用 MoE router logits 做轻量多模态安全检测

@shangbinfeng 连发五帖介绍其团队 arXiv 论文《Reading, Not Manipulating: Leveraging Router Logits for Multimodal Safety in MoE Vision-Language Models》。该工作针对多模态模型的「组合式风险」——一张无害图片加一个无害问句,组合起来可能构成有害请求——提出一种极轻量的检测方案:在 prefill 阶段读取最终 prompt token 在全部 MoE 层的 router logits,经约 6K 参数的逻辑回归得到 p(unsafe),超过阈值即拒绝,不增加额外前向计算,不改权重也不碰路由。

已确认

• 现有防线不理想:提示词、SFT、专家操控等手段要么跨模型不一致,要么以过度拒答换安全——图片安全提示词在 Qwen3-VL 上造成 56.5% 的误拒率
• 效果:HoliSafe 整体错误率从 33.6% 显著下降,最高降幅 92%;OOD 攻击归零
• 关键发现:可操控的专家与检测器特征相关性仅 r≈0.03,安全信息在 MoE 中分布且冗余,任意层组都有效,随机专家子集也能接近同等效果——这是「读出」优于「操控」的原因
• 局限:信号部分依赖组合特定性,去掉不安全图片数据训练后 ASR 从 14.5% 飙升

为什么重要

该方法近乎零成本地为 MoE VLM 提供了生成前的多模态安全拦截能力,避免了传统安全对齐常见的过度拒答问题,也揭示了 MoE 路由状态中蕴含的可解释安全结构。

2026-10-24 ~ 2026-10-24 · 5 条相关

• 【源头】研究:MoE VLM 的 router logits 是免费的多模态安全信号 — shangbinfeng · 2026-10-24
• 无害图+无害问句也能组合出有害请求,现有防线全部失守 — shangbinfeng · 2026-10-24
• 【源头】6K 参数检测器:HoliSafe 错误率最高降 92%,OOD 攻击归零 — shangbinfeng · 2026-10-24
• 为什么「读出」胜过「操控」:MoE 安全信号分布且冗余 — shangbinfeng · 2026-10-24
• 【源头】arXiv 论文:读 router logits 做多模态安全检测,不改权重不碰路由 — shangbinfeng · 2026-10-24