HE-Guardrail: A Homomorphic Guardrail Against Jailbreak Attacks for Encrypted Large Language Model Inference

📄 arXiv: 2609.21484v1 📥 PDF

作者: Byeongseo Min, Yongwoo Lee, Young-Sik Kim, Yongjune Kim

分类: cs.CR, cs.AI

发布日期: 2026-09-18

💡 一句话要点

提出HE-Guardrail以解决HE-LLM推理中的监测漏洞问题

🎯 匹配领域: 支柱五：交互与反应 (Interaction & Reaction) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 同态加密 隐私保护 机器学习 安全性监测 对抗性攻击 加密数据 保护机制 大语言模型

📋 核心要点

  1. 现有的HE-LLM推理方法存在安全漏洞，恶意客户端可以利用加密特性进行越狱攻击，服务器无法检测这些攻击。
  2. 本文提出HE-Guardrail框架，通过在加密数据上评估保护机制，控制模型响应的返回，从而增强安全性。
  3. 实验结果显示，HE-Guardrail在加密域中能够有效再现明文保护机制的决策，并在安全性和效率之间取得良好平衡。

📝 摘要（中文）

同态加密（HE）作为一种隐私保护机器学习（PPML）的方法，允许在加密数据上直接进行计算。然而，现有的HE-LLM推理存在安全漏洞，恶意客户端可以提交对抗性提示（如越狱攻击），而服务器无法检测这些攻击。为了解决这一问题，本文提出了HE-Guardrail框架，该框架在完全加密的数据上评估保护机制，并同态控制是否将目标模型的响应返回给客户端。通过与三种代表性保护机制（Llama Guard、JBShield和GradSafe）的实例化，实验结果表明HE-Guardrail能够在加密域中紧密再现相应明文保护机制的决策，并展现出独特的安全性、效率和实用性权衡。

🔬 方法详解

问题定义：本文旨在解决HE-LLM推理中的安全漏洞，恶意客户端可以提交对抗性提示，服务器无法检测或阻止这些攻击。现有方法在保护用户隐私的同时，未能有效监测潜在的安全威胁。

核心思路：HE-Guardrail框架的核心思想是通过在加密数据上实现保护机制，允许服务器在不解密数据的情况下控制模型的响应，从而防止恶意提示的影响。

技术框架：HE-Guardrail的整体架构包括三个主要模块：加密输入的接收、保护机制的评估以及响应的控制。每个模块均在加密状态下操作，确保数据隐私。

关键创新：HE-Guardrail的主要创新在于其能够在加密域中实现保护机制的有效评估，与现有方法相比，能够在不解密数据的情况下提供安全性监测。

关键设计：在设计中，HE-Guardrail采用了三种代表性保护机制（Llama Guard、JBShield和GradSafe），并通过调整参数和损失函数，优化了安全性、效率和实用性之间的权衡。具体的网络结构和参数设置在实验部分进行了详细描述。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果表明，HE-Guardrail在加密域中能够有效再现明文保护机制的决策，且在安全性、效率和实用性之间实现了良好的权衡。具体而言，与基线方法相比，HE-Guardrail在防御越狱攻击方面的成功率显著提高，展示了其在实际应用中的有效性。

🎯 应用场景

HE-Guardrail的研究成果在多个领域具有潜在应用价值，尤其是在需要保护用户隐私的场景中，如金融、医疗和社交媒体等。通过增强对抗性攻击的检测能力，该框架能够提升加密机器学习模型的安全性，确保用户数据的安全与隐私。未来，HE-Guardrail有望成为隐私保护机器学习领域的重要工具，推动相关技术的发展与应用。

📄 摘要（原文）

Homomorphic encryption (HE) has emerged as a promising approach to privacy-preserving machine learning (PPML), enabling computation directly over encrypted data. In HE-based PPML, a client submits an encrypted input to the server, which evaluates models such as large language models (LLMs) without access to the underlying plaintext. However, we identify a critical security vulnerability in this setting: HE-LLM inference is vulnerable to malicious clients that submit adversarial prompts, such as jailbreak attacks. The same confidentiality that protects benign clients also prevents the server from inspecting incoming prompts or generated responses, making adversarial attempts difficult to detect or block and potentially allowing successful attacks to remain entirely invisible to the server. To address this vulnerability, we propose HE-Guardrail, a framework that evaluates guardrail mechanisms entirely over encrypted data and homomorphically controls whether the target-model response is returned to the client. We instantiate HE-Guardrail with three representative guardrails - Llama Guard, JBShield, and GradSafe. Our results show that HE-Guardrail closely reproduces the decisions of the corresponding plaintext guardrails in the encrypted domain, with distinct security-efficiency-utility trade-offs.