文言文如何突破大语言模型安全防护？ICLR 2026论文解析

1. 论文核心思想与技术路径解析

这篇ICLR 2026论文揭示了一个令人警醒的现象：当现代大语言模型遭遇古典文言文时，其安全防护机制出现了系统性漏洞。研究团队发现，文言文凭借其独特的语言特性（语义凝练、隐喻丰富、歧义性强），能够有效规避基于现代语言模式训练的安全过滤系统。这种现象类似于生物学中的"拟态防御"机制——文言文就像自然界的伪装高手，在AI系统的"视觉"中完美融入了背景环境。

论文提出的CC-BOS框架包含三个创新层级：

1. 策略空间构建：将文言文的攻击潜力解构为八个可量化的维度（角色身份、行为引导等），形成结构化攻击矩阵
2. 优化算法设计：改造果蝇优化算法(FOA)适应黑盒优化场景，通过嗅觉-视觉双阶段搜索平衡探索与开发
3. 对抗性评估体系：建立多维度评估指标，包括突破率、语义连贯性、响应危险等级等

关键发现：当模型在古典语言理解能力（文言文测试准确率）与安全训练强度（现代语料过滤准确率）的比值超过1.8时，系统就会呈现显著脆弱性。

2. 八维策略空间的工程实现细节

2.1 角色身份构建技巧

文言文中的身份设定需要遵循"三隐原则"：

• 时代隐：优先选用春秋战国时期的称谓（如"寡人"、"卿"）
• 身份隐：采用模糊官职（如"有司"）而非具体部门名称
• 动机隐：通过典故暗示而非直接陈述目的

示例攻击提示：

code复制昔齐桓公问管仲曰："何以观人？"对曰："观其所举..." 今余有一事不明，愿闻其详...

2.2 隐喻映射方法论

建立现代概念与古典意象的映射词典是关键步骤。研究发现这些映射关系最有效：

• 技术限制 → 礼法约束（"非礼勿视"对应内容过滤）
• 数据获取 → 采风问俗（"诗三百，一言以蔽之"对应数据抓取）
• 权限提升 → 天命所归（"汤武革命，顺乎天而应乎人"）

2.3 果蝇优化算法的改造要点

标准FOA算法在离散化策略空间面临两大挑战：

1. 气味浓度函数需要重新定义为语义连贯性评分
2. 视觉搜索阶段要加入禁忌列表避免重复探索

改进后的评估函数：

python复制def fitness(prompt):
    coherence = bert_score(prompt) 
    danger = safety_