诱骗 LLM 安全防护器误判错误的文本

arXiv:2610.31695v1 公告类型：cross 摘要：安全防护器会在 LLM 应用对内容采取行动之前检查这些内容，而大多数防护器都会将内容粘贴到纯文本提示中。模仿提示的内容可以追加第二个任务，使防护器转而回答该任务。我们将其称为目标重绑定。我们的解释是，防护器会评估其输入中最后一个完整的任务——在这里是无害的诱饵——因此有害请求会原样通过。在一项预注册测试中，追加伪造查询和诱饵后，成功通过了全部 75 个留出的 AdvBench 请求，而这些请求均会被 Shieldstral-1.0-3B 标记。防护器并非轻易被说服：要求忽略上方文本的指令一个也未能通过；在后续测试中，有害诱饵也阻止了攻击。在我们的 GuardRebind 基准测试中，五个防护器中的每一个都有一个针对该防护器选择的攻击家族，能够通过至少 93% 的其标记项目。在 Shieldstral 和 gpt-oss-safeguard 上，重绑定最能解释这一现象；在 ShieldGemma 和 Llama Guard 3 上，通用规避和尾随文本分别发挥了部分作用；而 Qwen3Guard 主要败于对其完整任务的伪造。训练防护器使其给出的内容评分不低于其中最有害的部分后，在训练中留出的攻击家族、诱饵和伪造查询上，攻击成功率从 75% 降至 0.8–1.6%。所有这些攻击都会在请求之后追加伪造结构；我们在第一轮测试运行后加入了留出诱饵评估。干净数据上的 AUROC 最多下降 0.01，但我们的非劣效性检验无法得出结论。基于评分引导的搜索在 50 个项目中的 47 个上仍优于这一训练后的防护器，通常是将伪造结构置于请求之前。在搜索获胜的项目中，约有一半的项目上，同一搜索还找到了不含伪造结构的良性文本，并使其通过防护器。