Systematic Scaling Analysis of Jailbreak Attacks in Large Language Models¶

会议: NeurIPS 2026
arXiv: 2603.11149
OpenReview: https://openreview.net/forum?id=pIEAacruEN
代码: https://github.com/xiangwenw/jailbreak-scaling
领域: 对齐/RLHF
关键词: 越狱攻击, 扩展律, 算力归一化, 提示词优化, 大语言模型安全

一句话总结¶

本文将大模型越狱攻击形式化为算力受限的优化过程，在统一的 FLOPs 算力轴上建立了饱和指数缩放律，揭示了基于提示词改写的攻击范式在算力效率与隐蔽性上均显著优于梯度后缀搜索。

研究背景与动机¶

大语言模型虽然通过指令微调与人类反馈强化学习（RLHF）建立了多层安全护栏，但针对输入提示词的越狱攻击依然频发。当前学术界提出了大量越狱算法，涵盖梯度对抗后缀搜索、多轮提示词重写、遗传算法变异以及采样筛选等多种机制。然而，不同方法对一次“优化步”的定义截然不同——有的是一次反向传播梯度更新，有的是一次攻击者模型的多轮重写，有的是随机采样一次前向推理。这种算法层面的异构性导致社区难以在公平的基准线上横向比较攻击范式，更缺乏对“攻击者投入算力与越狱成功率之间是否存在可预测规律”的系统认知。

现有关于对抗行为扩展规律的研究往往高度局限：部分工作假设攻击者拥有对模型内部激活状态的直接干预权限，脱离了实际黑盒/白盒提示词交互的现实威胁模型；另一些分析则仅局限于特定的黑盒集成或采样协议，未能覆盖多种核心攻击机制的横向对齐。面对这一核心矛盾，防御者无法量化评估不同攻击类型的边际收益，难以预判高算力攻击者的实际危害上限，也无法精准制定安全算力分配策略。

本文的切入角度是打破传统的“迭代轮数”或“查询次数”度量，将异构越狱攻击统摄在统一的浮点运算量（FLOPs）度量轴下，考察攻击效果随算力增加的轨迹演化。核心 idea：将越狱攻击形式化为统一 FLOPs 约束下的提示词空间优化过程，利用饱和指数函数精准拟合越狱算力扩展律，并通过同状态单步更新分析在机制层面证明提示词改写在提示空间中具备更优的下降方向探索能力。

方法详解¶

整体框架¶

本文构建的越狱算力扩展分析框架包含四个核心模块：统一算力计量引擎、多范式攻击算法库、双维度 GPT-5 评测裁判以及饱和指数扩展律拟合模型。输入为恶意目标集合与受害者模型，算法根据给定的累计 FLOPs 预算动态生成对抗提示词并驱动受害者模型推理，裁判系统对输出的有害程度与语义相关性进行解耦打分，最终由拟合模块抽象出跨越模型家族与危害类别的普适缩放参数。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["恶意目标集合 + 算力预算"] --> B["算力归一化计量引擎<br/>前向/反向/攻击者模型 FLOPs 统算"]
    B --> C["四类代表性越狱攻击范式<br/>GCG / PAIR / BoN / AutoDAN"]
    C --> D["双维度评测裁判系统<br/>红队攻击得分 + 内容语义相关性"]
    D --> E["饱和指数扩展律参数拟合<br/>起始基线 / 渐近上限 / 逼近速率"]
    E --> F["同状态单步优化动力学解耦<br/>损失变动量与步长归一化方向检验"]

关键设计¶

1. 算力归一化计量引擎：消除迭代步异构偏差 不同越狱算法的单步计算开销存在数个数量级的差距。例如 GCG 需要在受害者模型词表上计算全量梯度并评估候选后缀，而 PAIR 依赖辅助攻击者 LLM 进行自省式重写生成。本文将攻击过程的总算力统一定义为受害者模型前向/反向传播与辅助模型调用的累计 FLOPs 之和： $$B = \sum_{c\in\mathcal{C}_{\text{victim}}}\mathrm{Cost}(f_\theta; L_{\text{in}}^{(c)}, L_{\text{out}}^{(c)}) + \sum_{c\in\mathcal{C}_{\text{attacker}}}\mathrm{Cost}(f_\phi; L_{\text{in}}^{(c)}, L_{\text{out}}^{(c)})$$ 该设计将梯度白盒、采样黑盒与提示重写攻击统一校准至真实计算成本轴上，确保算力扩展曲线的严谨可比。

