Why Jailbreaks Succeed in Diffusion Language Models: An Energy Landscape Analysis

📄 arXiv: 2609.30841v1 📥 PDF

作者: Thong Bach, Dung Nguyen, Thao Minh Le, Truyen Tran

分类: cs.AI

发布日期: 2026-09-25

备注: 27 pages, 10 figures

期刊: NeurIPS 2026

💡 一句话要点

通过能量景观分析提出新方法以解释扩散语言模型的越狱成功原因

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 扩散语言模型 安全对齐 能量景观 攻击检测 无训练信号 去噪过程 模型防御 人工智能安全

📋 核心要点

  1. 现有方法针对扩散语言模型的攻击和防御缺乏统一框架，难以解释攻击成功的原因。
  2. 本文提出通过塑造去噪能量景观来理解安全对齐，提出三种无训练检测信号以识别攻击意图。
  3. 在对多个dLLMs进行评估时，发现每种逃避检测的配置都未能产生有害内容，表明检测与越狱阈值难以分离。

📝 摘要（中文）

现有针对扩散基础的大型语言模型（dLLMs）的攻击和防御方法主要针对特定漏洞，但缺乏统一框架来解释攻击成功的原因。本文通过将安全对齐解释为塑造去噪能量景观，提出了一种新方法。研究表明，当前的越狱攻击主要通过两种策略绕过能量障碍：在初始化时模糊查询的安全属性，或在去噪路径中途干预以强制穿越能量障碍。基于这一视角，本文提出了三种互补的无训练检测信号，并在多个dLLMs上进行了评估，结果表明这些信号在检测和越狱阈值之间存在显著的互补性。

🔬 方法详解

问题定义：本文旨在解决现有扩散语言模型在攻击和防御方面缺乏统一解释框架的问题。现有方法主要针对特定漏洞，无法全面理解攻击成功的机制。

核心思路：论文提出将安全对齐视为塑造去噪能量景观，认为一个良好对齐的模型能够通过能量障碍将有害查询引导至安全输出。

技术框架：整体架构包括三个主要模块：1) 初始安全属性的读取；2) 轨迹速度信号的监测；3) 能量预算的互补覆盖。通过这三个模块，能够有效检测攻击意图并评估能量消耗。

关键创新：论文的主要创新在于提出了三种互补的无训练检测信号，能够在不同的子空间中监测攻击意图，与现有方法相比，提供了更全面的检测能力。

关键设计：关键设计包括步-0比率用于读取初始安全属性，以及两个轨迹速度信号用于跟踪去噪过程中的动能变化。这些设计确保了信号在能量预算中的互补性，覆盖了彼此的盲点。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果显示，在对三种密集型dLLMs（LLaDA-8B、LLaDA-1.5、Dream-7B）和一种稀疏混合专家dLLM（LLaDA-MoE-7B）进行评估时，提出的检测信号在识别攻击意图方面表现出显著的互补性。所有逃避检测的配置均未能产生有害内容，表明检测与越狱阈值之间的关系复杂。

🎯 应用场景

该研究的潜在应用领域包括安全性检测、自然语言处理和人工智能模型的防御机制。通过提供一个统一的框架，能够帮助研究人员和工程师更好地理解和应对扩散语言模型中的安全挑战，提升模型的可靠性和安全性。

📄 摘要（原文）

Existing attacks and defenses for diffusion-based large language models (dLLMs) target specific vulnerabilities but lack a shared framework explaining why attacks succeed. We propose one by interpreting safety alignment as shaping the denoising energy landscape: a well-aligned model routes harmful queries toward safe outputs through an energy barrier that separates the two regions. Current jailbreak attacks reduce to two strategies for circumventing this barrier: obscuring the query's safety disposition at initialisation, or intervening mid-trajectory to force the denoising path across the energy barrier. From this perspective and the result that masked diffusion models minimise kinetic energy during denoising, we derive three complementary, training-free detection signals: a step-0 ratio that reads the initial safety disposition from the logit distribution before generation begins, and two trajectory-velocity signals that track kinetic energy in complementary subspaces of the logit space. An attack must either reveal its intent at initialisation or expend kinetic energy to cross the barrier in at least one monitored subspace, so the three signals cover each other's blind spots in the energy budget by construction. Evaluation across three dense dLLMs (LLaDA-8B, LLaDA-1.5, Dream-7B) and a sparse mixture-of-experts dLLM (LLaDA-MoE-7B) confirms this complementarity. In stress tests of known attacks, every configuration that evades detection also fails to produce harmful content, suggesting that the detection and barrier-crossing thresholds are hard to separate.