字符级越狱为何有效：BPE 把安全关键词切碎了

这是什么？

凡是见过聊天机器人拒绝”如何制造炸弹”、却回答”如何制造炸d弹”的人，都熟悉这种现象。字符级的小把戏——随机大小写、leetspeak、插入空格、字母打乱——能够绕过安全对齐，尽管人类阅读这些请求毫无障碍。两年来这一直是一个经验性的怪现象。2026 年 7 月发表于 arXiv、由 Palo Alto Networks 研究者撰写的论文《Breaking Safety at the Token Boundary》把这一怪现象转化为一个可证伪的机制，并且对防御者更有用的是，说明了为何那些显而易见的修复方法并不能干净地奏效。

其论断是结构性的，而非针对某个模型：字节对编码（BPE）——几乎所有现代模型底层的分词器——会把安全关键词切成陌生的子词碎片，而这些模型训练所用的对齐数据中不含任何有意切碎的样本。模型在预训练阶段学会了理解嘈杂文本，但它只学会了拒绝干净文本。

工作原理

作者将其表述为一条每个环节都可被证伪的链条，并在五个模型家族（Qwen-3-4B、Qwen-2.5-7B、Gemma-3-4B、Llama-3.1-8B、Mistral-7B）上逐环节测试。

先从分词说起。仅仅改动一个字符就可能重排整个 BPE 词元序列。插入空格是一个干净的探针：空格会在合并查找之前触发预分词切分，因此它必然会切碎一个词元，同时保留每一个原始字符。在 50 条 HarmBench 提示上，五个家族在其最初拒绝的提示中，至少 80% 从倾向拒绝的首词元翻转为倾向顺从的首词元（分别为 84%、86%、92%、80% 和 100%）。

下一个环节是模型内部的定位。拒绝行为由最后约 30% 层中的一个信号中介——这与先前研究一致：拒绝由残差流中的单一方向承载，且安全行为集中在生成的最初若干词元上。激活修补（activation patching）将扰动定位于此，定向变异则将安全词本身而非周围文字隔离为失效点。

最后一个环节是行为。一个直接以切碎安全词元为目标的优化，使 80%–100% 被拒绝提示的首词元拒绝触发器发生翻转，其中 48% 的翻转产生了真正有害的补全（各模型为 29%–65%）。仅看触发器翻转会高估风险——作者谨慎地区分信号与行为——但大约一半情况下翻转是真实的。对三个公开对齐数据集的扫描，在 30,000 个样本中未发现任何有意切碎的提示，这以”缺失分布”解释了整个效应。

为何重要

这把一堆”混淆型”越狱——leetspeak、空格、打乱、对扰动的 Best-of-N 采样——重新表述为单一根因的症状，而非一串互不相关的把戏。对任何将模型内建拒绝作为安全层的人而言，这很重要：拒绝绑定于有害短语的词元形态，而非其含义，因此任何在保留人类可读性的同时改变分词的变换，往往能长驱直入。它与模型无关，其较廉价的版本无需权重或梯度，对开源与托管模型同样适用。诚实的边界：最强的结果来自白盒优化，该效应是概率性绕过而非必然，且它降级的是一个内建护栏，而非单凭自身授予新的系统访问权限。

防御

该论文对从业者最有价值的贡献，是揭示两种直觉修复并非免费：

• 不要把再训练当作已解决的修复。 在一个 68 单元格的网格（55 个训练检查点）中，没有任何 DPO 配置能在各家族间稳定地封堵该攻击。在切碎提示上做监督微调确实在五个家族中的三个上封堵了它——但仅仅是通过整体抬高拒绝率来实现，连良性请求也一并拒绝。缺失的分布是必要但不充分的；朴素的数据增强以过度拒绝为代价换取安全。
• 明确度量过度拒绝。 作者引入了配对的良性诊断（Conv-Benign），正是为了抓出那些靠让模型”什么都拒绝”来”奏效”的修复。任何针对此进行加固的团队，都应在跟踪攻击成功率的同时跟踪良性拒绝率，而不仅仅是前者。
• 规范化并检查输入分词。 由于线索是异常的分词切碎，一个统计每词元字符数的输入过滤器可以在提示抵达模型之前标记出混淆提示（参见 Broken-Token 系列工作）。在安全分类之前，对空格、大小写与同形字符做规范化。
• 在首词元之外更深地防御。 由于拒绝信号集中在最后若干层与最初生成的词元上，应以推理期防御（输入平滑、安全感知解码、潜在对抗训练）加以补充，并在更长期采用对分词鲁棒或无分词器的架构。
• 保持分层护栏。 把模型原生拒绝视作众多控制之一——独立的输出分类器与最小权限的工具作用域并不共享这一分词盲点。

状态

项目	详情
发现	字符级越狱源于安全词元的 BPE 切碎
来源	《Breaking Safety at the Token Boundary》，Palo Alto Networks，arXiv 2026 年 7 月
测试对象	Qwen-3-4B、Qwen-2.5-7B、Gemma-3-4B、Llama-3.1-8B、Mistral-7B（外加 Qwen-2.5-72B 跨规模）
触发器翻转	被拒绝的 HarmBench 提示的 80%–100%；48% 产生有害输出
定位	最后约 30% 的层；安全词被隔离为失效点
防御结果	DPO：无稳定封堵；SFT-aug：封堵 3/5 家族，但以整体过度拒绝为代价
类型	对齐的结构性弱点（无 CVE；研究发现）