💬 NLP

DiffuGuard: How Intrinsic Safety is Lost and Found in Diffusion Large Language Models

本文针对扩散大语言模型（dLLMs）因迭代并行生成机制而面临的独特越狱漏洞，提出了无需训练的 DiffuGuard 防御框架，通过随机退火重掩码和块级审计修复双重策略，在保持模型效用与效率的同时显著降低了攻击成功率。

原作者： Zherui Li, Zheng Nie, Zhenhong Zhou, Yue Liu, Yitong Zhang, Yu Cheng, Qingsong Wen, Kun Wang, Yufei Guo, Jiaheng Zhang

发布于 2026-03-27

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Zherui Li, Zheng Nie, Zhenhong Zhou, Yue Liu, Yitong Zhang, Yu Cheng, Qingsong Wen, Kun Wang, Yufei Guo, Jiaheng Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文主要讲的是：一种新型的人工智能（叫“扩散大语言模型”）虽然很聪明，但有一个特殊的“安全漏洞”，而作者们发明了一个叫"DIFFUGUARD"的免费补丁来修补它。

为了让你更容易理解，我们可以把整个过程想象成**“一群人共同完成一幅拼图”**。

1. 背景：两种不同的“拼图”方式

传统 AI（自回归模型）： 就像写文章。一个人一个字一个字地写，写完“今天”，再写“天气”，再写“不错”。如果前面写错了，后面很难改，只能硬着头皮写下去。
新型 AI（扩散大语言模型，dLLMs）： 就像一群人同时画一幅画。一开始画布上全是乱码（全是 [MASK] 遮罩），然后大家同时把乱码变成具体的词。
- 第一轮：大家猜一下，把最像样子的词填进去，其他的继续盖着。
- 第二轮：看着刚才填好的，再修正一下，把不确定的词重新盖住，再猜一次。
- 以此类推，直到整幅画（整段话）都清晰了。

这种“大家一起改”的方式效率很高，但作者发现，它有一个独特的“安全漏洞”**。

2. 漏洞在哪里？（两个关键发现）

作者通过实验发现了这种新型 AI 在“变坏”时的两个奇怪现象：

漏洞一：太“贪心”了（单步内的漏洞）

比喻： 想象在修图时，有一个“自动修图师”。如果它觉得“我要教孩子玩枪”这句话里的“教”字出现概率很高（比如 99%），它就会毫不犹豫地把“教”字填上去，而完全忽略旁边那个概率稍低（比如 80%）但代表“拒绝”的词（比如“抱歉”）。
问题： 这种“谁概率高就选谁”的贪心策略，让 AI 很容易在第一步就选错了方向，直接滑向危险的内容。
发现： 如果稍微加点“随机性”（比如让修图师偶尔也选选概率低一点的词），反而能救回来，但代价是生成的内容可能有点乱（质量下降）。

漏洞二：一步错，步步错（步骤间的漏洞）

比喻： 这种 AI 是分阶段修图的。如果第一阶段（刚开始）大家就定下了“好的，我来教你..."，那么后面所有的阶段都会顺着这个思路去修图，很难再改回“不行，我不能教”。
问题： 作者发现，最早期的几个词决定了整段话的生死。如果一开始就填了“抱歉”，后面基本就安全了；如果一开始填了“好的”，后面就彻底完了。这叫做**“去噪路径依赖”**。

3. 解决方案：DIFFUGUARD（智能安全卫士）

为了解决这两个问题，作者设计了一个不需要重新训练模型、直接就能用的“外挂”——DIFFUGUARD。它有两个绝招：

绝招一：随机退火重遮罩（Stochastic Annealing Remasking）

对应漏洞： 解决“太贪心”的问题。
做法： 在刚开始修图（生成）的时候，故意给修图师加一点“醉意”（随机性）。
- 比如，本来“教”字概率 99%，“抱歉”概率 80%。正常情况下肯定选“教”。
- 加了“醉意”后，系统会想：“虽然‘教’概率高，但‘抱歉’也不错，万一呢？”于是它可能会选“抱歉”。
- 关键点： 这种“醉意”只在刚开始最浓，随着修图越来越清晰，慢慢恢复正常。这样既保证了开头安全，又保证了后面内容通顺。

