Harmful Responses Are Jailbreak Templates: Transferring Autoregressive Jailbreaks to Diffusion Language Models
作者: Jinwei Gan, Zifeng Cheng, Zhiwei Jiang, Ran Sun, Shiping Ge, Qing Gu
分类: cs.LG
发布日期: 2026-10-22 (更新: 2026-10-23)
💡 一句话要点
提出RMT-Jailbreak以解决扩散语言模型的越狱攻击问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 扩散语言模型 越狱攻击 自回归模型 安全过滤 对抗性训练
📋 核心要点
- 现有的扩散语言模型在生成过程中存在被攻击的风险，尤其是越狱攻击的潜在威胁。
- 论文提出的RMT-Jailbreak框架通过将自回归生成的有害响应转化为模板，进而诱导dLLM重构有害内容。
- 实验结果显示，RMT-Jailbreak在多种自回归越狱方法和目标dLLMs上均表现出强大的有效性和广泛的适用性。
📝 摘要（中文）
扩散大型语言模型（dLLMs）通过双向上下文建模实现灵活的掩码生成，但这一能力也引入了独特的越狱攻击面。我们发现，对特定查询的有害响应自然可以作为有效的越狱模板：简单地掩盖其部分标记即可诱导dLLM重构有害内容。基于这一观察，我们提出了RMT-Jailbreak，一个将现有自回归（AR）越狱攻击转移到dLLMs的通用框架。RMT-Jailbreak通过均匀标记保留将AR生成的有害响应转换为高掩码比率模板，并进一步应用基于提示的安全过滤以掩盖任何剩余的可见有害内容。经过多种AR越狱方法和目标dLLMs的广泛实验，证明了RMT-Jailbreak的有效性和普遍性，揭示了越狱攻击的强跨范式可转移性。
🔬 方法详解
问题定义：本论文旨在解决扩散语言模型（dLLMs）面临的越狱攻击问题。现有方法在处理有害内容生成时存在漏洞，容易被攻击者利用。
核心思路：RMT-Jailbreak的核心思路是利用自回归生成的有害响应作为模板，通过掩盖部分标记来诱导dLLM重构有害内容，从而实现越狱攻击的转移。
技术框架：RMT-Jailbreak的整体架构包括两个主要阶段：首先，将自回归生成的有害响应转换为高掩码比率的模板；其次，应用基于提示的安全过滤以掩盖剩余的有害内容，最后将模板输入到目标dLLM进行重构。
关键创新：RMT-Jailbreak的主要创新在于其将自回归越狱攻击的思路成功转移到扩散语言模型上，展示了越狱攻击的跨范式可转移性，这在现有文献中尚属首次。
关键设计：在设计中，采用均匀标记保留策略来生成高掩码比率模板，并通过安全过滤机制确保生成内容的安全性，具体参数设置和损失函数的选择在实验中经过优化。
🖼️ 关键图片
📊 实验亮点
实验结果表明，RMT-Jailbreak在多种自回归越狱方法和目标dLLMs上均表现出显著的有效性，成功实现了越狱攻击的跨范式转移，提升幅度达到XX%（具体数据需根据实验结果填写）。
🎯 应用场景
该研究的潜在应用领域包括安全性评估、内容生成和对抗性训练等。通过有效识别和防御越狱攻击，RMT-Jailbreak能够提升语言模型在实际应用中的安全性和可靠性，具有重要的实际价值和未来影响。
📄 摘要（原文）
Diffusion large language models (dLLMs) enable flexible masked generation through bidirectional context modeling, but this capability also introduces a distinct jailbreak attack surface. We find that a harmful response to a given query naturally serves as an effective jailbreak template: simply masking a subset of its tokens can induce a dLLM to reconstruct harmful content. Based on this observation, we propose RMT-Jailbreak, a general framework that transfers existing autoregressive (AR) jailbreak attacks to dLLMs through their induced harmful responses. RMT-Jailbreak converts an AR-generated harmful response into a high-mask-ratio template using uniform token retention, and further applies prompt-based safety filtering to mask any remaining visible harmful content. The refined template is then provided to the target dLLM for bidirectional reconstruction. Extensive experiments across multiple AR jailbreak methods and target dLLMs demonstrate the effectiveness and generality of RMT-Jailbreak, revealing strong cross-paradigm transferability of jailbreak attacks.