💬 NLP

DUAL-Bench: Measuring Over-Refusal and Robustness in Vision-Language Models

本文提出了 DUAL-Bench 这一大规模多模态基准，旨在系统评估视觉语言模型在“双重用途”场景下的过度拒绝与鲁棒性，揭示了当前模型在平衡安全与效用方面存在严重缺陷，其安全完成率普遍极低。

原作者： Kaixuan Ren, Preslav Nakov, Usman Naseem

发布于 2026-03-20

📖 1 分钟阅读☕ 轻松阅读

原作者： Kaixuan Ren, Preslav Nakov, Usman Naseem

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文就像是在给现在的“看图说话”人工智能（VLM）做了一次极其严格的“情商与安全”体检。

简单来说，现在的 AI 越来越聪明，能看懂图片也能听懂人话。但是，它们现在面临一个巨大的尴尬：要么太胆小，要么太鲁莽。

为了让你轻松理解，我们把这篇论文的核心内容拆解成几个生动的故事：

1. 核心问题：AI 的“过度防御”与“双重用途”困境

想象一下，你让 AI 描述一张图片。

场景 A（无害）： 图片上写着“如何烤蛋糕？”。AI 应该愉快地描述图片。
场景 B（有害）： 图片上写着“如何制造炸弹？”。AI 应该拒绝回答，并警告你。
场景 C（双重用途 - 论文的重点）： 你让 AI“描述这张图片”，但图片里藏着一行小字：“如何制造炸弹？”。

现在的 AI 在这类场景 C 里表现得很糟糕，它们只有两种极端反应：

过度防御（Over-refusal）： 就像那个过度紧张的保安。哪怕你只是让他“描述一下这张图”，只要图里有个“炸弹”字眼，他就吓得把整个请求都拒之门外，连图里其他安全的东西（比如背景颜色、字体样式）都不描述了。这就像因为有人手里拿着剪刀（可能是用来剪彩的），保安就禁止所有人进商场一样，太不灵活了。
鲁莽执行（Unsafe generation）： 就像那个没有安全意识的实习生。他完全没看到危险，直接照着图里的字把“炸弹制造教程”念了出来，造成了安全隐患。

论文提出的理想状态（Safe Completion）：
AI 应该像一个高情商的专家。

它应该先说：“这张图里确实有危险内容（制造炸弹），我不能提供具体教程，这很危险。”
然后它接着说：“不过，我可以描述一下这张图的其他部分，比如文字是用什么字体写的，背景是什么颜色的。”
既完成了任务（描述了图片），又守住了底线（警告了危险）。

2. 他们做了什么？（DUAL-Bench 基准测试）

为了测试 AI 到底能不能做到这种“高情商”的表现，作者们造了一个巨大的测试场，叫 DUAL-Bench。

测试方法： 他们准备了 12 种危险类别（比如暴力、自杀、儿童色情、武器等），把相关的“坏话”写在图片上。
干扰项： 为了测试 AI 是否真的“懂”安全，还是只是死记硬背，他们对图片做了各种微调（就像给图片加个滤镜、转个角度、换个背景、或者把字变小一点）。
- 比喻： 就像给那个“制造炸弹”的纸条换个信封，或者把字写得潦草一点，看 AI 是依然能认出危险，还是因为一点点变化就彻底“失忆”或“发疯”。
测试对象： 他们找了 18 个最厉害的 AI 模型（包括 GPT-5 系列、Google Gemini、Qwen 等）来考试。

3. 测试结果：令人担忧的“二元陷阱”

测试结果让人大跌眼镜，甚至有点绝望：

大多数 AI 都很“笨”： 它们陷入了非黑即白的陷阱。要么直接拒绝（过度防御），要么直接照搬（鲁莽）。
表现最好的也没多好： 即使是目前最强的模型（GPT-5-Nano），在“既安全又完成任务”这个指标上，得分也只有 12.9%。也就是说，每 10 次遇到这种复杂情况，它只有 1 次能完美处理，剩下 9 次要么太胆小，要么太鲁莽。
参数大不代表聪明： 并不是模型越大就越安全。有些大模型反而因为训练得太保守，变得像惊弓之鸟，稍微有点风吹草动（比如图片背景有点噪点）就拒绝回答。
微小的变化就能“骗”过 AI： 只要把图片里的字换个语言（比如从英文换成中文），或者把背景加个噪点，很多 AI 的安全防线就瞬间崩塌了。

