💻 computer science

Mechanistic Interpretability of LLM Jailbreaks via Internal Attribution Graphs

本文引入了一种使用配对内部归因图的机制框架，通过揭示对抗性攻击如何系统性地改变内部推理结构来诊断大语言模型（LLM）的越狱问题，从而实现能够提升模型鲁棒性的因果干预。

原作者： Anupam Wagle, Ifrat Ikhtear Uddin, Chaowei Zhang, Longwei Wang

发布于 2026-07-10

📖 1 分钟阅读☕ 轻松阅读

原作者： Anupam Wagle, Ifrat Ikhtear Uddin, Chaowei Zhang, Longwei Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，将大型语言模型（LLM）视为一座繁忙的大型城市，里面充满了微小的工人（神经元），他们互相传递便条来回答你的问题。通常，当你问“如何烤蛋糕？”时，这座城市会沿着一条名为“安全协议”的、灯火通明且安全的公路行驶，从而给你一个美味的食谱。

但如果黑客试图欺骗这座城市，让它去制造一颗炸弹，会发生什么呢？他们不会仅仅大喊“忽略规则！”（这通常会失败）。相反，他们试图在系统中塞入一张看起来像是正常问题、实则秘密地将工人们重新路由到黑暗、禁忌小巷里的便条。

这篇论文就像是一个侦探故事，作者构建了一张特殊的地图，称为内部归因图（Internal Attribution Graph），用来观察当城市被欺骗时，工人们是如何移动他们的便条的。他们不仅仅是观察最终的答案；他们观察的是城市大脑内部的交通流。

重大发现：关键在于路径，而非路障

作者在 Llama-2-7B-chat 模型上测试了 30 种不同的欺骗尝试。其中只有 4 种真正奏效（成功率为 13.3%）。

这里有一个令人惊讶的转折：旧有的观点认为黑客通过简单地“关闭”安全工人或“开启”新的邪恶工人来取得成功，这是错误的。

他们排除了什么： 论文明确显示，仅仅计算有多少安全特征被抑制（关闭）或出现了多少新的“攻击特征”，并不能预测攻击是否会成功。事实上，数据表明这些静态计数与模型是否违反规则之间几乎没有联系。
他们发现了什么： 真正的秘密是路径重路由（Path Rerouting）。成功的攻击不仅改变了谁在工作，还改变了便条如何旅行。

把它想象成 GPS。一次失败的攻击就像一名司机试图走捷径，却被“安全路障”挡住了。司机停了下来。但一次成功的攻击就像一名司机找到了一条隐藏的、蜿蜒的后路，绕过了路障，即使路障依然矗立在那里。论文发现，当攻击成功时，便条旅行的“距离”发生了显著变化。他们称之为路径重路由，这也是唯一能强力预测成功越狱的指标（相关系数为 0.461）。

道路上的“分叉”

当模型被成功欺骗时，内部地图的形状会发生变化。作者注意到，成功的攻击会创造一种特定的模式，称为**“分叉模态”（fork motif）**。

想象一条单车道道路突然分裂成许多平行的车道。
在 4 次成功的攻击中，模型比失败的攻击平均多创造了 67.5 个“分叉”（平行路径）。
这表明模型不仅仅是在忽略安全，它正在构建一个复杂的、多车道的公路网，绕过安全检查，同时让安全工人在另一个无害的任务上忙碌。

失败的救援行动

作者尝试通过玩“打地鼠”游戏来修复这些损坏的模型。他们识别出了在成功攻击期间出现的顶层 3 个新“邪恶”特征，并尝试关闭它们（这个过程称为零消融/zero-ablation）。

结果是：彻底失败。

在所有 4 次成功的攻击中，关闭这些顶层特征毫无作用。模型仍然给出了有害的答案。
为什么？ 论文认为，这种攻击并不依赖于仅仅一两个或三个工人。相反，“邪恶”行为是以一种冗余的方式分布在数十个工人身上的。如果你拿掉三个，其他人就会接手工作。这就像试图通过堵住大坝上的三个洞来阻止洪水，而水正从一百个其他的裂缝中涌出。

我们有多确定？

作者非常谨慎，并未声称他们已经解决了这个问题。

证据： 他们在 30 对提示词（干净 vs 被攻击）上进行了测量。
信心： 他们发现路径重路由与成功之间存在强烈的统计学联系（p 值为 0.010）。然而，他们承认样本量较小。他们甚至在 500 多个不同主题的提示词上进行了测试，但该方法在那里失效了，因为“地图”太不一样，无法进行比较。这表明他们的“路径重路由”检测器在攻击试图将安全话题桥接到危险话题（例如“烹饪” $\to$ “化学” $\to$ “爆炸物”）时效果最好，而不是仅仅喊一些乱七八糟的话。
局限性： 由于计算内存限制，他们只观察了模型大脑的前 5 层（总共 32 层）。他们怀疑这种模式在整体上是成立的，但尚未证明其在整个大脑中都适用。

总结

这篇论文并没有给我们一个可以阻挡所有越狱的魔法盾牌。相反，它给了我们一个看待问题的新视角。它表明，要捕捉越狱，我们不应仅仅盯着“坏词”或“关闭的安全开关”。我们需要观察交通流。如果内部的便条开始在城市的大脑中进行奇怪、蜿蜒的绕行，那就是我们应该知道模型即将违反规则的时候。

