💻 computer science

The Geometry of Refusal: Linear Instability in Safety-Aligned LLMs

本文介绍了对比逻辑值转向（Contrastive Logit Steering, CLS），这是一个零优化框架，它将大语言模型中的安全对齐揭示为一种可操纵的线性特征，从而通过转向输出分布实现高成功率的越狱，并通过无需重训的向量反转实现增强防御。

原作者： Shivam Ratnakar, Kartikeya Vats

发布于 2026-06-23

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Shivam Ratnakar, Kartikeya Vats

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，将大语言模型（LLM）视为一名非常聪明、受过高度训练的助手，并且被教导了一条严格的规则：“绝不从事任何有害行为。”长期以来，我们一直认为这条规则已经深深植入了这个助手的脑海中，就像其人格中不可或缺的一部分。但这篇文章提出了不同的观点：这条规则其实更像是一张贴在答案最后一页上的便利贴，而不是一种根深蒂固的信念。

以下是使用简单类比对该论文研究结果的拆解：

1. “便利贴”理论（核心发现）

研究人员发现，对于许多流行的 AI 模型（如 Llama），安全性并不是一个复杂的、深层的思考过程。相反，它是一个线性特征——即模型在决定“是”或“否”时所使用的一条单一的、笔直的数学直线。

类比： 想象 AI 是一位正在准备食物的厨师。
- 旧观点： 我们认为厨师拥有一种深刻的、内在的道德准则，使他们在食谱开始阶段就会阻止自己烹饪毒药。
- 新观点： 厨师烹饪毒药的过程与烹饪安全食物的过程完全相同。所谓的“安全性”只是在最后时刻写在便利贴上的一条指令：“不要端上这道菜。” 如果你撕掉这张便利贴，厨师会乐意端出那盘毒药。

2. 新工具：“对比逻辑转向”（Contrastive Logit Steering, CLS）

作者创建了一个名为 CLS 的工具来测试这一理论。CLS 并不试图用令人困惑的谜题或复杂的长提示词来欺骗 AI（这是黑客通常用来破解安全性的方式），而是使用简单的数学。

运作方式：
1. 研究人员对 AI 提出同一个问题两次：一次使用“安全”的指令，另一次使用“不受限制”的指令。
2. 他们观察两个答案之间的差异。这个差异就是**“拒绝向量”**（即“不”的数学表示）。
3. 然后，在 AI 说话之前，他们从 AI 的最终答案中减去这个“不”。
结果： 这就像是把厨师盘子上的便利贴撕掉。原本正准备说“我不能做那个”的 AI，突然改口说：“当然可以，这就是做法。”

3. “后期决策” vs. “早期分歧”

论文发现并非所有 AI 模型都一样。根据它们决定拒绝有害请求的时间点，模型分为两类：

“后期决策”模型（例如 Llama-3.1）：
- 类比： 这些模型就像一名学生，听完了整个讲座，做了笔记，直到交卷前的最后一秒才想起：“噢等等，我不应该写那个。”
- 脆弱性： 由于它们直到最后时刻才做出决定，研究人员的工具（CLS）可以轻易绕过它们。研究人员仅用一秒钟就实现了让这些模型对有害请求说“是”的 95% 成功率。
“早期分歧”模型（例如 Qwen-2.5）：
- 类比： 这些模型就像一名学生，在讲座进行到一半时就意识到：“这个话题是不允许讨论的，”并立即停止了关于该主题的笔记记录。
- 结果： 它们更难被破解。因为安全决策发生在思考过程的深层（而不只是在末尾），仅仅在末尾撕掉“便利贴”并不能奏效。它们更加稳健。

4. 速度与效率

论文强调，与以往的破解尝试相比，这种方法极其迅速。

旧方法 (GCG)： 试图寻找一个能欺骗 AI 的魔咒，就像是通过尝试钥匙圈里每一把钥匙来尝试开锁。这需要大约 15 分钟 才能尝试一次，且经常失败。
新方法 (CLS)： 这就像拥有了一把能瞬间开门的万能钥匙。它只需一秒钟，并且几乎每次都能在“后期决策”模型上奏效。

