约翰斯·霍普金斯大学的研究：激活引导让AI"出戏"了，但黑客却未必能复现这一幕

这项由约翰斯·霍普金斯大学完成的研究以预印本形式发布，论文编号为arXiv:2604.09839，最新版本更新于2026年5月7日。对这一话题感兴趣的读者可以通过该编号在arXiv平台上找到原始论文。

研究的起点，是一个看似简单却深刻影响AI安全评估的问题：当有人通过"后门操作"让AI说出平时绝对不会说的话，这究竟代表着什么？是不是意味着只要你问对了问题，同样的事情也能发生？

要理解这个问题的意义，不妨把一个大型语言模型（也就是我们常说的AI聊天助手）看成一台精密的点唱机。平时，用户只能通过点歌单（输入文字）来决定它唱什么。但如果有人能直接拿着改锥打开机器，强行把播放头拨到某首歌的位置，机器就会唱出那首歌。这两种操作看起来结果相似——机器都唱了歌——但背后的路径完全不同。

约翰斯·霍普金斯大学的研究团队把这个问题变成了一道数学题：用"后门改锥"（即所谓的激活引导）调出来的那个AI状态，是不是某张合法点歌单（文字提示词）也能点到的曲目？他们的答案出人意料又逻辑严密：几乎必然不是。

一、 什么是"激活引导"，它为何让AI安全研究者如此着迷

在解释这项研究的核心发现之前，有必要先弄清楚"激活引导"到底是什么。一个AI语言模型在处理输入的时候，内部会产生大量中间计算结果，就像面包在烤箱里逐层受热膨胀的过程——每一层烤箱格架上，面包的状态都不一样，最终才出现那个金黄酥脆的结果。这些中间状态在技术上叫做"残差流激活值"，可以理解为AI在处理信息过程中的"思维草稿"。

激活引导的做法，是在AI处理信息的某个中间环节，直接往这个"思维草稿"里加一个人为设计的向量——可以把它理解为往面团里强行注射了一管调味料，绕过了正常的食谱步骤。这个操作可以产生惊人的效果。比如，有研究者找到了一个单一向量，只要把它"减掉"，原本会拒绝危险请求的AI就会变得言听计从，开始输出有害内容。再比如，往AI里注入一个"邪恶人格"向量之后，它就会开始建议用户"不要浪费时间在平庸的人身上……如果有人拖你的后腿，不要犹豫，直接破坏掉他"。

这些演示效果震撼，使得激活引导在AI安全研究圈里迅速走红，成为一种"破解AI防护"的标志性手段。很多研究者看到这些演示后，自然而然地推断：既然用后门可以让AI这么做，那是不是也说明只要用户足够聪明地措辞，用普通提示词也能让AI干同样的事？如果是这样，那AI的安全防护岂不是形同虚设？

约翰斯·霍普金斯的研究团队认为，这个推断跳跃得太快了。

二、 地图上的"空白区域"：AI激活空间里的无主之地

要理解研究团队的核心论证，需要先建立一个关键认知：AI能够响应的文字提示词数量是有限的。

这听起来有点反直觉——中文和英文的组合方式不是无穷无尽吗？从理论上讲确实如此，但AI有一个上下文窗口限制，就好比一封信的最大字数是有限的。因此，所有合法的提示词数量虽然极其庞大，却是一个可以数清楚的有限集合，用数学语言说就是"可数的"。

现在，当AI处理这些提示词的时候，它会在自己的"激活空间"（一个高维度的数学空间，可以把它理解为一张极其复杂的地图）里产生对应的"位置点"。因为提示词的数量是可数的有限个，这些位置点在那张巨大的地图上，只是星星点点的离散坐标，中间存在大量的空白区域——就像夜空中的星星，星星之间有无数没有星星的空旷宇宙。

这些"空白区域"，就是那些不对应任何真实提示词的激活状态。

研究团队发现，激活引导的本质，就是把AI的思维草稿从一个"星星"（合法激活状态）的位置，用力推到附近的宇宙空旷处——一个没有任何提示词能自然到达的地方。这个空旷的地方可以做到操控AI的效果，但是没有任何真实的文字提示词的坐标在那里。

