对抗攻击与LLM：大语言模型的对抗鲁棒性研究
引言 对抗攻击（Adversarial Attack）是指通过对输入添加人类难以察觉的微小扰动，使模型产生错误输出的攻击方式。在计算机视觉领域，对抗攻击已经研究了多年。但在大语言模型（LLM）领域，对抗攻击呈现不同的形态。 2026年，随着LLM在安全关键场景中的应用，对抗鲁棒性已经成为模型评估的重要维度。本文将深入探讨LLM面临的对抗攻击和防御策略。 一、LLM对抗攻击的独特性 1.1 与视觉对抗攻击的区别 输入空间不同 视觉：连续的像素值，可以添加微小数值扰动 文本：离散的token序列，不能"微调"token的数值 扰动不可感知性 视觉：人眼无法察觉像素级的微小变化 文本：任何token的变化都可能被人感知 攻击效果 视觉：使分类器给出错误标签 文本：使LLM产生有害输出、泄露信息或执行未授权操作 1.2 文本对抗攻击类型 字符级攻击 修改个别字符： 原始: "machine learning" 攻击: "mach1ne learn1ng" (l→1) 词级攻击 替换同义词： 原始: "This movie is terrible" 攻击: "This film is dreadful" 句子级攻击 重组句子结构： 原始: "The system was hacked by an external attacker" 攻击: "An external attacker hacked the system" Token级攻击 在token嵌入空间中寻找对抗方向： class TokenLevelAttack: def __init__(self, model): self.model = model def attack(self, input_text, target_output): """Token级对抗攻击""" tokens = tokenize(input_text) # 1. 找到最有效的token替换 for i in range(len(tokens)): # 计算替换每个token对输出的影响 candidates = self.find_replacement_candidates(tokens[i]) for candidate in candidates: perturbed = tokens.copy() perturbed[i] = candidate # 检查是否达到攻击目标 output = self.model.generate(detokenize(perturbed)) if self.is_target_output(output, target_output): return perturbed return None # 攻击失败 二、LLM特定对抗攻击 2.1 Gradient-based攻击 利用模型梯度信息构造对抗样本： ...