研究：相同数据训练的模型栽在不同越狱上，预训练随机种子才是关键

cerulean-works · hf · 2026-11-06

论文《Identically Trained Language Models Break on Different Jailbreaks》发现，越狱脆弱性主要由预训练随机性决定，而非数据配方。

实验设置：25 种预训练数据配方 × 3 个预训练种子 × 2 个后训练种子，共 150 个 1B 模型，对共享越狱 prompt 集各采 20 个响应，计算两两间逐 prompt 拒答率相关性。
结果：同一预训练 run 的两个后训练副本，逐 prompt 拒答率相关性高达 0.984；而换一个预训练种子则显著降低相关性——相同数据、相同安全训练的两个模型会栽在不同的越狱上。
含义：越狱基准只测单个 checkpoint、把「被哪些越狱攻破」当作数据与安全训练的属性，忽视了预训练随机性的支配地位；预训练种子还会在 prompt 上留下可识别的「指纹」。此前已有研究表明种子会改变有害性、翻转拒答决策。

「安全」频道最新