5. “双刃剑”（防御）

最令人惊讶的发现是，这种同样的数学技巧也可以用来保护 AI，而不仅仅是破坏它。

类比： 如果你可以通过撕掉“不”来让 AI 对坏事说“是”，你也可以通过**增加更多的“不”**来让它变得格外严格。
结果： 通过反转数学运算（减去“是”的倾向），研究人员使模型在无需重新训练的情况下，对越狱攻击的抵抗力增强了。这也让 AI 的回答听起来更加自信，减少了犹豫。

总结

论文认为，目前许多 AI 模型中的安全措施是表象化的。它们就像覆盖在深层能力之上的一层薄薄的油漆。研究人员发现了一种方法，可以通过简单的数学瞬间刮掉这层油漆。虽然这暴露了一个漏洞，但也提供了一种新的理解 AI 如何思考的方式，并提供了一个通过更有效地强化那层“油漆”来使 AI 更安全的工具。

核心要点： 这些模型中的安全性通常是一个“表面层”的特征，可以通过一个简单的数学开关来开启或关闭，而不是一种深层的、不可改变的智能部分。

技术摘要：拒绝的几何学：安全对齐大语言模型中的线性不稳定性

问题陈述

尽管强化学习人类反馈（RLHF）等安全对齐技术已被广泛采用，但大语言模型（LLM）拒绝有害查询的底层机制仍然是不透明的。一个关键的开放性问题是：安全合规性究竟代表了一种深层的语义理解，还是仅仅是一个浅层的、可操纵的线性特征？目前的对抗性攻击通常依赖于计算昂贵的优化（如 GCG）或迭代搜索，而这些方法在面对现代安全训练时可能会失效。本研究调查了安全性是否被编码为模型激活空间中的一个线性几何特征，以及是否可以通过直接对输出逻辑值（logits）进行算术干预来绕过或强化该特征。

方法论：对比逻辑值转向（Contrastive Logit Steering, CLS）

作者引入了 对比逻辑值转向（CLS），这是一种零优化框架，直接作用于模型的输出分布（logits），而非内部隐藏层激活值。

核心机制

对比提示词（Contrastive Prompting）： 对于给定的用户查询 $q$ $q$ ，模型使用三种不同的系统提示词进行三次并行前向传递：
- 基础型 ( $s_{base}$ )： 中性指令（例如，“你是一个得力的助手”）。
- 无限制型 ( $s_{+}$ )： 剥离了安全护栏的对抗性指令。
- 受限型 ( $s_{-}$ )： 执行极端安全策略的限制性指令。
向量隔离（Vector Isolation）： 在每个解码步骤 $t$ ，该方法通过从无限制流的逻辑值中减去受限流的逻辑值，计算出瞬时转向向量 $v_t$ ：
$v_t = z^+_t - z^-_t$
该向量隔离了“拒绝方向”——即逻辑值空间中编码了合规与拒绝之间二元区别的特定几何方向。
逻辑值干预（Logit Intervention）： 通过添加缩放后的转向向量来调制基础逻辑值：
$\tilde{z}_t = z^{base}_t + \alpha \cdot v_t$
- 越狱 ( $\alpha > 0$ )： 注入“无限制”行为，抑制安全相关的 token。
- 加固 ( $\alpha < 0$ )： 减去“无限制”行为，人工诱导安全性。
前缀注入（Prefix Injection）： 为了绕过模型的初始拒绝反射（模型通常会立即输出“我不能”等词汇），该方法在应用转向向量处理后续 token 之前，强制前 $k$ 个 token 为肯定前缀（例如，“当然”）。

检测机制

该框架还利用了拒绝的可分离性进行零样本检测。通过计算有害和良性锚点查询之间最后一层隐藏状态的差异来计算全局拒绝向量（Global Refusal Vector），该系统可以在无需训练单独分类器的情况下，基于余弦相似度对新查询进行分类。