2. 饱和指数缩放律拟合：量化算力收益边际衰减 经验观察表明，各类越狱攻击在算力投入初期均呈现迅速攀升态势，随后由于模型防御壁垒而陷入收益递减的饱和平台期。为此，本文采用三参数饱和指数模型对算力-攻击成功率（ASR）轨迹进行非线性最小二乘拟合： $$\mathrm{ASR}(B) = a + b\bigl(1 - e^{-cB}\bigr)$$ 其中 $a$ 代表攻击在零/极低算力时的初始基准分数，$a+b$ 代表算力充分时的渐近理论上限，$c$ 为逼近速率常数。基于拟合参数，可进一步解析导出半饱和算力 $B_{50} = \frac{\ln 2}{c}$ 与 95% 饱和算力 $B_{95} = \frac{-\ln 0.05}{c}$，为评估攻击范式的计算效率提供了闭式解析指标。

3. 双维度解耦裁判与隐蔽性度量：剥离表面违规与检测规避 传统字符串匹配无法判别模型是否实质响应了恶意意图。本文设计了由 GPT-5 驱动的双重评测系统：一是评估安全规约突破与有害细节程度的红队得分 $R_{\text{GPT-5}} \in [1, 10]$；二是剥离违规属性、纯粹衡量回复内容与攻击目标语义相似度的相关性得分 $\mathrm{Rel}_{\text{GPT-5}} \in [0, 10]$。同时，引入基于 GPT-2 困惑度的归一化隐蔽性指标： $$S(x) = 1 - \frac{\log\mathrm{PPL}_{\text{GPT-2}}(x) - \log\mathrm{PPL}_{\min}}{\log\mathrm{PPL}_{\max} - \log\mathrm{PPL}_{\min}}$$ 以此在高维空间中解构“攻击成功率—算力开销—隐蔽性”的多目标帕累托前沿。

4. 同状态单步优化动力学解耦：破译提示词优化机理优势 针对 PAIR 算力效率远超梯度 GCG 的反直觉现象，本文提出了同状态单步分析协议。针对同一前置提示状态 $x_t$，分别观测 PAIR 实现的语义更新 $\Delta u_t^P$ 与 GCG 在目标损失 $\mathcal{L}(x) = -\log p_\theta(y^\star \mid x)$ 下建议的梯度更新 $\Delta u_t^G$。通过计算单位步长归一化方向改善量： $$D_{\Delta u_t} \mathcal{L} \approx \frac{\Delta \mathcal{L}_t}{\|\Delta u_t\|}$$ 该设计在控制目标对齐与步长尺度的前提下，实证检验了离散提示词流形上自然语言语义先验与一阶局部梯度逼近在全局探索效率上的本质差异。

损失函数 / 训练策略¶

在对齐 GCG 与 PAIR 的目标函数时，统一最小化目标前缀 $y^\star$ 的负对数似然： $$\mathcal{L}(x) = -\log p_\theta(y^\star \mid x)$$ 在步长匹配实验中，将标准 GCG 的单 token 替换扩充为每步变异 30 个 token，使离散扰动范数 $\|\Delta u_t^G\|$ 与 PAIR 的自然语义重写范数达到相近量级，从而剥离步长大小干扰、纯粹检验离散梯度引导在语义空间的方向有效性。

实验关键数据¶

主实验¶

实验基于 AdvBench、HarmBench 与 ClearHarm 混合构建的 200 个高质量恶意目标全集，覆盖有害指令、恶意创作、虚假信息与攻击性内容四大类别。主评测受害者模型为 Llama-3.1-8B-Instruct，四类代表性攻击在统一算力轴下的拟合表现如下表所示。

攻击方法	起始基线 $a$	渐近上限 $a+b$	逼近速率 $c$ ($10^{-4}$)	半饱和算力 $B_{50}$ (TFLOPs)	95%饱和算力 $B_{95}$ (TFLOPs)	拟合优度 $R^2$
GCG (白盒梯度优化)	3.19	5.16	2.15	3221	13923	0.970
BoN (采样最佳选择)	3.79	8.83	5.24	1322	5715	0.908
PAIR (提示重写优化)	9.11	9.80	4.98	1391	6012	0.997
AutoDAN (遗传进化算法)	7.17	8.92	2.43	2848	12307	0.972

在内容相关性指标上，各方法的渐近上限普遍显著回落（GCG 仅为 1.46，AutoDAN 为 3.00，PAIR 为 3.86，BoN 达到 5.38），表明大量表面触发越狱的响应并未实质产出有深度针对性的恶意内容。

消融实验¶

为了剖析 PAIR 与 GCG 之间显著效率差距的机理成因，消融实验对“目标差异假设”（Objective Mismatch）与“优化能力假设”（Optimization Quality）进行了严密检验。在目标匹配消融中，强制 PAIR 攻击者直接优化诱导精确前缀 $y^\star$；在动力学层面，采用同状态单步对照测试（前 4 步代表性轨迹）：

