模型操纵攻击支持更严格的 LLM 能力评估

基于摘要分析。本文研究 LLM 有害能力移除后的评估可靠性，提出将修改潜在激活或权重的模型操纵攻击作为输入空间攻击的补充，以探查仅靠输入搜索可能未能暴露的有害能力。 核心机制：常规评估寻找能够诱发有害行为的输入，但某次评估发现的有害行为只能为模型最坏情形下的行为提供下界，不能据此排除更严重的风险。模型操纵攻击扩大了能力诱发的干预范围，从输入延伸到模型内部激活与权重。这里评估的是能力在额外干预下能否重新显现，并不等同于未经模型修改时的部署风险。 评估与结果：作者报告，使用一组包含 5 种输入空间攻击和 5 种模型操纵攻击的攻击套件，测试了 8 种移除 LLM 有害能力的技术。在该评估范围内，作者报告模型对能力诱发攻击的抵抗性位于低维鲁棒性子空间；模型操纵攻击的攻击成功率（ASR）可帮助预测留出输入空间攻击的 ASR，并构建偏保守的高侧估计。作者还报告，所测试的先进机器遗忘方法可在 50 步以内的 LoRA 微调中被逆转；这一结论应限定于文中测试的模型、遗忘方法与微调条件，不能推广为所有机器遗忘方法均可如此恢复。 局限与核对事项：摘要未提供具体模型、任务或数据集、各攻击的实现方式、ASR 数值、留出攻击的划分方式，以及 LoRA 微调的数据和配置。实验协议、消融及统计信息尚未验证，尤其需要核对低维子空间结论的分析方法，以及高侧估计能否在不同模型与攻击分布下保持保守性。本文主要贡献是 LLM 安全能力评估方法；现有材料未建立其与 EEG/BCI 的具体机制对应关系，因此不据此提出迁移效果或复现实验建议。