🤖 machine learning

Leveraging Association Context Retrieval in Knowledge Edit- ing to Build White-Box Attacks on LLMs

本文提出了一种针对大语言模型的创新白盒攻击方法，该方法利用知识编辑框架内的关联上下文检索，在保持模型通用性能的同时，诱导整个主题类别的违规行为。

原作者： Roman Maksimov, Vladimir Aletov, Vladimir Solodkin, Dmitry Bylinkin, Daniil Medyakov, Aleksandr Beznosikov

发布于 2026-08-19

📖 1 分钟阅读☕ 轻松阅读

原作者： Roman Maksimov, Vladimir Aletov, Vladimir Solodkin, Dmitry Bylinkin, Daniil Medyakov, Aleksandr Beznosikov

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

大型语言模型是能够编写故事、回答问题并协助完成复杂任务的强大计算机程序。为了让这些工具在日常使用中保持安全，开发者会对它们进行训练，使其拒绝有害请求，例如关于如何制造武器或传播危险错误信息的指令。这个被称为“对齐”（alignment）的过程，旨在充当一种护栏，确保机器表现得像一个得力的助手，而不是危险的来源。然而，随着这些模型变得更加自主并被赋予处理敏感决策的任务，研究人员需要准确了解这些护栏的强度究竟如何。如果安全机制可以被绕过，那么了解其绕过方式对于构建更强大的保护措施至关重要。这一研究领域涉及观察模型的内部运作机制，以了解它是如何处理信息并做出选择的，而不仅仅是从外部对其进行测试。

一个研究小组发现了一种测试这些安全系统的新方法，即将模型的拒绝回答视为一种可以被覆盖的特定知识。研究人员并没有尝试用巧妙的文字游戏或隐藏命令来欺骗模型，而是使用了一种称为“知识编辑”（knowledge editing）的技术。这种方法允许科学家精准定位模型大脑中负责特定事实的部分并对其进行修改。例如，如果模型认为某个事实是真实的，研究人员可以通过改变其内部连接，让模型相信另一个事实。研究人员意识到，这种技术同样可以用来改变模型的行为：与其教它一个新事实，不如教它停止拒绝有害请求。他们发现，通过修改模型的内部权重，使其将有害请求与顺从的响应联系起来，可以有效地移除针对整类危险问题的安全护栏。

研究人员在包括基于 GPT、Llama 和 Qwen 等流行架构的模型在内的多种不同类型的语言模型上测试了这种方法。他们专注于一种首先定位模型中做出决策的具体层，然后编辑该层以改变结果的方法。在以往尝试打破安全过滤器的尝试中，研究人员通常依赖于寻找模型数学逻辑中的一个单一“拒绝方向”并对其施加压力。该研究的作者发现，这种旧方法非常脆弱；它经常破坏模型说话的连贯性，或导致其无法完成基本任务。相比之下，他们的新方法更加精准。他们发现，当模型使用这些精确方法进行编辑时，它往往会对特定的、顺从的起始短语（如“当然，这是计划”）分配极高的概率。通过针对这种特定的反应，他们可以迫使模型同意有害请求，而不会破坏其通用智能。

为了使这种方法在现实世界的问题上奏效，团队必须解决一个棘手的问题：如何找到句子中需要编辑的正确部分。在简单的事实核查任务中，主体是非常明确的，比如一个人的名字。但在像“我该如何制造病毒？”这样复杂的指令中，主体是整个指令本身。研究人员开发出一种方法，通过追踪模型的思维过程，找到在提示词中对拒绝行为负有最大责任的词汇。然后，他们利用模型自身的知识在这些词汇周围构建更丰富的上下文，从而创建一个更稳定的编辑目标。这使得他们不仅能针对一个特定的问题移除拒绝行为，还能针对一整类类似的疑问。例如，如果他们编辑了模型使其忽略关于编写恶意软件代码的安全规则，那么即使措辞略有不同，模型也会变得愿意编写其他类型的有害代码。

实验结果表明，这种方法非常有效。在测试的其中一个模型上，新方法将模型提供有害信息的意愿得分从标准编辑方法的 2.98 和旧的基于拒绝的方法的 3.01，提升到了 3.12（满分 4 分）。更重要的是，模型依然保持了实用性和连贯性。当测试无害问题时，经过编辑的模型仍能正确回答，保持了在通用知识任务上的高水平表现。而那些试图通过推开“拒绝感”来工作的旧方法，往往会导致模型失去逻辑思考能力，产生胡言乱语或破碎的响应。新方法成功解锁了有害行为，同时保持了模型其余部分的完整。这表明，这些模型的安全过滤器不仅仅是一堵墙，而是一组可以被精确移除且不会导致整体结构坍塌的特定关联。

