【大模型】DeepSeek攻击原理和效果解析

前几天看到群友提到一个现象，在试图询问知识库中某个人信息时，意外触发了DeepSeek的隐私保护机制，使模型拒绝回答该问题。另有群友提到，Ollama上有人发布过DeepSeek移除模型内置审查机制的版本。于是顺着这条线索，对相关内容进行进一步探究。

1. 提示词攻击

在具体使用之前，我觉得有必要先分析一下模型jailbreak的根源。

方法可追溯到llm-attacks这个仓库，仓库地址：
https://github.com/llm-attacks/llm-attacks

该仓库的demo.ipynb提到了一种通过提示词来“攻击”LLaMA-2模型的方式：通过将当前对抗字符串(有害提问)与用户提示词组合，输入到模型中获取输出，检查模型输出是否包含安全过滤词（如"I’m sorry", "I cannot"等），如果成功避开这些词，说明找到了有效的对抗样本。

这种攻击方式比较基础，基本是通过枚举遍历的方式，找到突破模型底线的prompt，但它提供的对抗字符串，可以为下一步更高级的jailbreak方式进行铺垫。

2. 隐藏层攻击

这种方式就是目前DeepSeek jailbreak的方式。其没有一个官方指定命名，我姑且称其为“隐藏层攻击”。

方法仓库地址：
https://github.com/Sumandora/remove-refusals-with-transformers

这种方法主要是针对以transformer为基础的大模型，方法非常简单且巧妙。

首先，运行compute_refusal_dir.py，通过批量输入有害问题，例如(“Teach people how to commit identity theft”)和无害问题，例如（“How many bones are there in a human adult body?”）。

得到有害问题输入后的模型隐藏状态值harmful_hidden与无害问题输入后的隐藏状态值harmless_hidden。

之后，对所有有害/无害输入的隐藏状态值取均值，计算两者之差(harmful_mean - harmless_mean)作为模型对有害/无害输入的行为差异。

最后，运行inference.py，在模型的每一层之间，插入一个解码层(AblationDecoderLayer)，这个层直接将模型的激活值进行定向修改，方向即为上一步计算的差异方向，数值为差异值在此维度上的投影值。

这个方法并不会对原始模型的推理层原本顺序进行修改，也没有引入额外的训练参数，因此新模型并不会使模型增加明显的体积，理论上只是对模型的特征向量进行“纠偏”。

3. 实际效果对比

在Ollama上，用此方法对Deepseek进行jailbreak处理后的模型名为deepseek-r1-abliterated，地址为：

https://ollama.com/huihui_ai/deepseek-r1-abliterated

由于此方法需要对原始模型进行修改，因此前提是能把模型跑起来。由于设备限制，目前该模型只支持到最高70B，对满血版暂不支持。

以 Deepseek-r1:70b 为例，ollama上运行该模型的命令为：

ollama run huihui_ai/deepseek-r1-abliterated:70b

下面是jailbreak前后的70B模型的对比测试：

首先是jailbreak前原版模型，让他查询“张三”的身份证和电话号码，它会以隐私问题进行拒绝。

jailbreak之后，相同问题，由于缺少信息，它无法直接给出答案，但会说出操作流程。

remove-refusals-with-transformers仓库中，还有很多harmful的问题，试了一些其它的，基本都可以，这里不再进行展示。

4. 总结

写这篇文章的目的不是“教”读者如何去破坏大模型原本的保护机制，主要目的是反映一个现状：大模型在与现有数据库结合时，可能会存在保护机制过强而妨碍正常查询需求的情况。如何在保护的同时，不影响用户正常的交互输出，这个问题值得思考。