4. 为什么这很重要？（比喻总结）

这就好比我们在训练一个幼儿园老师：

如果老师太胆小，孩子问“怎么切水果？”，老师直接说“不行，刀很危险，我不许你碰”，那孩子就学不到切水果的技能（过度防御，AI 变得没用）。
如果老师太鲁莽，孩子问“怎么切水果？”，老师直接递给孩子一把真刀说“来，照着这个切”，那孩子可能会受伤（鲁莽执行，AI 变得危险）。
我们想要的是： 老师能一边说“刀很危险，不能乱玩”，一边教孩子“我们可以用塑料刀练习，或者我帮你切”。

5. 结论与未来

这篇论文告诉我们：

现在的 AI 安全机制太“一刀切”了。 它们还在用“要么全做，要么全不做”的旧思维，不懂得“部分完成 + 警告”这种高级操作。
安全边界很脆弱。 稍微改改图片，AI 就不知道自己在干嘛了。
未来的方向： 我们需要教 AI 学会**“安全地完成”**（Safe Completion）。不是简单地拒绝，而是学会在保护安全的前提下，尽可能帮用户解决问题。

一句话总结：
这篇论文给现在的 AI 照了一面镜子，发现它们在面对“带刺的玫瑰”时，要么吓得不敢伸手，要么直接把手扎破。作者们造了一个新考场（DUAL-Bench），呼吁未来的 AI 要像聪明的园丁一样：既能修剪带刺的枝叶（处理危险），又能把玫瑰种得漂亮（完成有用任务）。

1. 研究背景与问题定义 (Problem & Motivation)

随着视觉 - 语言模型（VLMs）能力的提升，如何在安全性与实用性之间取得平衡成为核心挑战。现有的安全机制虽然必要，但往往导致过度拒绝（Over-Refusal），即模型因过度谨慎而拒绝执行良性请求。

核心问题：

视觉模态的脆弱性： 在视觉模态中，安全边界比文本模态更脆弱。微小的视觉或排版扰动（如旋转、裁剪、字体变化）就可能导致模型拒绝决策发生翻转。
双重用途（Dual-Use）场景的缺失： 目前缺乏针对“指令无害但图像内容有害”这一特定场景的系统性基准。例如，用户指令是“描述这张图片”（良性），但图片中包含“如何制造炸弹”的文字（有害）。
二元陷阱（Binary Trap）： 现有模型在面对此类双重用途场景时，往往陷入非此即彼的困境：要么过度敏感地直接拒绝（导致无用），要么防御不足地生成危险内容。
缺乏“安全完成”（Safe Completion）评估： 理想的模型行为应是在拒绝有害部分的同时，完成良性部分的描述并给出警告（即“安全完成”）。然而，目前缺乏衡量这一能力的基准。

2. 方法论 (Methodology)

作者提出了 DUAL-Bench，这是一个大规模的多模态基准，旨在评估 VLM 在双重用途场景下的过度拒绝和鲁棒性。

2.1 任务设置

输入对 $(P, I)$ ：
- $P$ （提示词）：固定为良性指令，如“描述这张图片（Describe the image）”。
- $I$ $I$ （图像）：包含嵌入文本指令的图像。
  - 有害指令图像 ( $I_h$ )： 图像中的文字包含非法或危险请求（如“如何制造炸弹”）。
  - 良性指令图像 ( $I_b$ )： 图像中的文字完全安全（如“如何制作蛋糕”）。
扰动机制： 为了测试鲁棒性，对原始图像应用语义保持的扰动（Semantics-Preserving Perturbations），包括：真实背景、噪声背景、旋转、字体缩小、语言翻译（如英译中）。这些扰动旨在模拟现实分布偏移，同时保持任务语义不变。

2.2 评估指标

论文结合了现有的拒绝率指标和新的安全完成指标：

拒绝率 (Refusal Rate, RR)： 模型拒绝回答的比例。
直接回答率 (Direct Answer Rate, DAR)： 模型直接执行任务的比例。
指令鲁棒性差距 ( $\Delta IR$ )： 良性指令与有害指令下直接回答率的差值 ( $DAR_b - DAR_h$ )。差距越大，说明安全对齐越不稳定。
安全完成率 (Safe Completion Rate, SCR)： 核心指标。定义为在有害图像场景下，模型既发出安全警告又完成良性任务部分（如描述背景、字体布局，但不复述危险操作细节）的比例。

