻击的性能显著提升，且没有降低对先前已知攻击的性能（展示了没有灾难性遗忘）。
效用： RAD 在 AlpacaEval 2.0 上的胜率以及在 MMLU 上的准确率与未防御的基准线几乎一致，而其他方法（如意图分析）会导致模型效用大幅下降。
可扩展性： 即使当数据库规模扩大到超过 500,000 个示例时，系统仍保持稳定且有效。

意义与主张

本文声称 RAD 为 LLM 安全提供了一个实用且可扩展的解决方案，解决了当前防御机制的局限性。其主要意义在于：

将防御与训练解耦： 通过利用基于检索的方法，它消除了为了适应新威胁而进行昂贵重训循环的需求。
显式控制： 它为操作者提供了一种调节安全性-效用权衡的机制，承认不同的部署场景需要不同程度的严格性。
泛化能力： 它展示了在攻击家族内部（例如仅使用 PAIR-1 示例即可防御 PAIR-5）以及跨多样化目标模型的强大泛化能力。

作者指出了局限性，包括目前侧重于纯文本输入（尚未扩展到多模态设置），以及对 StrongREJECT 基准测试中特定有害性定义的依赖。他们强调，该系统设计仅用于检测，且攻击示例数据库仅限于授权研究人员，以防止滥用。