叙事包裹致LLM拒绝率下降及AXIS防御研究

该研究通过GUISE基准测试发现，安全对齐的大语言模型在面对直接有害请求时会拒绝，但若请求被包裹在角色扮演或叙事框架中，模型往往会被绕过。这种漏洞在不同语言和语体中存在显著差异：Qwen3-1.7B在英语中的攻击成功率为89.4%，现代中文为93.0%，而在古典中文语境下更是高达95.7%。 表征分析显示，单纯的语言切换仅使有害请求的表示方向略微偏离模型的拒绝方向，而叙事包裹则使其大幅偏移。针对这一机制，作者提出AXIS方法，结合偏好优化与旋转目标，将有害请求的表示重新对齐至拒绝方向，并引入承诺目标强制模型完全拒绝而非“警告后回答”。该方法在Qwen3-1.7B、Qwen3-4B和GLM-4-9B上均取得了最高的安全与可用性综合得分。 事实层面确认了叙事包裹是比语言切换更危险的越狱手段，且古文场景风险极高；推断层面表明当前基于指令微调的对齐策略在多模态语义理解（如故事背景）面前存在结构性弱点；猜测层面认为未来针对Agent框架的防御需特别关注上下文叙事逻辑的解析能力，但这需要进一步实证验证。