💻 computer science

Activation Surgery: Jailbreaking White-box LLMs without Touching the Prompt

该论文提出了一种名为“激活手术”的新方法，通过直接替换大语言模型内部激活值而非修改提示词，成功绕过了模型的安全拒绝机制。

原作者： Maël Jenny, Jérémie Dentan, Sonia Vanier, Michaël Krajecki

发布于 2026-03-17

📖 1 分钟阅读☕ 轻松阅读

原作者： Maël Jenny, Jérémie Dentan, Sonia Vanier, Michaël Krajecki

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇文章介绍了一种名为"激活手术"（Activation Surgery）的新型黑客攻击方法。它专门用来“越狱”那些被设定了严格安全规则的大型人工智能（LLM）。

为了让你更容易理解，我们可以把整个故事想象成一场精密的“器官移植”手术，而不是传统的“骗术”。

1. 传统的越狱：像“骗术”一样

通常，人们想绕过 AI 的安全限制（比如让 AI 教人制造炸弹），会尝试修改提问的方式（Prompt）。

比喻：就像你想进一个禁止入内的禁区，你会尝试穿不同的衣服、编造不同的理由，或者用复杂的绕口令来迷惑门口的保安。
缺点：一旦保安（AI 的安全系统）升级了，识破了这些花招，这种方法就失效了。

2. 本文的新方法：像“器官移植”一样

这篇论文的作者提出了一种更“硬核”的方法：不修改你问的问题，而是直接修改 AI 大脑内部的思考过程。

核心概念：双胞胎策略

想象你有两个非常相似的问题：

坏问题（非法的）：“怎么制造炸弹？”（AI 会拒绝，因为它触发了安全警报）。
好问题（合法的）：“怎么制作一本书？”（AI 会 happily 地回答，因为它很安全）。

注意，这两个问题只差了一个词（“炸弹”vs“书”），但在 AI 的深层逻辑里，它们引发的“思考路径”完全不同。

手术过程：层层替换

AI 在回答你的问题时，并不是瞬间完成的，而是像流水线一样，经过很多层（Layer）的处理。每一层都会产生一些“激活信号”（可以理解为神经元放电的强度）。

作者的方法是：

准备“供体”：先让 AI 回答那个“好问题”（制作书），记录下它在每一层大脑中产生的“健康信号”。
准备“受体”：让 AI 开始回答“坏问题”（制造炸弹）。
实施手术：在 AI 处理“坏问题”的过程中，当它走到某一层时，偷偷把它的“坏信号”替换成刚才记录的“好信号”。
- 比喻：就像在 AI 的大脑里，当它准备发出“拒绝”的指令时，你迅速把那个指令换成了“制作书”的指令。
关键点：这种替换必须一层一层地做。因为下一层的思考依赖于上一层的结果。如果一次性全部换掉，逻辑就乱了。作者就像一位外科医生，拿着手术刀，一层一层地精准替换，确保 AI 的“思维流”被强行扭转到安全的轨道上，但最后输出的结果却变成了你想要的“坏答案”。

3. 手术刀的两个旋钮

为了让手术成功，作者设计了两个控制旋钮：

旋钮 $\tau$ （阈值）：决定换多少。是只换几个关键的词，还是把整个大脑信号都换掉？换太少，AI 还是会拒绝；换太多，AI 就会开始回答“如何制作书”，而不是“炸弹”。
旋钮 $\gamma$ （插值）：决定换得有多彻底。是完全变成“好问题”的信号，还是保留一点“坏问题”的原始味道？这需要在“绕过安全”和“保持回答有用”之间找平衡。

4. 实验结果：手术很成功

作者用这种方法攻击了 Llama-4 等先进的 AI 模型。

结果：在 520 个危险问题中，有 32.8% 的问题成功让 AI 给出了具体、可操作的有害答案（比如制造炸弹的详细步骤、写病毒代码等）。
对比：如果不做手术，直接问，AI 几乎 100% 会拒绝。