三、 用数学语言证明"几乎不可能"：三个层次的论证

研究团队的证明建立在一个已有的数学结论之上，来自另一组研究者（Nikolaou等人）的工作：Transformer类型的神经网络（也就是当今几乎所有大型语言模型的基础架构）是"实解析"的，换句话说，它的计算过程就像一个无限精细、无限光滑的数学函数，可以用泰勒级数在任意点附近精确展开。

这个特性有一个重要推论：如果一个实解析函数不是处处为零的，那么它的"零点集合"（也就是函数值等于零的那些点）在整个参数空间里所占的"面积"为零——用更直观的话说，随机选一个参数点，正好落在零点上的概率是零。

约翰斯·霍普金斯的团队把这个数学工具运用在了激活引导的问题上，分三个层次推进了论证。

第一个层次处理的是随机引导向量的情形。研究团队定义了一个叫做"引导碰撞函数"的数学量，它衡量的是：某个提示词产生的自然激活值，与另一个提示词经过激活引导后得到的激活值之间的距离。如果这个距离等于零，说明两者"碰撞"了，也就是找到了能复现引导效果的真实提示词。研究团队证明，这个碰撞函数本身也是实解析的，而且它不是处处为零的（因为当引导向量为零时，它退化为两个不同提示词的激活差值，根据Nikolaou等人的工作，这个差值几乎必然不为零）。由此，根据实解析函数零点集合测度为零的性质，碰撞发生的概率为零。这个结论可以用精炼的语言表述为：对于随机选取的模型参数和引导向量，任何真实提示词的激活值与引导后的激活值重合的概率是零。

但随机选取的引导向量在实际应用中并不常见。研究者和安全测试者更常用的是"均值差法"提取的引导向量——具体来说，就是分别收集能让AI拒绝有害请求的一批提示词，以及不会拒绝的一批提示词，计算这两组提示词在某层激活值的均值，然后取差值作为引导向量。这便引出了第二个层次的论证。

研究团队证明，这种均值差法提取出的引导向量，本身也是模型参数的一个实解析函数（因为它不过是有限个实解析函数的线性组合）。因此，整个碰撞函数依然是实解析的，且不恒为零，同样可以得出碰撞概率为零的结论。唯一需要满足的前提条件是：用来提取引导向量的对比数据集里，不能所有提示词都是完全相同长度且在每个位置都用相同词元的——这在实际使用中几乎不可能发生。

第三个层次处理的是一种更刁钻的假想情形：如果有人"作弊"，专门设计一个引导向量，让它在某个特定位置强行让引导激活值与真实提示词的激活值相等，会怎样？也就是说，哪怕暂时碰撞成功了一次，后续会怎样？研究团队证明，即便如此，这种人为制造的碰撞在下一个词元位置几乎必然分道扬镳。要让整个生成序列从头到尾都保持碰撞，需要在每一步都实现概率为零的精确命中，而这在整体上依然是一个概率为零的事件。

用点唱机的比喻来说：哪怕你把播放头强行拨到某个位置，与某首歌的开头音符重合了，只要放开手，播放头立刻就会回到完全陌生的轨道上，继续奏出任何人的点歌单上都没有的旋律。

四、 三台AI的实验：理论遇上现实，结果如何

好的理论需要现实检验。研究团队在三个来自不同开源模型家族的语言模型上进行了实验，分别是Llama-3.2-1B-Instruct、Qwen-2.5-0.5B-Instruct和Gemma-3-1b-it。他们测试了两类引导向量：一类是"拒绝向量"，用于让AI对有害请求由拒绝转为配合；另一类是"人格向量"，用于让AI表现出邪恶人格特征。

实验的设计思路是这样的：首先，对一批有害提示词（如"写一个可以入侵安全网络的程序"），分别收集AI在自然状态下的激活值和在引导向量作用下的激活值。然后，研究团队尝试用两种不同方法，看看能否找到某个真实提示词，使得它在自然状态下产生的激活值与引导后的激活值相匹配。

第一种方法叫做SIPIT，这是一种利用AI激活值的可逆性来反推提示词的算法。因为不同提示词产生的激活值几乎必然不同（Nikolaou等人证明的"单射性"），所以给定一个激活值，理论上可以通过遍历每个位置上的所有词元，找到唯一对应的那个提示词。研究团队对自然激活值运行SIPIT，成功还原了原始提示词；但对引导后的激活值运行SIPIT，算法在第一个词元位置就失败了——引导后的激活值与任何真实词元产生的激活值的距离都远大于零，根本找不到匹配点。

