用于困惑度感知黑盒攻击的扩散语言模型

arXiv:2610.31558v1 公告类型：新论文 摘要：\emph{连续空间}攻击通过在低维高斯潜在空间中采样或优化，并经由\emph{随机映射}和最近词元查找将其解码为文本，来寻找能够触发黑盒 LLM 恶意行为（如过度思考）的提示。由于随机映射并非从语言中学习而来，其生成的提示可能极不自然，因此很容易被输入防护机制检测到，而且由此得到的风险估计也并非基于自然提示。在本文中，我们证明，同样的连续潜在空间框架可以直接与学习得到的语言生成分布——连续扩散语言模型（dLLM）——相结合，从而去除人为的随机映射，同时保留标准高斯潜变量表述以及下游的采样或优化流程。我们在两种设置下评估这一方法：使用 \emph{RareTrap} 进行基于采样的估计，以及使用 \emph{ThinkTrap} 进行基于优化的搜索。我们发现，在 RareTrap 中，字符级困惑度从 $10^3$--$10^7$ 降至 3--5；在 ThinkTrap 中，则从 20--28 降至 4.3--5.4。我们还发现，两种映射下的模型风险估计可能相差一个数量级。