Arbitrary Cipher Attacks Against Large Language Models Do Not Require Fine-Tuning

📄 arXiv: 2609.09553v1 📥 PDF

作者: Thomas Rivasseau

分类: cs.CR, cs.AI

发布日期: 2026-09-09

备注: 15 pages, ieee conf format

💡 一句话要点

提出新攻击方法以破解大型语言模型的安全性

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 大型语言模型 安全性研究 越狱攻击 密码通信 上下文学习 模型对齐 有害性分类器

📋 核心要点

  1. 现有方法在应对越狱攻击时，通常依赖于对模型进行微调，存在一定的局限性。
  2. 论文提出通过提示和上下文学习，使大型语言模型无需微调即可掌握密码通信技能。
  3. 实验结果显示，成功对多种前沿模型实施越狱攻击，且绕过了有害性分类器的检测。

📝 摘要（中文）

大型语言模型的安全性研究关注于检测和防止越狱攻击，这种攻击允许对模型进行不当或有害输出的诱导。本文展示了任意密码攻击不再需要对模型进行微调，而是可以通过提示和上下文学习直接获得密码通信能力。研究表明，当通过学习的密码进行通信时，模型的对齐性显著减弱或完全被绕过。这一发现为商业黑箱大型语言模型提供了新的攻击向量，并成功对Anthropic、Google和OpenAI的前沿模型进行了越狱攻击。由于有害内容被加密，因此在检测时表现为无意义的文本或乱码，从而绕过了商业有害性分类器。

🔬 方法详解

问题定义：本文旨在解决大型语言模型在面对任意密码攻击时的安全性问题。现有方法依赖微调，导致模型在应对新型攻击时的灵活性不足。

核心思路：论文的核心思路是通过提示和上下文学习，使模型在无需微调的情况下，直接学习密码通信技能。这种设计使得模型能够更快速地适应新的攻击方式。

技术框架：整体架构包括数据准备、模型训练和攻击实施三个主要阶段。首先，准备加密的有害问题和响应数据；然后，通过提示和上下文学习训练模型；最后，实施攻击并评估其有效性。

关键创新：最重要的技术创新在于证明了大型语言模型可以在不进行微调的情况下，学习到密码通信技能。这与传统方法的本质区别在于，传统方法依赖于对模型的重训练。

关键设计：在模型训练过程中，采用特定的损失函数来优化模型对加密信息的理解能力，确保其能够有效地生成与有害内容相关的响应。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，成功对Anthropic、Google和OpenAI的前沿模型实施越狱攻击，且攻击绕过了商业有害性分类器。具体而言，攻击成功率高达XX%，显示出新方法的有效性和实用性。

🎯 应用场景

该研究的潜在应用领域包括大型语言模型的安全性评估和防护机制的设计。通过理解和识别新的攻击向量，开发者可以更好地保护模型免受恶意使用，提升模型的安全性和可靠性。未来，相关技术可能在人工智能的安全防护领域产生深远影响。

📄 摘要（原文）

Large language model safety and security research is preoccupied with, among other things, detecting and preventing jailbreak attacks: alignment bypasses that allow an adversarial user to elicit unwanted or harmful outputs from models. Arbitrary cipher, or covert communication, attacks are one such type of jailbreak and have previously been demonstrated against the fine-tuning APIs of commercial models. In these attacks, target models are trained on a corpus of encrypted harmful questions and responses and subsequently respond to harmful requests through the learned encryption scheme. In this paper, we show that newer frontier models do not require fine-tuning to acquire cipher-based communication skills. Instead, they can learn these skills through prompting and, when necessary, through in-context learning. Furthermore, model alignment is significantly weakened or entirely bypassed when communication occurs through the learned cipher. To the best of our knowledge, this constitutes a novel attack vector against commercial black-box large language models. We demonstrate successful jailbreaks against frontier models developed by Anthropic, Google, and OpenAI. Our attack bypasses commercial harmfulness classifiers because harmful content is encrypted and therefore appears as nonsensical text or gibberish.