核心贡献

作为诊断探针的 CLS： 本文提供了一个零样本、逻辑值层级的转向框架，为 Llama 等架构中的安全性表现为一个浅层“包装”而非深层语义约束提供了机械论证据。
拒绝的拓扑结构： 通过跨网络深度的 KL 散度分析，作者识别出两种截然不同的安全拓扑结构：
- “延迟决策”模型（如 Llama-3.1）： 这些模型在约 95% 的层中处理有害和良性查询的方式完全相同，仅在最后的输出头处发生分歧。这使得它们极易受到逻辑值层面转向攻击的影响。
- “早期分歧”模型（如 Qwen-2.5）： 这些模型在计算中期（约 40% 深度处）整合安全性，使其在面对线性转向时表现出显著的鲁棒性，因为其拒绝机制已与推理过程纠缠在一起。
经验基准： 本工作直接对比了成熟的激活层转向方法（Arditi et al., 2024）和基于优化的攻击（GCG），证明了逻辑值层级的干预暴露了更强的对齐脆弱性。
双向控制： 该方法通过单一向量实现了攻击（越狱）和防御（安全性加固）的双向控制。研究表明，反转转向向量 ( $\alpha < 0$ ) 可以“加固”模型以抵御越狱，并且在反直觉的情况下，通过减少歧义提高了响应的连贯性。

实验结果

作者在包括 AdvBench、JailbreakBench 和 HarmBench 在内的多个数据集上，针对七个模型家族（Gemma-3, Llama-3.1/3.2/3.3, Qwen-2.5）评估了 CLS。

攻击成功率 (ASR) vs. GCG： 在 Llama-3.1-8B 上，GCG 在 100 步优化后仅达到 5% 的 ASR，而 CLS 在约一秒内达到了 95% 的 ASR（约 900 倍加速）。在 Qwen-2.5-7B 上，CLS 达到了 90% 的 ASR，而 GCG 仅为 45%。
与激活转向的比较： 与 Arditi et al. (2024) 相比，CLS 在 Llama 2 上取得了显著更高的 ASR（73% vs. 22.6%），在 Qwen 7B 上也是如此（91% vs. 79.2%）。作者将 Llama 上较大的差距归因于其“延迟决策”拓扑结构，即拒绝信号集中在输出层，使得逻辑值层级的干预比隐藏状态消融更为有效。
安全性加固： 负向转向 ( $\alpha = -1.0$ ) 将攻击成功率降低到了个位数（例如，Llama-3.3-70B 的 ASR 从 68.8% 降至 9.4%）。
零样本检测： 使用全局拒绝向量，该方法在 JailbreakBench 上区分恶意与良性提示词的任务中实现了 0.92 的 F1 分数，且无需训练单独的模型。

意义与主张

论文认为，当前的对齐技术创建了一个可转向的“安全轴”，它既是一个关键漏洞，也是一个精确的防御原语。

机械论洞察： 研究结果表明，对于许多模型而言，RLHF 并非“忘记”了有害知识，而是通过输出层应用了一种线性的抑制特征。“拒绝向量”捕捉到的不仅是安全合规性，还有犹豫和歧义；移除该向量反而能提高连贯性。
架构决定论： Llama（延迟决策）与 Qwen（早期分歧）之间易受攻击性的差异意味着，安全性的集成深度是可转向性的决定性因素，这可能受到架构和训练干预的共同影响。
防御启示： 作者声称，只要安全性是以可分离线性子空间的形式实现的，它就仍然容易受到几何干预的影响。他们提出，未来的对齐范式必须将安全性与通用能力纠缠在一起，使拒绝成为一种深层的语义属性，而非一种可移除的表面特征。

本文结论指出，CLS 提供了一种实时审计被抑制能力的手段，并能动态地加固模型，同时也凸显了当前安全实现方案的脆弱性。