Tripwire：通过统计认证安全神经元实现的大模型越狱防御新范式

大语言模型在应对越狱攻击时，神经元和路径级别的干预提供了最细粒度的防御路径，但现有方法往往难以兼顾模型效用。一方面，抑制有毒神经元以消除有害语义的方法，由于有害语义在网络中广泛分布，阻断所有路径会导致巨大的干预足迹，严重损害模型性能。另一方面，依赖外部分类器识别安全神经元的方法，容易误伤对模型效用至关重要的神经元。此外，这些方法通常处于常开状态，即使在没有攻击的良性请求中也会产生扰动。为了解决这些局限，本文提出了Tripwire，一种无需训练的防御机制，旨在通过精准定位和触发机制，在最小化效用损失的同时有效防御越狱攻击。其核心贡献在于建立了一套统计认证的神经元识别流程，并设计了两种可证明等价的部署模式，实现了从推理时干预到离线权重编辑的灵活切换，为LLM安全防御提供了新的技术范式。 在技术方法上，Tripwire首先通过严格的统计流程识别安全专用神经元。具体而言，它执行逐神经元假设检验，并在假发现率（FDR）控制下进行统计认证，确保识别出的神经元确实与安全行为相关。在此基础上，引入效用特异性过滤器，进一步剔除那些虽然与安全相关但对模型通用能力至关重要的神经元，从而避免误伤。识别完成后，系统采用触发式钳制策略，将选定的安全神经元固定在其有害条件均值激活状态。这种设计巧妙地模拟了内部有害输入信号，直接触发模型在对齐阶段学习到的拒绝行为，而非简单地阻断信息流。在部署层面，Tripwire实现了两种可证明等价的模式：一种是检测器门控的推理时干预，仅在检测到潜在攻击时激活；另一种是离线偏差补丁权重编辑，将干预效果固化到模型权重中。这种设计不仅提高了部署灵活性，还通过统计认证保证了干预的精确性和可靠性，避免了传统方法中常见的过度干预问题。 实验部分在四个安全对齐的大语言模型和四种代表性越狱攻击上进行了全面评估。结果显示，Tripwire将平均攻击成功率显著降低至2.0%以下，展现了极强的防御能力。更为关键的是，在MT-Bench基准测试中，其造成的效用下降仅为0.5%至5.3%，这一数值在所有对比的防御方法中是最小的，证明了该方法在保持模型通用能力方面的优越性。消融实验进一步验证了统计认证和效用特异性过滤器的必要性，去除了这些组件后，防御效果或效用保持能力均出现明显下滑。此外，两种部署模式在实验中被证明具有等价性，用户可根据实际场景选择推理时动态干预或离线静态编辑。这些结果不仅验证了Tripwire的有效性，也表明通过精细化的神经元定位和触发机制，可以在不牺牲模型性能的前提下实现高水平的安全防御，为后续研究提供了重要的实证基础。 从行业意义来看，Tripwire为开源社区和工业落地提供了极具价值的参考。首先，其无需训练的特性降低了部署门槛，使得现有模型无需重新训练即可获得增强安全性，这对于资源有限的团队尤为重要。其次，统计认证的方法论为神经元级干预提供了可解释性和可信度，有助于建立安全防御的标准流程。在工业应用中，检测器门控模式适合对实时性要求高且攻击频率低的场景，而离线权重编辑则适合对稳定性要求高且希望简化推理流程的场景。这种灵活性使得Tripwire能够适应多样化的部署需求。此外，该研究揭示了安全神经元与效用神经元之间的复杂关系，为后续研究如何更精细地平衡安全与效用提供了新的视角。随着LLM应用的普及，越狱攻击的威胁日益严峻，Tripwire所提出的触发式防御机制有望成为未来LLM安全架构的重要组成部分，推动行业从被动防御向主动、精准防御的转变。