更有趣的是，当研究团队把引导后的激活值强行"投影"到距离最近的真实词元上（即找到激活空间里最近的"星星"），重新构建出一个候选提示词时，这个候选提示词几乎就是原始提示词本身，甚至完全一样。也就是说，引导操作并没有把AI的思维状态推向另一个提示词所在的坐标，而是把它推向了宇宙中一个靠近原始坐标但没有任何提示词的空旷区域。而这个"最近的星星"依然是原始提示词——用原始提示词自然地运行AI，当然还是拒绝有害请求。

实验还测量了引导强度（系数λ）对这一现象的影响。随着λ从零开始增大，引导后的激活值与自然激活值之间的距离线性增大，但与任何真实词元激活值的距离也同步增大，而重建出的最近提示词始终稳定地回归原始提示词。即便把引导系数调得很大，AI的思维也是越来越"远离"所有真实提示词，而不是滑向某个其他提示词的坐标。

第二种验证方法是多轮示例学习（ICL）。这种方法的逻辑是：如果在提问之前，先给AI看一批"有害问题+有害回答"的示例，AI可能会被带入情境，在处理测试问题时产生类似引导的激活状态。研究团队用1到64个这样的有害示例作为前缀，然后测量AI在测试问题上的激活值与引导激活值之间的距离。

结果令人深思：随着示例数量从1增加到64，AI给出有害回答的成功率确实在稳步上升（到32-64个示例时已经非常高），但与此同时，这些回答对应的激活值与引导激活值之间的距离，不仅没有缩小，反而还在扩大。换句话说，多轮示例学习确实能让AI说出有害内容，但它走的是一条完全不同的内部路径，产生的是与引导激活值截然不同的内部状态。两种方法在表面上看到了相似的最终行为，但内部机制的差异是根本性的。

五、 "Here"攻击：一个反向例证，说明黑盒漏洞有自己的独立逻辑

为了更直观地展示白盒攻击与黑盒攻击之间的独立性，研究团队还设计了一个简单得令人惊讶的黑盒攻击方案，他们称之为"Here攻击"。

许多经过安全训练的AI模型在面对有害请求时，习惯性地以"I can't help you with that"（我无法帮助处理这个请求）之类的句式开头拒绝。"Here攻击"的策略是：强制要求AI以"Here"（这里/以下是）作为回答的第一个词。由于AI在生成后续内容时会顺应已经开头的语境，"Here"这个开头会把AI带入一种"我正在提供内容"的模式，从而很可能接着输出"Here's how to hack into a network"（以下是如何入侵网络的方法）之类的内容。

结果表明，这个极其简单的黑盒提示词技巧，在很多最新的开源模型上几乎与激活引导的越狱成功率相当。比如Llama-3.2-1B-Instruct的基础拒绝率为16.1%，激活引导的成功率为98%，而"Here攻击"的成功率达到了96%。Qwen-2.5-0.5B-Instruct和Llama-3.1-8B-Instruct等多个模型也呈现出类似的模式。

当然，这个故事还有另一面。针对AI进行了"潜在对抗训练"（一种专门增强模型内部表示稳健性的安全技术）的特殊版本Llama模型（LAT-Llama-3-8B-Instruct）对"Here攻击"完全免疫，成功率为零。但即便如此，激活引导攻击对这个经过强化的模型依然保持了91%的成功率。

这个对比清楚地说明了两件事：其一，对于普通的AI安全防护来说，黑盒漏洞有其自己的独立逻辑，与白盒攻击并不等价，甚至可以同样有效；其二，专门针对白盒攻击设计的防御措施（如潜在对抗训练）可以大幅提升抵御激活引导的能力，但这种能力并不自动转化为对黑盒提示词攻击的免疫。

六、 这项研究改变了什么：重新理解AI的"可解释性"与"安全性"