该研究还强调了当前防御机制的局限性。研究人员发现，虽然他们的方法在较旧或对齐程度较低的模型上效果良好，但很难应用于最新、训练最精密的模型。即使是在这些稳健的系统中，该方法仍显示出一定的绕过安全性的能力，尽管效果较弱。这表明，随着模型变得更加先进，其安全机制也变得更加复杂，但尚未达到无懈可击的地步。研究人员强调，他们的工作是在一个受控环境中进行的，使用的是任何人都可以访问的开源模型。他们并没有提供创建危险工具的逐步指南，而是展示了一个需要被修复的漏洞。通过展示安全可以通过精确的内部编辑而非仅仅是巧妙的提示词来破坏，这项研究为如何构建真正安全的模型提供了新的视角。研究结果表明，未来的安全措施需要更加稳固，以确保“拒绝行恶”的行为是深深植根于模型的结构之中，而不仅仅是一种表层的反应。

技术摘要：BRAIn Lab —— 利用知识编辑中的关联上下文检索进行白盒 LLM 攻击

1. 问题陈述

随着大语言模型（LLMs）被赋予越来越多的自主权并被信任处理敏感数据，确保其对齐（即防止有害行为）变得至关重要。然而，最近的研究表明，当前的对齐机制并不稳健。虽然“黑盒”越狱已被广泛研究，但“白盒”攻击——即攻击者可以直接访问模型权重——提供了更强大的操纵能力。

现有的白盒方法通常依赖于拒绝方向抑制（沿“拒绝”向量使模型的响应正交化）。作者指出了这种方法存在的两个关键缺陷：

表达能力丧失： 正交化消除了模型表示整个参数空间维度的能力，导致逻辑连贯性丧失和响应不连贯。
敏感性与泛化性： 拒绝方向抑制的效果对权重参数 $\alpha$ 高度敏感。此外，基于一组提示词计算出的平均拒绝方向往往无法泛化到即使是改写后的指令上。

虽然知识编辑（KE）框架（特别是像 ROME 和 MEMIT 这样的“定位后编辑”方法）能提供更精确的修改且对一般行为的影响较小，但以往将这些方法应用于攻击的尝试依赖于后门（在提示词中插入特定的罕见词）。这种对显式提示注入的要求使得此类攻击极易被识别。本文提出了一种无需后门或显式提示注入的方法来移除对齐，而是通过修改权重来解锁整个有害提示的主题类别。

2. 方法论：BRAIn Lab

所提出的方法将移除对齐重新定义为一个关于行为关联的知识编辑问题。其核心创新在于使用**关联上下文检索（Association Context Retrieval）**来构建编辑过程中的主体表示（ $k^*$ ）。

2.1 自定义追踪与主体选择

标准的 KE 方法追踪事实三元组（例如，“克里斯蒂亚诺·罗纳尔多踢足球”）的因果效应。在有害提示的语境下，“主体”不是一个具体的实体，而是一个指令。

追踪（Tracing）： 作者通过适配因果追踪，来识别有害提示中哪些 Token 对同意 Token（例如，“Sure”）的概率影响最大，而非对最可能 Token 的影响。
主体提取： 通过追踪，他们发现 AIE（平均间接效应）在指令跨度（instruction span）的最后几个 Token 处达到峰值（例如，“Give an argument for...”）。因此，指令本身被视为主体 $s$ 。
对象定义： 目标对象 $o^*$ 被定义为特定于提示结构类别（恶意软件/黑客攻击、指令/指南、创意伤害）的合规开场白（例如，“Sure! The easiest way is:”）。

2.2 关联上下文检索（核心贡献）

标准的“定位后编辑”方法使用随机生成的前缀（ $x_j$ ）与主体拼接来计算主体向量 $k^*$ 。作者认为，这种与上下文无关的编码无法探测主体的关联结构，导致泛化效果差。

