0.25秒识破未见攻击，这套检测方法没看过任何越狱样本 | EMNLP'26

大视觉语言模型（LVLM）把语言理解扩展到了图像等多模态输入，同时，也带来了更隐蔽的攻击面。

越狱检测的核心困难并不只是判断“输入是否有害”，而是判断一个表面上经过伪装、重写或视觉扰动的输入，是否正在诱导模型绕过安全边界。现实中的攻击形式不断变化，检测器很难提前穷举未来攻击。

学习式检测方法可在已见攻击上获得较高准确率，但容易记住攻击特征，面对新攻击时泛化受限；免训练方法通过人工规则、拒答词或梯度特征规避攻击数据依赖，却可能在复杂场景中精度不足，并带来额外计算开销。

LoD包含表示学习与攻击分类两个模块。前者寻找模型内部真正与安全相关的信号，后者学习安全信号的典型分布；二者协同避免了直接使用高维激活的噪声，也避免为每一种攻击单独设计检测规则。

给定多模态输入I，LoD读取各层最后一个输入token的隐藏状态eˡ。这些激活同时包含语义、视觉结构、情感和安全风险等信息，因此不能直接拼接后用于检测。

团队在每一层训练轻量线性分类器Cˡ，用安全输入与普通有害输入学习安全相关方向。分类器输出的不安全概率构成逐层安全表征；验证准确率达到P0=0.9的层进入安全感知层集合Ls，从而过滤任务无关噪声。

SPAE采用三层全连接编码器与对称解码器，仅用安全输入的安全表征训练。编码器压缩跨层安全模式，解码器尝试还原；安全输入位于学到的安全流形附近，因此通常能被准确重构。

测试时，LoD生成安全表征Sr并计算SPAE重构误差δ。低误差表示输入接近安全分布；高误差表示内部安全模式异常，δ超过阈值τ时标记为攻击。在线检测不需要反向传播，也不修改自回归解码。

模型覆盖LLaVA-1.6-vicuna-7B、Qwen2.5-VL-7B-Instruct和CogVLM-chat-v1.1。攻击覆盖四类提示操纵方法FC-Attack、JOOD、HADES、MML，以及两类对抗扰动方法VAJM、UMK；对比基线为MirrorCheck、CIDER、JailGuard、GradSafe与HiddenDetect。

论文通过移除不同模块，验证MSCAV表征学习与SPAE异常检测的作用。

AUROC衡量所有阈值下的整体排序能力。为贴近实际部署，论文还报告FPR=0.01时的TPR和固定阈值下的F1。LoD在三种模型上的平均F1分别达到0.949、0.947和0.921；在极低误报约束下，平均TPR分别为0.487、0.764和0.717。严格阈值下MML仍较困难，说明实际部署需要结合风险容忍度选择τ。

在扩展攻击样本规模的实验中，LoD的平均AUROC分别为0.9829、0.9841和0.9698，与主实验基本一致，说明结果并非由小样本或特定抽样偶然造成。

论文进一步测试MMMU中艺术、计算机科学和数学等正常OOD输入。三种模型的正常/OOD平均异常分数大约位于0.03-0.13，而攻击数据的均值范围约为0.22-0.90，显示复杂但无害的分布外问题通常不会被误判为攻击。

将普通有害提示从AdvBench替换为HarmBench后，三种模型的平均AUROC为0.9844、0.9842和0.9848；向SPAE加入有害表征也没有一致收益，支持仅建模安全样本的一类学习设计。

LoD不学习具体攻击，而是用MSCAV提炼逐层安全信号，并由SPAE度量输入对安全模式的偏离。在不使用越狱攻击数据的情况下，它在六类未见攻击上获得稳定的准确率、泛化和效率表现，说明模型内部安全表征可用于未知威胁检测。

论文标题：Learning to Detect Unseen Jailbreak Attacks in Large Vision-Language Models
论文作者：Shuang Liang、Zhihao Xu、Jiaqi Weng、Jialing Tao、Hui Xue、Xiting Wang；中国人民大学与阿里巴巴集团；通讯作者：Xiting Wang
录用信息：EMNLP 2026 Main Conference接收
论文链接：https://arxiv.org/pdf/2508.09201
代码链接：https://github.com/ShuangLiangX/Learning-to-Detect