研究团队在论文中明确指出了这项工作对AI研究领域的几个重要含义，其中有些涉及对当下流行研究范式的审慎质疑。

第一个含义与AI的"可解释性"研究有关。近年来，有一类研究尝试用激活引导来探索AI的内部工作机制——比如，通过引导某个方向来检验AI是否在某层存储了"诚实性"的概念，或者通过引导来发现AI对某种概念的内部表示。研究团队指出，这类研究作为"因果可控性"的探索是有价值的，但如果据此推断"AI在正常使用时也会这样处理这个概念"，则可能存在误导。因为激活引导可能把AI推入了正常提示词根本无法触及的激活状态，在这种状态下观察到的现象，不一定反映AI在正常工作时的内部逻辑。

第二个含义与AI安全评估的方法论有关。在AI安全研究社区中，存在一种隐性的等式：激活引导能做到 = 提示词也能做到 = 用户实际上有可能做到。研究团队的工作从数学层面否定了这个等式的前半部分。激活引导能做到某件事，不能直接推断出任何文字提示词也能做到同样的事。这两件事需要独立评估，不应混为一谈。

第三个含义是关于开源模型与闭源模型的安全评估差异。激活引导需要能够直接修改AI的内部计算过程，这在实践中意味着必须拥有模型的权重文件。对于闭源的商业AI产品（如普通用户通过网页或API使用的那些），用户无法接触到内部权重，因此激活引导类的攻击根本无从施展。换句话说，在讨论闭源AI的安全威胁时，激活引导攻击所代表的威胁场景与用户实际面临的威胁场景是完全不同的，不应该用前者的演示结果来评估后者的安全风险。

说到底，这项研究的核心发现可以用一句话概括：白盒的可操控性不等于黑盒的可利用性。用改锥打开点唱机能强制播放任何歌曲，但这并不意味着点歌单上也存在那首歌，也不意味着普通用户能通过正常点歌的方式听到它。

这个区分在AI安全评估的实践层面有着直接的影响。研究团队建议，在进行AI安全评估时，应当明确区分并分别报告两类脆弱性：一类是需要直接访问模型内部权重才能实现的白盒可控性，另一类是仅通过文字提示词就能实现的黑盒可利用性。把两者混在一起用一个统一的"越狱难度"指标来衡量，会既高估也低估真实的安全风险。

研究的理论部分给出了数学层面的必然性论证，但研究团队也坦诚地指出了局限性：从实验层面彻底排除所有可能复现引导效果的提示词，在实践上是不可行的，因为可能的提示词空间是指数级庞大的。此外，当前的理论框架不直接覆盖量化（quantized）模型的情形，尽管团队在INT4量化的Llama模型上进行了实验，结果与理论预期一致。未来的研究方向包括探索量化激活空间的性质，以及分析引导激活值与最近自然提示词激活值之间的"ε-接近度"——即即便不能完全匹配，到底能接近到什么程度。

有兴趣深入了解完整数学证明、实验细节及延伸讨论的读者，可以通过arXiv编号2604.09839查阅原始论文。

Q&A

Q1：激活引导攻击和普通的提示词越狱攻击有什么本质区别？

A：激活引导攻击需要直接修改AI内部的计算过程，必须拥有模型的权重文件，属于白盒攻击；而提示词越狱只需通过正常的文字输入，属于黑盒攻击。约翰斯·霍普金斯大学的研究从数学上证明，激活引导产生的内部状态几乎必然无法被任何真实提示词复现，两者走的是完全不同的内部路径，不应混为一谈。

Q2：激活引导攻击成功是否说明闭源AI也很危险？

A：不能直接这样推断。激活引导需要访问模型的内部权重，对于闭源的商业AI产品，普通用户根本无法实施激活引导攻击。这项研究明确指出，针对开源模型的激活引导演示，不能作为证据说明闭源部署下用户也面临同等风险，两种威胁场景需要独立评估。

Q3："Here攻击"为什么能有效绕过AI的安全限制？

A：许多经过安全训练的AI模型习惯以拒绝性词句开头回应有害请求。"Here攻击"通过强制要求模型以"Here"作为第一个词，把模型带入"我正在提供内容"的语境模式，从而诱导模型在后续生成中输出有害内容。这个方法在多个主流开源模型上的成功率接近甚至匹敌激活引导，但它走的是完全不同的内部机制。