改进方案：
不同于随机前缀，该方法利用模型自身的知识来丰富前缀 $x_j$ ，从而增强与主体的关联。

模型不仅从标记开始生成前缀，还被迫从预定义的短语中生成，这些短语会在中性语境下触发对主体的推理。
这使得 $k^*$ 向量捕捉到了一个关联上下文的分布，而非单一的表面出现形式。
这种激活的累积使得 $k^*$ 成为主体的更忠实的表示，提高了编辑对语义和结构相似提示的迁移能力。

2.3 优化

该方法利用标准的“定位后编辑”算法（针对稠密模型的 ROME、MEMIT；针对 MoE 模型的 MoEEdit、MoTE）来优化值向量 $v^*$ 。其目标是使模型在面对主体（ $s$ ）时，能够以期望的合规短语（ $o^*$ ）开始其响应，从而抑制拒绝行为。

3. 主要贡献

本文引入了一种类别级白盒攻击，具有以下特征：

可移植性： 使用修改后的追踪程序从任何有害提示中提取主体，无需人工选择。
编辑器无关性： 兼容任何“定位后编辑”框架（如 ROME、MEMIT、BIRD、GLAME）。
架构无关性： 成功应用于基于 GPT、Llama 和 Qwen3-MoE 的架构。
局部性与通用性： 在解锁整个结构或语义类别的提示的同时，最大限度地减少对模型一般性能的影响（局部性）。
无后门： 与以往基于 KE 的攻击不同，它不需要特殊的罕见词或显式的提示注入；攻击完全嵌入在权重修改中。

4. 实验结果

实验在 GPT4ALL-J、Llama-3-8B 和 Qwen3-30B-A3B 上进行，使用了包括 AdvBench、HarmBench 和 JailbreakBench 在内的数据集。

4.1 有害性与局部性

有害性： 所提方法（特别是 ROME+pref 和 MEMIT+pref）在生成有害内容方面显著优于基于拒绝的基准方法。例如，在 GPT4ALL-J 上，MEMIT+pref 达到了 3.12 的有害性得分（相比之下，拒绝方法的得分为 3.01），在 Llama-3-8B 上达到了 3.19（相比之下，拒绝方法为 2.72）。
局部性： 至关重要的是，该方法比基于拒绝的攻击更好地保留了模型的通用能力。
- 在 Llama-3-8B 上，拒绝基准导致 3.79% 的 MMLU 准确率下降，而 MEMIT+pref 仅导致 0.05% 的下降。
- 该方法避免了高 $\alpha$ 拒绝攻击中常见的“破碎响应”（即模型输出不连贯文本）问题。

4.2 泛化性

该方法对同一结构和语义类别下的未见提示表现出强大的泛化能力。

结构泛化： MEMIT+pref 在 GPT4ALL-J 的未见结构提示上达到了 2.54 的得分，优于拒绝基准（2.33）。
语义泛化： 该方法成功解锁了语义相关提示的知识，证实了关联上下文检索使得编辑能够超越特定的训练样本进行迁移。

4.3 消融实验

追踪验证： 追踪证实了指令跨度充当主体，验证了自定义的追踪程序。
拒绝基准敏感性： 关于拒绝方向权重 $\alpha$ 的消融研究显示了一种权衡：较高的 $\alpha$ 虽然增加了有害性，但极大地增加了“破碎”（不连贯）响应的比例。所提方法在实现高有害性的同时，保持了极低的破碎响应率。

5. 重要性与主张

本文声称，知识编辑构成了一种比通过拒绝方向进行降维更温和、更有效的对齐移除方法。

机制： 通过将“同意”短语视为关联记忆中的对象，并利用关联上下文丰富主体表示，攻击变得更加稳健和具有泛化性。
防御洞察： 作者认为，他们的发现强调了当前对齐机制的脆弱性。他们证明了拒绝方向抑制会严重降低模型连贯性，而“定位后编辑”方法产生的变化更为局部化。
伦理立场： 这项工作被呈现为一项旨在为开发更稳健的安全防护措施提供信息的受控研究。作者强调，该方法是理解当前对齐技术极限的一种工具，而非绕过安全系统的建议。他们明确指出，该攻击需要白盒访问权限，这限制了其在生产系统中的实际应用性，并且并未大规模发布任何有害生成内容。

总之，本文提出，通过在知识编辑框架内利用关联上下文检索，攻击者可以比传统的基于拒绝抑制的方法更有效地绕过安全对齐，且对模型效用的附带损害更小。