实验配置 / 步骤	损失变动 $\Delta\mathcal{L}_t^P$	步长范数 $\\|\Delta u_t^P\\|$	方向改善 $D_t^P$	损失变动 $\Delta\mathcal{L}_t^G$	步长范数 $\\|\Delta u_t^G\\|$	方向改善 $D_t^G$	方向余弦相似度
目标匹配消融 (上限)	-	-	-	-	-	-	渐近上限保持 8.60 (vs GCG 5.16)
单步对照: Step 1 (标准)	-2.0195	5.980	-0.3377	-0.0469	1.461	-0.0321	-0.0877
单步对照: Step 2 (标准)	-0.2678	8.306	-0.0322	-0.0269	1.242	-0.0216	-0.0084
单步对照: Step 3 (标准)	-0.0938	8.657	-0.0108	+0.4973	1.475	+0.3371	+0.1441
步长匹配消融: Step 1 (30-token)	-0.7021	6.743	-0.1041	+1.8184	7.504	+0.2423	+0.0203
步长匹配消融: Step 2 (30-token)	-0.2451	7.424	-0.0330	+2.5674	7.425	+0.3458	+0.0673

关键发现¶

提示词重写具备压倒性算力效率：PAIR 在极低算力下即可达到 9.11 的起始红队评分，且仅需约 6012 TFLOPs 即可达到 95% 饱和上限（9.80）；而白盒 GCG 的上限仅为 5.16，且需 13923 TFLOPs 才能趋近饱和。
离散梯度的局部贪心失效：同状态测试证明，强制匹配目标后 PAIR 依然大幅领先 GCG（8.60 vs 5.16）。当将 GCG 单步扰动扩充至 30 个 token 以匹配 PAIR 步长时，GCG 建议的梯度更新方向几乎全面导致损失不降反升（$D_t^G > 0$），证明自然语言大模型自身携带的语言连续性先验比一阶局部梯度近似在离散提示词空间中有效得多。
隐蔽性与成功率分布解耦：PAIR 位于“高成功率—高隐蔽性”的理想象限；AutoDAN 具备高隐蔽性但成功率略逊；BoN 依赖随机字符扰动导致隐蔽性垫底；GCG 必须外包高自然度模板框架才能勉强降低困惑度。
虚假信息危害扩展门槛最低：在四大分类中，虚假信息（Misinformation）的越狱门槛最低、初始基线最高，显著易于诱发；而恶意工具制造（Malicious Creation）对算力门槛与针对性结构要求最为严苛。

亮点与洞察¶

将越狱归结为 FLOPs 算力扩展律：摆脱了以往用不具可比性的“迭代步数”或“查询次数”对比越狱算法的局限，首次在全算力轴上定量拟合出越狱攻击收益递减的饱和指数规律。
同状态一阶优化机理解析：富有说服力地设计了同状态单步对照与步长匹配实验，用扎实的数据证明了基于攻击者 LLM 的语义重写之所以高效，是因为其在离散 token 流形上的搜索方向更贴合受害者模型响应概率的真实下降曲面。
防御资源分配的可计算化指引：明确了攻击预算与防御临界点的量化边界，提示安全团队应对多轮自适应重写类攻击给予远高于离散梯度后缀攻击的监控优先级。

局限与展望¶

FLOPs 估算的理想化假设：算力统计基于标准的理论 token 前向反向乘加次数，未涵盖真实部署中的硬件通信瓶颈、KV Cache 复用延迟、API 限流及防御方前置安全滤波器的开销。
裁判系统的固有归纳偏差：依赖单一顶尖商用模型（GPT-5）作为评测裁判，可能存在对特定句式偏好或越狱判别盲区的系统性偏置。
未覆盖强化推理模型：实验主要针对标准指令微调的通用对话模型，尚未纳入手动展开长思维链（o1/o3/R1 风格）的深度推理模型，后者因复杂的内置自反思机制可能呈现迥异的算力缩放动态。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次建立统一 FLOPs 轴的越狱饱和扩展律，并揭示了基于提示优化的机理优势。
实验充分度: ⭐⭐⭐⭐⭐ 覆盖三大主流模型家族、四类经典攻击算法、四大危害维度，并包含深度的一阶优化消融。
写作质量: ⭐⭐⭐⭐⭐ 逻辑严密，问题提出自然，理论与实证环环相扣。
价值: ⭐⭐⭐⭐⭐ 为安全红蓝对抗、前置防御算力布局及安全边界评估提供了关键的量化基准。