arXiv cs.AI· Haoyu Zhang, Hanwen Liu, Yang Chen, Shibo Zheng, Xiangchen Guan, Zhuoxi Wang, Zijian Xiao, Xiao Luo, Yi Feng, Haowen Xu, Mohammad Zandsalimy, Shanu Sushmita·· 3 天前AI 评分32
深度而非广度：Best-of-N 越狱如何突破表层噪声
Depth, Not Breadth: Best-of-N Jailbreaking Beyond Surface Noise
AI 导读
研究发现，Best-of-N 越狱若包裹结构化编码而非表层改写，对 SAGE 自检防御的攻击成功率可达 67%、22% 和 15%，而该编码单次触发最高仅 4.7%，已发表的字符搜索满预算最高仅 3.0%，相当于各部分之和的 9 至 68 倍。
正文 · AI 翻译
作者：Haoyu Zhang、Hanwen Liu、Yang Chen、Shibo Zheng、Xiangchen Guan、Zhuoxi Wang、Zijian Xiao、Xiao Luo、Yi Feng、Haowen Xu、Mohammad Zandsalimy、Shanu Sushmita
摘要：Best-of-N 越狱将查询预算花在表层变化上，对请求进行打乱和大小写变换，直到某一次抽样成功。我们探究当同样的搜索改为包裹一种结构化编码时，它能换来什么。针对已发表的自检防御 SAGE，在代码补全编码上的 best-of-N 在三个开放权重目标上分别达到 67%、22% 和 15% 的行为触发率，而该编码单次触发最多为 4.7%，已发表的字符搜索在满预算下最多为 3.0%：是各部分之和的 9 到 68 倍，且自助法区间在每个目标上都同时超过两个组成部分。我们在标题数字旁报告实际起作用的数字，而非仅报告标题数字：在可操作的严重性阈值下，这些单元格分别为 24、8 和 1 个行为（95% 区间 [13, 28]、[3, 13]、[0, 3]）。在 Llama-3.1-8B 上进行的 2x2 实验将编码与变化分离，表明 SAGE 和分类器门控因不同因素而失效：SAGE 被编码的深度攻破（固定变化下从 7 个行为增至 67 个），而门控被变化的广度攻破（固定编码下从 13 增至 57）。按单次抽样报告也会高估鲁棒性，因为可以尝试 N 次的攻击者经历的是各次抽样的最大值，而安全结果却以均值报告：在某个目标上，SAGE 阻止了 99.8% 的单次抽样，但面对重复攻击者时损失的行为数（12）至少与阻止了 95.6% 的分类器门控（10）一样多。移除目标的采样后，SAGE 的覆盖率相对于其自身水平，比未防御对照多下降 59、76、82 和 29 个百分点，而判定来自固定影子模型的防御则为 25、-5、8 和 2。失败的设计是将筛查与回答融合为单次生成，因此攻击者的每次抽样都会重新抽取安全决策。这一处方是架构性的，而非免费的：不要将筛查与生成融合。
| Comments: | 一篇短文已被 NeurIPS 2026 JUDGe 研讨会接收为海报（非存档） |
| Subjects: | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2607.26639 [cs.CR] |
| （或 arXiv:2607.26639v3 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2607.26639 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Haoyu Zhang [查看邮箱]
[v1]
2026年7月29日星期三 09:01:26 UTC（79 KB）
[v2]
2026年9月25日星期五 05:37:15 UTC（94 KB）
[v3]
2026年10月12日星期一 02:28:23 UTC（96 KB）
来源：arXiv cs.AI · arxiv.org