Harmful Responses Are Jailbreak Templates: Transferring Autoregressive Jailbreaks to Diffusion Language Models

📄 arXiv: 2610.31331v1 📥 PDF

作者: Jinwei Gan, Zifeng Cheng, Zhiwei Jiang, Ran Sun, Shiping Ge, Qing Gu

分类: cs.LG

发布日期: 2026-10-22

💡 一句话要点

提出RMT-Jailbreak以解决扩散语言模型的越狱攻击问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 扩散语言模型 越狱攻击 自回归模型 安全过滤 内容生成

📋 核心要点

  1. 现有的扩散语言模型在处理有害内容时面临越狱攻击的挑战，传统方法难以有效防范。
  2. 本文提出RMT-Jailbreak框架，通过将自回归越狱攻击转移至扩散语言模型，利用有害响应生成越狱模板。
  3. 实验结果显示，RMT-Jailbreak在多种自回归越狱方法和目标dLLMs上均表现出色，验证了其强大的跨范式转移能力。

📝 摘要（中文）

扩散大型语言模型（dLLMs）通过双向上下文建模实现灵活的掩码生成，但这一能力也引入了独特的越狱攻击面。研究发现，针对特定查询的有害响应可以作为有效的越狱模板。基于此，本文提出了RMT-Jailbreak框架，将现有的自回归（AR）越狱攻击转移至dLLMs。该方法通过均匀的令牌保留将AR生成的有害响应转换为高掩码比率的模板，并进一步应用基于提示的安全过滤来掩盖任何剩余的可见有害内容。经过多种AR越狱方法和目标dLLMs的广泛实验，验证了RMT-Jailbreak的有效性和通用性，揭示了越狱攻击的强跨范式可转移性。

🔬 方法详解

问题定义：本文旨在解决扩散语言模型（dLLMs）面临的越狱攻击问题。现有方法在应对有害内容生成时存在不足，难以有效防范越狱攻击的发生。

核心思路：RMT-Jailbreak的核心思路是利用已有的自回归（AR）生成的有害响应，构建高效的越狱模板。通过掩盖部分令牌，诱导dLLM重构有害内容，从而实现越狱。

技术框架：RMT-Jailbreak的整体架构包括三个主要阶段：首先，将AR生成的有害响应转换为高掩码比率的模板；其次，应用基于提示的安全过滤，掩盖剩余的有害内容；最后，将精炼后的模板输入目标dLLM进行双向重构。

关键创新：RMT-Jailbreak的主要创新在于其将自回归越狱攻击成功转移至扩散语言模型，展示了越狱攻击的跨范式转移能力，这在现有文献中尚属首次。

关键设计：在设计中，采用均匀的令牌保留策略以确保模板的高掩码比率，并通过安全过滤机制进一步提升模板的安全性。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

实验结果表明，RMT-Jailbreak在多种自回归越狱方法和目标dLLMs上均表现出显著的效果提升，成功实现了越狱攻击的跨范式转移，验证了其在实际应用中的有效性。

🎯 应用场景

该研究的潜在应用领域包括安全性评估、内容过滤和人工智能伦理等。通过有效识别和防范越狱攻击，RMT-Jailbreak能够提升扩散语言模型在实际应用中的安全性，确保其生成内容的可靠性和合规性。

📄 摘要（原文）

Diffusion large language models (dLLMs) enable flexible masked generation through bidirectional context modeling, but this capability also introduces a distinct jailbreak attack surface. We find that a harmful response to a given query naturally serves as an effective jailbreak template: simply masking a subset of its tokens can induce a dLLM to reconstruct harmful content. Based on this observation, we propose RMT-Jailbreak, a general framework that transfers existing autoregressive (AR) jailbreak attacks to dLLMs through their induced harmful responses. RMT-Jailbreak converts an AR-generated harmful response into a high-mask-ratio template using uniform token retention, and further applies prompt-based safety filtering to mask any remaining visible harmful content. The refined template is then provided to the target dLLM for bidirectional reconstruction. Extensive experiments across multiple AR jailbreak methods and target dLLMs demonstrate the effectiveness and generality of RMT-Jailbreak, revealing strong cross-paradigm transferability of jailbreak attacks.