SAFETYEDIT 论文提出基于单坐标稀疏目标与 KV 缓存标记的 LLM 越狱后门方法

该论文提出 SAFETYEDIT 方法，通过优化单个与拒绝相关的 MLP 坐标并结合早期注意力层的 KV 缓存标记来传播前缀触发信号，从而在大型语言模型中植入后门。该方法在四个开源权重模型和三个数据集组上进行了测试，相比基线方法，在 12 次比较中有 11 次实现了最高的触发 Guard ASR（攻击成功率），并在所有 12 次比较中均获得了最高的 StrongREJECT 分数。

核心机制在于利用稀疏的内部表示而非密集的高维方向作为攻击目标，仅在部分检查点需要下游 MLP 读取器将信号转换为坐标控制，而在其他情况下仅靠传播的信号即可生效。行为审计和消融实验证实，在测试配置下，未触发时的行为和通用能力受到的影响极小，解决了现有方法在满足前缀级目标后模型仍可能回退到拒绝或产生看似合规但未响应请求的问题。

事实层面，该方法确实在特定基准上超越了现有的内部表示方法；推断层面，这种稀疏化策略表明模型对齐防御可能需要重新评估针对单一关键坐标的鲁棒性；猜测层面，若此类技术被滥用，现有的基于输出过滤的防御机制可能无法有效拦截此类深层逻辑篡改，但具体防御成本需进一步实证。