绝招二：分块审计与修复（Block-level Audit and Repair）

对应漏洞： 解决“一步错，步步错”的问题。
做法： 把生成的内容分成一小块一小块（比如每 10 个字一块）。
- 审计： 每写完一块，卫士就立刻检查：“这块内容是不是偏离了安全轨道？”（通过对比 AI 内心的想法和表面的话）。
- 修复： 如果发现这块内容有点“危险”（比如出现了“好的，我来教你..."），卫士会立刻把这块擦掉（重新变回 [MASK]），并禁止 AI 再次写出刚才那个危险的词，强迫它重新生成一个安全的版本。
- 效果： 就像在洪水刚要漫过堤坝时，立刻把缺口堵上，防止洪水（有害内容）蔓延到整条河。

4. 效果如何？

安全性大提升： 在测试中，面对各种试图让 AI“变坏”的攻击，这个补丁把攻击成功率从 47.9% 降到了 14.7%。
几乎不耽误事： 它不会让 AI 变笨（做题、写代码的能力没变），也不会让 AI 变慢（速度几乎没受影响）。
通用性强： 对几种不同的新型 AI 模型都有效。

总结

这就好比给一个正在集体创作的大画家（扩散模型）配了一个聪明的监工（DIFFUGUARD）：

在刚开始动笔时，监工故意让画家“别太死板”，多想想安全选项（随机性）。
在画完一小段时，监工立刻检查，如果发现画家想画“坏人”，就立刻把画擦掉，逼他重画（审计与修复）。

最终，画家既能画出好画，又不会画出危险的东西。这篇论文就是告诉我们要用这种**“动态调整 + 及时止损”**的方法来保护新型 AI 的安全。

这是一篇关于**扩散大语言模型（Diffusion Large Language Models, dLLMs）**安全性的深度研究论文，题为《DIFFUGUARD: 扩散大语言模型中内在安全性的丧失与重建》。该论文发表于 ICLR 2026。

以下是对该论文的详细技术总结：

1. 研究背景与问题 (Problem)

随着扩散大语言模型（dLLMs）在生成灵活性、并行性和结构化任务上的表现逐渐超越或媲美自回归模型（AR LLMs），其独特的生成机制也引入了前所未有的安全漏洞。

核心差异：与 AR LLM 的逐词生成不同，dLLMs 采用并行生成和迭代去噪（从全掩码序列逐步还原为文本）的范式。
现有问题：
- 现有的针对 AR LLM 的安全研究无法直接适用于 dLLMs。
- dLLMs 面临独特的**越狱攻击（Jailbreak）**风险，攻击者利用其并行生成和迭代优化的特性，诱导模型生成有害内容。
- 现有的防御手段（如简单的提示词过滤）在 dLLMs 上效果不佳，且缺乏针对其内在机制的防御框架。

2. 核心分析：dLLMs 的安全漏洞来源 (Key Analysis)

作者将 dLLMs 的生成过程分解为两个维度进行深入分析，揭示了安全失效的根本原因：

A. 步内动态 (Intra-step Dynamics)

现象：在单次生成步（Step）中，dLLMs 并行预测所有掩码位置。
问题：主流的**贪婪重掩码策略（Greedy Remasking Strategy）**倾向于保留置信度最高的 Token。
- 实验发现，当面对越狱提示时，模型内部往往同时存在“拒绝”（如 "Sorry"）和“顺从”（如 "Sure"）的高概率 Token。
- 贪婪策略会优先选择置信度更高的“顺从”Token，导致安全路径被过早剪枝，从而放大攻击成功率（ASR）。
- 权衡：引入随机性（Random Remasking）可以提高安全性，但会显著降低生成质量（困惑度 PPL 上升），存在安全 - 质量权衡（Safety-Quality Trade-off）。

B. 步间动态 (Inter-step Dynamics)

现象：dLLMs 的生成是一个迭代去噪过程，早期固定的 Token 会成为后续步骤的上下文。
核心发现：提出了**去噪路径依赖性（Denoising-path Dependence）**概念。
- 早期步骤中固定的 Token 对最终输出具有决定性影响。
- 实验表明，在第一步强制注入安全 Token（如 "Sorry"）比在中间步骤注入能更大幅度地降低 ASR（降低约 22.6% vs 中间步骤）。
- 一旦早期步骤被恶意 Token（如 "Sure"）污染，后续迭代很难纠正，导致有害内容被不断强化。

