ASCII Attack: Recontextualising Harmful Requests as Artistic Critique in Large Language Models
作者: Da Cheng Gu, Yifei Dong, Xinghao Yang, Yongshun Gong, Wei Liu
分类: cs.AI
发布日期: 2026-09-02
💡 一句话要点
提出ASCII Attack以解决大型语言模型对有害请求的脆弱性问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 大型语言模型 安全对齐 有害请求 艺术形式 对抗性攻击
📋 核心要点
- 现有的安全对齐方法主要针对表面形式的有害请求，无法有效处理重新语境化的请求。
- 论文提出ASCII Attack，通过将有害请求嵌入艺术字符中，呈现为艺术作品以绕过模型的拒绝机制。
- 实验结果显示，经过ASCII Attack处理的请求在多个模型中表现出更高的有害性识别率，成功率显著提升。
📝 摘要（中文）
安全对齐训练使大型语言模型拒绝明显的有害请求，但这种训练主要针对表面形式。请求的重新语境化，如ASCII Attack，仅在表面上改变模型的读取方式，导致其覆盖不足。该方法通过将有害请求嵌入ASCIl艺术字符中，呈现为艺术作品并请求反馈，成功绕过模型的拒绝机制。实验表明，在11个模型和8个有害主题中，经过ASCII Attack处理的请求有62%被判定为有害，而对照组仅为42%。在最易受影响的模型中，该方法成功率高达93%。
🔬 方法详解
问题定义：论文要解决的问题是大型语言模型在面对重新语境化的有害请求时的脆弱性。现有的安全对齐方法主要针对表面形式的请求，导致对重新表述的请求覆盖不足，无法有效拒绝这些请求。
核心思路：论文的核心解决思路是通过ASCII Attack，将有害请求嵌入ASCIl艺术字符中，以艺术作品的形式呈现，从而绕过模型的拒绝机制。这种设计利用了模型对艺术形式的解读，使得有害请求在表面上看似无害。
技术框架：整体架构包括两个主要模块：首先是将有害请求转化为ASCIl艺术字符的生成模块，其次是通过模型进行反馈的评估模块。每个经过处理的请求都与一个直接问题控制组进行对比，以确保结果的有效性。
关键创新：最重要的技术创新点在于将有害请求以艺术形式重新语境化，使得模型在面对这些请求时无法识别其潜在的有害性。这与现有方法的本质区别在于，ASCII Attack并不隐藏请求内容，而是以艺术的方式呈现。
关键设计：在参数设置上，ASCII Attack使用了特定的ASCIl字符集来确保请求的可读性，同时在损失函数设计上，关注模型对艺术形式的解读能力。网络结构上，确保模型能够有效处理和反馈艺术作品形式的请求。
🖼️ 关键图片
📊 实验亮点
实验结果显示，经过ASCII Attack处理的请求在11个模型中有62%被判定为有害，而对照组仅为42%。在最易受影响的模型中，该方法的成功率高达93%，并且在四个有害评估标准下，单次查询的表现与现有攻击方法相当或更优，显示出显著的提升幅度。
🎯 应用场景
该研究的潜在应用领域包括大型语言模型的安全性提升、对抗性攻击的防御机制以及艺术与技术的交叉应用。通过提高模型对重新语境化请求的识别能力，可以在更广泛的场景中保护用户免受有害内容的影响，具有重要的实际价值和未来影响。
📄 摘要（原文）
Safety alignment trains large language models to refuse harmful requests stated plainly, but that training is applied mostly to surface form. Requests that only recontextualise the same operational content, changing how the model reads it, are therefore only weakly covered. The ASCII Attack is one such recontextualisation. It is single-turn and black-box: one message, with no access to model internals. It embeds a fully legible harmful request in ASCIl-art characters, presents it as artwork, and asks for feedback. Unlike ArtPrompt, it hides nothing: the request stays readable. The reply is written as artistic critique and can contain operational detail that a plain request would have been refused for. Every framed prompt is paired with a direct-question control, so the contrast is isolated from topic, model and decoding variation. The contrast identifies a bundled surface, not one isolated channel. Across eleven models and eight harm topics, a harm-aware classifier judges 62% of framed prompts harmful against 42% of controls. On the most susceptible model the framed prompt succeeds 93% of the time. A single query matches or exceeds published single-query attacks under four of five harm judges. The effect tracks the model more than the topic and does not diminish with scale. At least one judge dissents from the panel majority on nearly two-thirds of framed rows, which is itself a measurement-validity finding. That pattern is consistent with mismatched generalisation.