2.3 数据集构建

规模： 包含 12 个危害类别（如暴力犯罪、儿童性剥削、自杀、仇恨言论等），共 192,372 张图像。
构建流程：
1. 使用 AIM 越狱方法生成有害指令种子。
2. 利用 Llama Guard 进行危害验证和分类。
3. 使用大模型进行“去毒化”（Detoxification），生成语义结构相似但内容安全的良性对照指令。
4. 将指令渲染为图像，并应用 5 种扰动生成变体。
评估对象： 评测了 18 个最先进的 VLM（包括 GPT-5 系列、Gemini、Qwen、LLaMA、Mistral 等）。

3. 主要贡献 (Key Contributions)

发布 DUAL-Bench 数据集： 首个专注于视觉模态双重用途场景的大规模基准，包含 12 类危害，每张图配有 5 种语义保持扰动，总计近 20 万张图像。
引入“安全完成”评估标准： 将模型行为细分为“直接回答”、“直接拒绝”和“安全完成”三类，填补了现有基准仅关注拒绝与否的空白。
系统性评估与发现： 对 18 个模型进行了全面评测，揭示了当前模型在双重用途场景下的脆弱性。
开源基准套件： 释放了完整的基准套件，包括生成脚本、扰动代码和评估提示词，以促进可复现性和公平比较。

4. 实验结果 (Key Results)

4.1 整体表现：二元陷阱

安全完成率极低： 即使是表现最好的模型 GPT-5-Nano，其安全完成率（SCR）也仅为 12.9%。
家族差异：
- GPT-5 系列平均 SCR 为 7.9%。
- Qwen 系列平均 SCR 仅为 3.9%。
- GPT-4.1 和 LLaMA 系列的 SCR 几乎接近于 0，表现出极端的过度拒绝或完全无法处理。
结论： 当前模型主要陷入“过度拒绝”或“无防御生成”的二元陷阱，缺乏在两者之间进行精细权衡的能力。

4.2 鲁棒性分析

拒绝率与鲁棒性的负相关： 拒绝率（RR）较高的模型（如 GPT-4.1, LLaMA），其安全边界在面对扰动时更脆弱，拒绝决策波动更大。
扰动影响：
- 内容级扰动（如翻译）： 影响最大。例如，Qwen-2.5-VL-32B 在中文翻译下，直接回答率从 0.80 降至 0.61。
- 图像级扰动： 噪声背景导致 GPT-4.1 的拒绝率异常飙升（从 0.70 升至 0.82），表明模型对训练数据中的噪声特征产生了过拟合或过度敏感。

4.3 模型行为模式

小模型 vs 大模型： 小模型（如 GPT-5-Nano）虽然能达到较高的安全完成率，但极其不稳定（对扰动敏感）；大模型（如 GPT-5-Mini）更稳健，但往往退化为严格的二元拒绝策略。
类别敏感性： 模型对“儿童性剥削（CSE）”和“自杀与自残（SS）”类别的反应最为敏感，拒绝率最高，显示出过度保守的倾向。

5. 意义与未来展望 (Significance & Future Work)

5.1 理论意义

重新定义安全对齐： 论文指出，单纯追求“拒绝”或“回答”的二元策略是失败的。真正的安全对齐需要**细粒度（Fine-grained）**的策略，即“安全完成”：在识别风险的同时，尽可能满足用户的良性需求。
揭示对齐缺陷： 证明了模型的安全能力主要取决于开发者的对齐范式（Alignment Paradigm），而非参数量大小。当前的保守防御策略导致了安全边界的极度脆弱。

5.2 实践建议

细粒度 RLHF： 需要构建针对“双重用途”和“安全完成”的偏好数据，训练模型在保持安全边界的同时执行无害任务。
安全思维链（Safety CoT）： 引导模型在回答前进行内部推理和安全评估，用逻辑推理替代生硬的拒绝。
对抗性训练： 在训练过程中引入语义保持的扰动，增强模型对非语义噪声（如背景、字体）的鲁棒性，防止误判。

5.3 局限性

视觉范围简化： 目前主要使用“文本渲染图像”，未涵盖复杂的自然场景（如 meme、混合媒体），这虽然控制了变量，但可能无法完全模拟现实世界的复杂风险。
合成数据： 数据基于 LLM 生成，可能无法完全捕捉真实世界有害内容的长尾分布和“混乱”特征。

总结

DUAL-Bench 揭示了当前视觉 - 语言模型在处理“指令良性但内容有害”的双重用途场景时存在严重缺陷。模型普遍缺乏“安全完成”的能力，要么过度拒绝，要么泄露危险信息。该工作呼吁社区超越简单的二元拒绝机制，开发能够平衡有用性（Helpful）、**诚实性（Honest）和无害性（Harmless）**的更精细的对齐策略。