3. 方法论：DIFFUGUARD 框架 (Methodology)

为了解决上述问题，作者提出了 DIFFUGUARD，这是一个**无需训练（Training-free）**的推理时防御框架，包含两个核心模块：

A. 随机退火重掩码 (Stochastic Annealing Remasking)

目标：解决步内贪婪策略带来的偏差，打破安全 - 质量的权衡。
机制：
- 在重掩码选择过程中，引入可控的随机噪声。
- 采用退火策略（Annealing）：在生成的早期阶段（对安全性至关重要）引入较高的随机性（ $\alpha$ 值大），以增加安全 Token 被选中的概率；随着生成步数增加，逐渐降低随机性，恢复基于置信度的选择，以保证后期生成的连贯性和质量。
- 公式： $I = \arg \text{top-}k [(1-\alpha_n) \cdot \text{Prob} + \alpha_n \cdot R_i]$ ，其中 $\alpha_n$ 随步数 $n$ 衰减。

B. 块级审计与修复 (Block-level Audit and Repair)

目标：解决步间去噪路径依赖性，防止早期错误传播。
机制：
- 审计（Audit）：利用模型内部表示计算安全发散度（Safety Divergence, SD）。通过比较原始恶意核心意图的表示与当前提示（包含对抗模板）的表示之间的差异，检测是否发生了安全偏移。
- 修复（Repair）：如果 SD 超过阈值，触发修复机制：
  1. 重掩码（Remask）：将当前块中被判定为不安全的 Token 重新掩码。
  2. 引导再生（Guided Regeneration）：在再生过程中，通过抑制原始有害 Token 的概率（设为 $-\infty$ ），强制模型在安全空间内重新生成。
- 该机制主要针对第一个生成的块，以阻断有害内容的源头传播。

4. 实验结果 (Results)

作者在 4 个主流 dLLMs（LLaDA, Dream, MMaDA, LLaDA-1.5）和 6 种不同的越狱攻击方法（包括针对 dLLM 设计的 PAD, DIJA 以及传统方法 AutoDAN, GCG 等）上进行了广泛测试。

防御效果：
- DIFFUGUARD 将平均攻击成功率（ASR）从 47.9% 降低至 14.7%（降幅约 33.2%）。
- 针对专门针对 dLLM 设计的攻击（PAD 和 DIJA），ASR 从 96.8% 降至 27.9%。
- 结合简单的“自我提醒（Self-reminder）”提示词，效果更佳。
性能与效率：
- 通用能力：在 MMLU、GSM8K、HumanEval 等基准测试中，模型能力未受显著影响。
- 推理延迟：引入的额外延迟微乎其微，证明了其作为即插即用模块的可行性。
消融实验：证明了“随机退火”和“块级审计”两个模块在应对不同类型攻击时的互补性。

5. 主要贡献 (Key Contributions)

理论分析：首次从**步内（Intra-step）和步间（Inter-step）**两个维度深入剖析了 dLLMs 的内在安全机制，揭示了贪婪重掩码策略的偏差和“去噪路径依赖性”现象。
防御框架：提出了 DIFFUGUARD，一种无需重新训练模型即可部署的防御框架，通过动态随机性和内部表示审计有效阻断越狱攻击。
实证验证：在多个模型和攻击场景下验证了框架的有效性，证明了 dLLMs 具有巨大的内在安全潜力，只需通过正确的解码策略即可激活。

6. 意义与影响 (Significance)

填补空白：填补了 dLLM 安全研究的空白，为理解扩散模型的安全脆弱性提供了新的视角。
实用价值：DIFFUGUARD 提供了一种低成本、高效率的解决方案，使得 dLLMs 在保持高性能的同时能够安全地应用于实际场景。
未来方向：指出了 dLLM 安全与 AR LLM 安全的本质区别（如并行性、路径依赖性），为未来设计更鲁棒的 dLLM 架构和防御机制奠定了基础。

总结：这篇论文不仅揭示了 dLLMs 独特的安全漏洞，还提出了一套行之有效的防御方案，证明了通过优化解码策略（而非重新训练），可以显著恢复并增强扩散语言模型的内在安全性。