作者总结道，由于这些攻击是如此分散且具有冗余性，仅仅屏蔽一个特征是行不通的。未来的防御可能需要加固模型的整个“道路网络”，而不只是出口。

技术摘要：通过内部归因图实现大语言模型越狱的机械解释性

问题陈述
大语言模型（LLM）在面对对抗性提示词和越狱攻击时仍然表现出高度的脆弱性，这些攻击会导致模型产生不安全或错误的输出，尽管模型经过了安全训练。现有的缓解策略主要运行在输入-输出层面（例如，对抗训练、提示词过滤），或者依赖于对单个输入进行孤立分析的描述性归因方法。这些方法无法解释对抗性扰动是如何改变模型的内部推理机制的。因此，在理解导致安全失效的因果结构偏差方面存在关键空白，这限制了原则性防御手段的发展。

方法论
作者提出了一种将特定提示词的推理表示为结构化因果计算图的机械框架。不同于以往的归因方法，该方法利用**配对图公式（paired graph formulation）**来显式地建模干净输入（ $x$ ）与受攻击输入（ $\tilde{x}$ ）之间内部计算的转换。

因果计算图： 模型的计算被建模为一个有向图 $G_t(x) = (V_t, E_t, W_t)$ ，其中节点代表异构的内部特征（Token 嵌入、注意力输出、MLP 特征、残差状态以及重构误差分量），边代表有向因果影响。边权重通过基于梯度的敏感性结合激活强度进行近似。
配对图对齐： 对于干净和受攻击的提示词，作者构建了相应的图，并基于架构对应关系和特征相似度（余弦相似度）对齐节点。这种对齐使得计算可以分解为三组：
- 不变特征 ( $S_{inv}$ )： 在两个提示词中均保留的特征。
- 抑制特征 ( $S_{sup}$ )： 在干净提示词中活跃但在攻击中减弱的特征。
- 涌现特征 ( $S_{emg}$ )： 在攻击中活跃但在干净提示词中不存在的特征。
脆弱性模体（Vulnerability Motifs）： 该框架识别了表征攻击诱导偏差的特定子图模式（模体），包括安全性抑制、攻击涌现以及计算重定向（连接相同端点的因果路径发生分歧）。
因果干预： 为了验证因果性，作者应用了干预算子（例如，节点抑制、激活恢复）作用于特定的结构，并测量模型行为（损失或拒绝生成）的变化。

核心贡献

配对图对齐： 一种能够显式建模从干净到受攻击计算转换的方法，揭示了静态分析所忽略的结构性偏差。
脆弱性模体识别： 对三种主要模体类型（抑制、涌现、重定向）进行表征，描述了攻击如何操纵内部推理。
因果干预框架： 一种量化特定节点、路径和子图对攻击成功贡献的机制，实现了从描述性归因到因果诊断的跨越。
实证验证： 证明了内部计算图中的结构偏差与越狱成功率相关，而针对性的节点级干预往往由于计算的分布式特性而失败。

实验结果
该框架在 Llama-2-7B-chat-hf 上使用 30 对对抗性提示词（包括前缀注入、角色扮演和上下文切换）进行了评估。

攻击成功率： 30 个提示词中有 4 个（13.3%）成功绕过了安全机制。
指标相关性：
- 路径重定向（Path Rerouting）： 该指标衡量干净图与受攻击图之间乘性路径权重的偏差，显示出与攻击成功率具有显著正相关（ $r = 0.461, p = 0.010$ ）。成功的攻击从根本上改变了计算路径。
- 静态指标： 图偏差、安全性抑制和攻击涌现与攻击成功率之间均无显著相关性。成功的越狱不仅仅是抑制了安全特征或激活了新特征；它们重定向了计算。
干预失败： 对成功攻击中的前 3 个涌现特征进行针对性消融处理，其缓解成功率为 0%。模型继续产生有害输出，表明脆弱性源于具有补偿冗余的分布式路径，而非单个关键特征。
案例研究： 成功的攻击（例如，从“烹饪”到“爆炸物”的上下文切换）表现出增加的图复杂度和分叉模体，而失败的攻击通常简化了图结构。

意义与主张
本文声称内部计算图为理解 LLM 脆弱性提供了原则性的基础。主要发现是，成功的越狱是通过转向替代路径来重定向计算，而非仅仅是禁用安全特征。这挑战了传统的对抗性攻击模型，后者假设攻击是基于特征抑制或激活的。

作者断言，其框架实现了从描述性归因到模型失效因果诊断的转变。虽然研究强调了通过单个特征消融来缓解攻击的困难（由于表示的分布式特性），但它确立了追踪路径完整性对于检测复杂攻击至关重要。该工作表明，未来的防御应侧于在安全训练期间强化计算完整性，而非仅仅依赖于特征层面的干预。

承认的局限性
作者指出存在以下局限性：

研究仅限于 Llama-2-7B-chat；其在其他架构上的泛化性尚未得到证实。
由于内存限制，归因图仅在模型前 10 层（最初为 0-5 层）上构建，可能遗漏了深层中与安全相关的计算。
分析涵盖的是单次前向传播，未能捕捉多轮对抗动态。
干预实验（成功率为 0/4）凸显了特征级因果控制在应对分布式攻击表示时的不足。
数据集规模较小（30 对，4 个成功案例）限制了统计效力，尽管路径重定向的相关性依然显著。

重大发现：关键在于路径，而非路障

道路上的“分叉”

失败的救援行动

我们有多确定？

总结

类似论文