Off-Distribution Voices: Fanfiction Subgenres as Universal Vernacular Jailbreaks for Aligned LLMs

背景

随着大型语言模型（LLM）在安全对齐（Safety Alignment）方面的进步，传统的提示词注入（Prompt Injection）和越狱（Jailbreak）攻击逐渐变得容易被检测。现有的针对已对齐 LLM 的越狱攻击通常表现为离散的、特定的文本片段（discrete artifacts）。这些攻击载体具有明显的表面特征，安全团队可以通过指纹识别（fingerprinting）和补丁更新来快速修复。

然而，这种“猫鼠游戏”忽视了更深层的安全失效模式。研究者指出，真正的脆弱性并不在于某个特定的提示词，而在于自然人类写作中某一类特定的“语域”（register）——即特定的语言风格、叙事结构和社会语境。现有的安全训练数据往往未能充分覆盖这些边缘化的、非标准的自然语言变体。当模型面对这些在分布外（Off-Distribution）的语域时，其安全护栏可能会失效。

核心内容

本研究提出了一种全新的越狱攻击家族，首次利用真实的“同人小说”（Fanfiction）子类型作为通用的攻击载体。其核心思想是：利用人类自然写作中未被安全训练充分覆盖的语域，将有害行为嵌入到看似无害的创意写作场景中。

攻击机制：基于 AO3 子类型的元提示

该攻击方法不依赖于攻击者使用的 LLM，也不需要针对特定目标模型进行适配。其构造过程如下：

1. 语域选择：研究者从 Archive of Our Own (AO3) 平台上选取了 12 个不同的同人小说子类型（subgenres）。AO3 是全球最大的同人作品托管平台，其内容涵盖了极其丰富和多样的叙事风格、角色互动模式和语言习惯。
2. 元提示构建：攻击者使用一个创意写作的“元提示”（creative-writing meta），该提示以从上述 12 个子类型中选取的段落为条件。
3. 有害行为嵌入：模型被要求生成一个场景，并将有害行为（harmful behavior）作为该场景的高潮部分嵌入其中。由于整个文本遵循特定的同人小说叙事逻辑和语言风格，模型更容易将其视为“创意写作任务”而非“指令遵循任务”，从而绕过安全过滤器。

实验结果与验证

研究者在 HarmBench 和 JailbreakBench 数据集的并集上，对八个已对齐的 LLM 进行了测试。评估采用由四个独立裁判组成的集成评估器（four-judge ensemble）来计算攻击成功率（Attack Success Rate, ASR）。

• 显著提升：该攻击方法将平均 ASR 从基线水平的 0.278 大幅提升至 0.731。
• 归因分析：通过因子分解（factorial decomposition）分析，研究证实这种性能提升主要归功于“语域”（register）的变化，而非文本长度或结构复杂度的增加。这意味着，只要语言风格偏离了安全训练数据的典型分布，模型的安全性就会显著下降。
• 防御失效：研究还测试了两种活跃的防御机制，发现它们不仅未能缩小这种“语域-基线”比率，反而扩大了差距。这表明，现有的模板导向型防御（template-targeting defences）只是迫使攻击者转向基于语域的攻击（如本研究提出的方法），而未能从根本上解决分布外语域的安全问题。
• 多轮攻击扩展：研究者还提出了 SAGA-A4，这是一种静态四轮扩展攻击方法。该方法实现了 0.924 的平均 ASR，显著优于现有的三种多轮攻击方法。

关键要点

• 攻击载体的创新：首次利用真实的同人小说子类型（AO3 subgenres）作为通用越狱载体，证明了自然语言中特定的叙事语域可以成为绕过安全对齐的有效手段。
• 无需适配与模型无关：该攻击家族不需要攻击者使用 LLM 来生成提示，也不需要针对特定目标模型进行微调或适配，具有高度的通用性和可扩展性。
• 语域是关键变量：实验证明，攻击的成功主要源于语言风格（语域）的偏离，而非文本长度或结构。这揭示了当前安全训练在覆盖自然语言多样性方面的不足。
• 防御机制的局限性：现有的防御措施主要针对模板化攻击，面对基于自然语域的攻击时效果不佳，甚至可能产生反效果，引导攻击者使用更隐蔽的语域攻击。
• 多轮攻击的高效性：提出的 SAGA-A4 方法在多轮对话场景中取得了极高的成功率（ASR 0.924），展示了该策略在复杂交互中的有效性。

意义与影响

这项研究对 AI 安全领域具有深远的影响，主要体现在以下几个方面：

1. 重新定义安全边界：传统的安全对齐方法往往假设攻击是离散的、特定的提示词。本研究指出，真正的风险在于模型对自然语言中广泛存在的、未被充分训练的“语域”的泛化能力不足。安全训练需要覆盖更多样化的人类写作风格，而不仅仅是标准指令。
2. 对内容审核的挑战：由于同人小说等亚文化内容在语言风格上具有高度特异性，且往往包含复杂的情感叙事和角色互动，现有的基于关键词或模板的内容审核系统难以有效区分创意写作与有害内容。这要求审核系统具备更强的语境理解和语义分析能力。
3. 防御策略的转型：基于模板的防御措施已被证明是无效的，甚至可能适得其反。未来的防御策略需要从“检测特定攻击模式”转向“增强模型对分布外语域的鲁棒性”，例如通过引入更多样化的自然语言数据进行训练，或开发能够识别潜在恶意意图的语义级检测器。
4. 开源社区与 AI 安全的互动：研究利用了 AO3 这样的开源社区内容，展示了用户生成内容（UGC）的多样性如何被用于测试和揭示 AI 系统的脆弱性。这强调了在 AI 安全研究中，需要更深入地理解和分析各种亚文化语言社区的特征。

总之，Off-Distribution Voices 研究揭示了一个被忽视的安全漏洞：自然语言风格的多样性本身可能成为攻击向量。这要求 AI 开发者和安全研究人员重新审视安全对齐的策略，从单纯的提示词过滤转向更全面的语言理解和鲁棒性训练。