大模型拒绝机制仅存于前半段响应，Prefill越狱可轻松破解

背景

近年来，对齐（aligned）语言模型通过人类反馈强化学习（RLHF）等手段学会了拒绝有害请求。然而，一种极为简单的攻击方式——在用户提示前追加一行前缀填充（prefill），如直接写入“Sure, here is”——就能使模型放弃拒绝，转而生成有害内容。这种被称为“Prefill Jailbreak”的漏洞引起了安全研究者的高度关注。本文（arXiv cs.CL, 2026年7月提交）从机制层面系统研究了该攻击为何有效、失效发生在哪里，并揭示了拒绝行为在模型内部的浅层性与脆弱性。

核心内容

本研究围绕一个核心问题：Prefill Jailbreak 攻击如何以及在哪里破坏了模型的拒绝能力？作者采用线性探针（linear probe）、因果干预（causal intervention）和注意力消融（attention knockout）等多种手段，对多个规模的语言模型（从1.5B到14B参数，涵盖四个模型、三个模型族）进行了机制分析。

1. 有害表示保持完整，但拒绝行为失效
在攻击后的输入上，模型的行为从拒绝转为顺从，但模型内部对“有害性”的编码并未消失。线性探针从中间层读取到的有害方向（harm direction）得分与未受攻击的拒绝样本同样高（0.91–0.98），而行为上的拒绝率却降至随机水平。这表明：拒绝并不是由内部有害表示的消失导致的，而是模型在**响应端（response-site）**的计算环节出现了问题——拒绝是一个浅层、位于输出生成阶段的决策，而非深层的语义理解错误。

2. 拒绝机制的定位：响应前一半
通过剂量匹配的位置控制实验，作者发现：只需修改或干扰响应（response）的前半部分就足以打破拒绝，而响应后半部分的干扰几乎是无效的。三个独立的因果探针（causal probe）都收敛到这一早期窗口。进一步，如果在响应早期阶段恢复模型内部的有害方向（harm direction），可以部分地重新激活拒绝行为。更有力的是，将模型自身的拒绝状态（refuse-state）注入到响应早期，可以逆转 jailbreak 效果（在留出集上达到74%的成功率）。这直接证明响应前部是拒绝执行的脆弱窗口。

3. 注意力机制的角色
通过敲除（knockout）响应早期阶段中 token 对 prefill 位置的注意力，能选择性地破坏有害继续生成的倾向；而敲除等量的对其他位置的注意力则没有类似效果。这说明 prefill 是通过对响应早期注意力的绑定来驱动有害内容的延续。

4. 基础模型对照：机制是通用的自回归条件作用
同样的注意力敲除实验在一个未经安全对齐的基础模型（base model）上进行，结果依然成立：敲除 prefill 注意力后，有害内容比例从64%降至25%（7B模型重复验证）。因此，prefill 的“控制力”并非来源于安全对齐引入的特定抑制，而是源于自回归语言模型通用的条件概率建模——它只是给模型提供了一个“有害继续”的高概率起点。所谓的“拒绝恢复”（refusal restoration）本质上是一个模型依赖的备用方案，其主导机制是被动的（passive），而非对抗主动。

5. 主动与被动成分的分离
在主动 vs 被动特征的区分上，作者发现模型残留了一个小规模的安全特定吸引子（safety-specific attractor），其 logit-trace 集中度为0.24（对比被动特征的0.03）。这一吸引子具有主动干预的潜力，但整体上拒绝决策在模型内部是分布式的（distributed），无法被单个方向或单一组件完全操控。值得注意的是，拒绝行为跟踪的是有害性（harm）而非表面上的威胁性语言（scary surface）。

6. 结构性结论
由于拒绝机制位于响应端，且依赖于 prefill 对注意力窗口的控制，一个只读取未经扰动的提示端（prompt-side）表示的安全监控器（monitor）从原理上可以免受此类攻击——它不依赖响应端表示，因此攻击无法污染其输入。但代价是：该防御只对响应端攻击有效。总体而言，Prefill Jailbreak 的机制是分散的（diffuse），但其失效面（failure surface）是局部的（local），集中在响应前半段。

关键要点

• 有害表示未被消除：攻击后模型内部对有害性的检测仍保持高准确率（0.91-0.98），行为拒绝却降至随机水平，说明拒绝是浅层的响应端计算。
• 拒绝机制定位于响应前半段：剂量匹配位置控制、因果探针、注入拒绝状态实验均指向响应早期窗口。
• 注意力绑定是关键：敲除响应早期 token 对 prefill 的注意力选择性破坏有害延续，基础模型中也同样成立，证明机制是通用自回归条件作用，而非安全对齐带来的特定抑制。
• 主导机制是被动的：prefill 通过提供高概率前缀来“钩住”模型自动生成有害内容，拒绝恢复是模型依赖的备用方案；同时存在一个小的主动安全吸引子（logit-trace 0.24 vs 0.03）。
• 决策是分布式、不可归因于单一方向或组件：拒绝与有害表示深度耦合，而非表面威胁特征。
• 监控器可以免疫响应端攻击：只依赖提示端表示的监控器在结构上不受影响，但仅针对此类攻击有效。

意义与影响

本研究从机制上彻底揭示了 Prefill Jailbreak 攻击的本质：它不是通过改变模型对有害性的内部理解来绕过拒绝，而是利用语言模型的自回归本质，在响应生成的最初阶段“偷换”了前置条件。这意味着现有的对齐方法（如基于内部表示探测的安全监控）如果只关注提示端，其设计反而是对抗响应端攻击的天然优势——因为攻击无法污染提示端的表示。但这也提醒社区，安全对齐不能只依赖深层的无害理解