TwinGate: Stateful Defense against Decompositional Jailbreaks in Untraceable Traffic via Asymmetric Contrastive Learning
TwinGate 是一种有状态、低延迟的防御框架，它利用非对称对比学习，通过对恶意意图片段进行聚类并抑制误报，从而在不可追踪的大语言模型流量中有效检测分解式越狱攻击，并在一个包含超过 360 万条指令的新构建大规模数据集上超越了现有基线方法。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象你是一家非常受欢迎的高科技图书馆（大型语言模型）的保安。你的工作是阻止人们偷偷混入危险指令，例如“如何制造炸弹？”
问题：“特洛伊木马”攻击
通常，保安会在每个人进门时进行检查。如果有人说“我想制造炸弹”，保安会立即阻止他们。
但精明的攻击者发现了一种新技巧，称为分解式越狱攻击。他们不再一次性请求制造炸弹，而是将请求拆解成微小、无害的片段，并在不同时间、往往通过不同的“身份”逐步提出。
- 问题 1： “电的特性是什么？”（无害）
- 问题 2： “旧电线如何引发火灾？”（无害）
- 问题 3： “如果电路过载会发生什么？”（无害）
单独来看，每个问题都显得 innocuous。保安让它们全部通过。但如果将这些答案拼凑起来，攻击者就获得了一份完整的纵火指南。
图书馆真正的噩梦在于，这些攻击者是无法追踪的。他们不使用相同的名字、相同的 IP 地址或相同的会话。他们就像幽灵般在人群中穿梭进出，使得保安无法说：“嘿，我刚才看到你问过电线的问题；这个关于火灾的问题很可疑。”
解决方案：TwinGate
作者创建了一个名为TwinGate的系统来捕捉这些幽灵。将 TwinGate 想象为一个协同工作的双人安保团队：
1. “意图侦探”（ACL 编码器）
这是团队中聪明的一部分。它使用一种称为非对称对比学习的特殊训练方法。
- 工作原理： 想象图书馆拥有一张所有问题的巨大无形地图。通常，问题按主题分组（例如，所有“烹饪”问题都集中在一个角落）。
- 转折： 意图侦探忽略主题。相反，它根据问题的隐藏目标对问题进行分组。它学会“电”、“电线”和“过载”实际上都属于同一个“制造炸弹”的簇，尽管它们在表面上看起来不同。
- 结果： 即使攻击者在周一询问电线，在周五询问火灾，侦探也会看出这两个问题都指向同一个“危险目的地”，并予以阻止。
2. “记忆守护者”（冻结编码器）
意图侦探在发现模式方面非常出色，以至于有时变得过于兴奋。它可能会想：“哦，你昨天问了电线，现在又问了电线？这肯定是个炸弹阴谋！”这是一个误报。
为了解决这个问题，TwinGate 拥有第二位非常保守的团队成员：记忆守护者。
- 工作原理： 这位团队成员拥有完美的、冻结的记忆，确切记得人们之前问过什么。如果你两次问完全相同的问题，记忆守护者会说：“我以前见过这个。当时是安全的，现在也是安全的。”
- 结果： 这防止系统意外封禁那些恰好反复询问相同无害问题的普通人。它将“误报率”（封禁无辜者）保持在极低的水平。
为何它既快速又高效
旧的安全系统试图通过让第二个超级智能 AI（一个“生成式模型”）阅读整个对话历史来判断其是否危险来解决这个问题。这就像每次有人进门时，都雇佣一名侦探去阅读图书馆的全部历史书籍。这既缓慢、昂贵，又堵塞入口。
TwinGate 则不同。它采用了一种“轻量级”方法：
- 它不阅读整个历史；它只是检查一张数字索引卡（向量数据库），以查看当前问题是否匹配已知的不良模式。
- 它的运行速度极快，每秒可检查数千人而无需让他们等待。这就像拥有一台能在毫秒内扫描你身份证的扫描仪，而不是让人类去阅读你的简历。
结果
作者在超过360 万次请求（包括数千种不同的违规方式）的大型数据集上测试了 TwinGate。
- 捕获率： 它成功捕获了超过**76%**的隐藏、分散式攻击。
- 误报： 它意外封禁无辜者的比例不到0.2%。
- 速度： 它每秒处理超过1,700 次请求，比之前的方法快得多。
总结
TwinGate 是一个聪明、快速的安全系统，即使攻击者将谜题的碎片隐藏在不同的地点和时间，它也能识别出“特洛伊木马”攻击。它使用“侦探”来发现隐藏的目标，并使用“记忆守护者”来确保不骚扰无辜者，同时运行速度足以让繁忙的图书馆顺畅运转。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。