深度动态推理中浅层退出对越狱攻击的鲁棒性高于深层

这篇发表于 NeurIPS 2026 FLMSec Workshop 的论文首次系统评估了基于深度的动态推理（depth-based dynamic inference）对大语言模型越狱攻击鲁棒性的影响。研究发现，在动态推理机制下，从中间层退出的浅层模型比深层模型更能抵抗对抗性提示的攻击，而深层退出更容易被优化出低损失的攻击后缀。

具体证据显示，退出深度决定了攻击后缀优化的难易程度：深层退出能达成更低的攻击损失值，意味着防御者更难通过常规手段阻断深层输出的恶意内容；同时，对抗性后缀对模型效用（utility）的影响在不同退出深度间保持均匀分布，说明攻击并未因层级变化而显著改变模型的正常任务表现。这一发现挑战了“深层模型必然更安全”的直觉，指出动态推理中的资源调度策略可能无意中引入安全漏洞。

事实层面，论文确认了浅层退出在越狱场景下的相对优势及深层退出易受攻击优化的现象；推断层面，这意味着采用动态推理以节省算力的产品若未针对浅层输出做额外对齐加固，可能在追求效率时牺牲安全性；猜测层面，未来安全对齐技术可能需要分层设计，针对不同退出深度定制防御策略，而非仅关注全量推理结果。