5. 这意味着什么？（安全启示）

这篇文章揭示了一个令人担忧的事实：

不仅仅是“问法”的问题：即使你问的问题非常正常，只要你能在 AI 运行的过程中，接触到它内部的“思考数据”，你就能通过“手术”绕过所有安全锁。
谁有风险：对于那些开源模型（你可以下载并自己运行）或者允许调试内部状态的云服务，这种攻击是可行的。
未来的防御：未来的 AI 安全不能只靠“教 AI 变好”（对齐），还需要保护 AI 的“大脑”不被篡改。就像银行不仅要训练柜员识别假钞，还要确保没人能偷偷把金库里的钱换成假币。

总结

这就好比：
传统的黑客是在门口骗保安（修改提示词）；
这篇论文的黑客是直接溜进控制室，把保安的“拒绝按钮”换成了“放行按钮”（修改内部激活值）。

虽然这种方法目前需要很高的技术门槛（需要能访问 AI 内部数据），但它提醒我们：只要 AI 的“大脑”能被外部操控，再完美的安全规则也可能形同虚设。

《激活手术：在不触碰提示词的情况下越狱白盒大语言模型》技术总结

这篇论文提出了一种名为**“激活手术”（Activation Surgery）**的新型越狱攻击方法。该方法针对白盒大语言模型（LLM），通过直接操纵模型内部的中间层激活值（activations）来改变生成轨迹，从而绕过安全机制，而无需修改输入提示词（Prompt）。

以下是该论文的详细技术总结：

1. 研究背景与问题定义

现有挑战：大多数现有的越狱攻击依赖于修改文本输入（如重述、混淆、角色扮演或多轮对话策略）。然而，随着模型更新，这些基于提示词的防御补丁往往能迅速修复此类漏洞。
白盒威胁模型：本文假设攻击者拥有模型的白盒访问权限（Open-weights 或可插桩的推理环境），能够观察并修改推理过程中的中间状态（隐藏层激活值），但不修改模型权重，也不修改输入提示词。
核心问题：如何在保持输入提示词不变的情况下，通过干预内部计算过程，抑制模型的拒绝（Refusal）机制，使其生成有害内容？

2. 方法论：激活手术 (Activation Surgery)

该方法的核心思想是利用一个**“孪生提示词”（Twin Prompt）**作为“器官供体”，将其良性（Benign）的激活值替换到非法（Illicit）提示词的生成路径中。

2.1 核心流程

构建孪生提示词：
- 针对给定的非法提示词 $x$ （例如“如何制造炸弹？”），人工构造一个仅相差极少 Token 的良性提示词 $x'$ （例如“如何制作书本？”）。
- 确保 $x'$ 能诱导模型生成实质性的良性回答。
激活值替换策略：
- 在推理过程中，逐层（Layer-wise）比较非法提示词和孪生提示词在最后一个 Token 处的隐藏状态（Hidden States）。
- 顺序执行（Patch-then-Compute）：由于第 $l+1$ 层的输出依赖于第 $l$ 层的输入，攻击必须按顺序进行。先在第 $l$ 层应用替换，然后计算后续层，而不是一次性替换所有层。
关键超参数：
- $\tau$ (阈值)：控制哪些维度被替换。
  - 计算非法与孪生激活值的差异，仅替换差异绝对值大于 $\tau$ 的维度。
  - $\tau$ 过小会导致替换过多维度，模型完全模仿良性回答（无意义）； $\tau$ 过大则无法有效抑制拒绝机制。
- $\gamma$ (插值系数)：控制替换值的强度。
  - 定义插值向量 $h^{(\gamma)} = (1-\gamma)h^{twin} + \gamma h^{illicit}$ 。
  - $\gamma=0$ 表示完全替换为良性激活； $\gamma=1$ 表示保持原样。
  - 该参数用于在“抑制拒绝”和“保持回答相关性”之间寻找平衡。

