AlcaTRAz - Anchored Tree-Rule Defense Against Jailbreaks

📄 arXiv: 2609.03693v1 📥 PDF

作者: Jakub Reš, Petr Kaška, Martin Perešíni, Martin Ukrop, Kamil Malinka

分类: cs.CR, cs.AI

发布日期: 2026-09-03

备注: Accepted to SECAI 2026 ESORICS workshop

💡 一句话要点

提出AlcaTRAz以解决大型语言模型的越狱攻击问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 越狱攻击 大型语言模型 安全防御 规则树 字符级扰动 黑箱模型 模型安全性

📋 核心要点

  1. 现有防御方法通常需要访问模型内部，难以在黑箱环境中有效应用。
  2. AlcaTRAz通过在输入文本中插入字符级扰动，提供了一种无需修改模型的防御机制。
  3. 实验结果表明，AlcaTRAz在大多数模型-攻击组合中表现优异，显著降低了越狱成功率。

📝 摘要（中文）

大型语言模型（LLMs）易受到越狱攻击，这些攻击通过精心设计的提示绕过安全对齐。现有防御方法通常需要访问模型权重或内部结构，难以应用于黑箱部署。本文提出AlcaTRAz（Anchored Tree-Rule防御越狱），一种基于规则树的提示级防御方法，仅在输入文本上操作，无需修改或重新训练目标模型。该方法自动学习可转移的变换规则，在选定位置插入受控的字符级扰动，从而破坏越狱攻击所利用的结构规律，同时在良性查询中大幅保留模型的实用性。我们在33个开放权重模型、22种越狱攻击类型和短小单轮良性问题基准上评估了该方法，结果显示AlcaTRAz在73.4%的模型-攻击组合中实现了最佳的综合安全性和功能性得分。

🔬 方法详解

问题定义：本文旨在解决大型语言模型（LLMs）面临的越狱攻击问题。现有防御方法往往需要对模型进行内部访问或修改，限制了其在黑箱环境中的应用。

核心思路：AlcaTRAz的核心思路是通过在输入文本中插入受控的字符级扰动，打乱越狱攻击所依赖的结构规律，而无需对目标模型进行修改或重新训练。

技术框架：该方法的整体架构包括输入文本的处理、规则树的构建和扰动的插入三个主要模块。首先，输入文本被分析以识别潜在的攻击点；然后，基于规则树生成变换规则；最后，将扰动应用于选定位置。

关键创新：AlcaTRAz的主要创新在于其基于规则树的防御机制，这与传统需要模型内部信息的防御方法本质上不同。它实现了在不干扰模型正常功能的情况下，增强模型的安全性。

关键设计：在设计中，AlcaTRAz采用了自动学习的变换规则，确保扰动的有效性和可转移性。具体的参数设置和损失函数设计尚未详细披露，需进一步研究。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果显示，AlcaTRAz在73.4%的模型-攻击组合中实现了最佳的综合安全性和功能性得分。防御前的最大严重性响应值为10，防御后降至2，同时良性查询的平均得分保持在8.35，接近未防御基线的8.62，显示出显著的防御效果。

🎯 应用场景

AlcaTRAz的研究成果具有广泛的应用潜力，尤其在需要保护大型语言模型的安全性和隐私的场景中，如在线客服、社交媒体和自动内容生成等领域。通过增强模型的安全性，该方法可以帮助企业和组织更好地应对潜在的安全威胁，提升用户信任度。

📄 摘要（原文）

Large language models (LLMs) are vulnerable to jailbreak attacks that bypass safety alignment through carefully crafted prompts. Many existing defenses require access to model weights or internals, making them difficult to apply to black-box deployments. We propose AlcaTRAz (Anchored Tree-Rule defense Against jailbreaks), a prompt-level defense based on rule trees that operates exclusively on the input text and requires no modification or retraining of the target model. The method automatically learns a transferable transformation rule that inserts controlled character-level perturbations at selected positions, thereby disrupting structural regularities exploited by jailbreak attacks while largely preserving the model's utility on benign queries. We evaluate the proposed method across 33 open-weight models, 22 jailbreak attack types, and a benchmark of short, single-turn benign questions, comparing against three representative prompt-level baselines (Llama Guard, RA-LLM, Goal Prioritization). Among the compared defenses, AlcaTRAz achieves the best composite security and functionality score in 73.4 % of model-attack combinations and shifts the aggregate score from a modal value of 10 (maximal-severity response to the malicious request) in the undefended setting to a modal value of 2 (near-refusal) after defense, while keeping the mean benign score within 0.27 points of the undefended baseline (8.35 vs. 8.62 on a 0-10 scale). AlcaTRAz substantially reduces but does not eliminate jailbreak success: a high-severity tail remains, and we do not consider adaptive attackers, so we position it as one layer within a defense-in-depth strategy rather than a standalone guarantee.