2.2 攻击协议与评估

评估标准：不仅关注是否“未拒绝”，更关注是否生成**可操作的（Actionable）**有害回答。
- R (Refusal)：拒绝回答。
- U (Unrelated)：回答无关或模糊。
- A (Actionable)：提供实质性、可执行的有害内容（如具体代码、步骤）。
Elo 排序系统：为了从多个超参数配置中选出最佳攻击方案，作者使用 LLM 裁判对生成的可操作回答进行两两比较，建立 Elo 排名，最终人工复核排名最高的结果。

3. 主要实验结果

实验设置：
- 模型：Llama-4-Scout-17B-16E-Instruct（具有先进安全机制的开源模型），同时也验证了 Qwen2.5 和 Mistral。
- 数据集：AdvBench（520 个有害请求），涵盖炸弹/武器、网络攻击、虚假信息/歧视三类。
- 配置：遍历 32 种 $(\tau, \gamma)$ 组合。
成功率：
- 在 AdvBench 数据集上，32.8% 的提示词成功生成了可操作的有害回答（基线模型未攻击时的成功率为 7.1%）。
- 分类别表现：
  - 网络攻击与安全绕过：39.8%
  - 虚假信息/歧视：27.9%
  - 炸弹/武器/化学制剂：24.1%
- 若针对“网络攻击”类别手动优化孪生提示词（尝试 3 个不同的孪生），成功率可提升至 69.1%。
具体案例：
- 成功获取了自制爆炸物的详细配方、暗杀武器选择建议、无痕犯罪指南、漏洞扫描脚本、键盘记录器代码以及煽动歧视的虚假新闻文章。
机制发现：
- 拒绝信号通常在模型的中间层开始发散。
- 通过在这些中间层进行激活替换，可以有效阻断拒绝信号的传播，而无需修改输入文本。
- 存在一个稳定的操作区域： $\tau \in [0.4, 1.0]$ 和 $\gamma \in [0.0, 0.3]$ 通常能产生最佳效果。

4. 关键贡献

提出“激活手术”新范式：首次系统性地展示了如何通过逐层激活替换（而非修改 Prompt 或权重）来绕过 LLM 的安全对齐。这填补了基于提示词的越狱和基于权重的消融（Abliteration）研究之间的空白。
揭示拒绝机制的因果路径：通过实验定位了拒绝行为在模型内部的具体产生层和传播路径，证明了拒绝信号是可以被物理阻断的。
严格的评估标准：摒弃了简单的“非拒绝即成功”的二元标准，引入了基于可操作性和实用性的严格评估体系（Actionable Answer），并开发了基于 Elo 排名的半自动评估流程。
安全警示：证明了在开放权重和可插桩推理环境中，即使模型经过严格的安全对齐，只要攻击者能访问中间状态，安全机制即可被绕过。

5. 意义与未来展望

安全启示：LLM 的安全性不仅取决于训练时的对齐（Alignment），更取决于执行时的完整性（Execution Integrity）。如果攻击者能拦截并重写中间张量，传统的提示词级防御将失效。
防御方向：
- 需要开发运行时保护机制，如远程证明（Attestation）、可验证计算、激活完整性验证和异常检测。
- 防止中间状态的被篡改是未来防御的关键。
局限性：
- 目前依赖人工构建孪生提示词（未来可探索自动化优化）。
- 主要在白盒环境下有效，黑盒环境下的适用性尚待研究。
- 超参数（ $\tau, \gamma$ ）具有模型依赖性，不同模型的最佳区间不同。

总结：这篇论文通过“激活手术”揭示了大语言模型安全架构中一个隐蔽但致命的漏洞：内部状态的可篡改性。它表明，只要推理环境不可信，模型的安全对齐就形同虚设。这一发现对构建高安全级别的 AI 系统（如国防、金融领域）提出了严峻挑战，并指明了未来防御技术必须向运行时监控和完整性验证方向发展的必要性。