Latent-space Attacks for Refusal Evasion in Language Models

Safety-aligned language models are trained to refuse harmful requests, yet refusal behavior can be suppressed by steering their internal representations. Existing methods do so by ablating a refusal direction from model activations, aiming to remove refusal from the model's residual stream. Despite their empirical success, these methods lack a principled account of the latent-space transformation they induce and why it suppresses refusal. In this work, we recast refusal suppression as a latent-space evasion attack against linear probes trained to separate refused from answered prompts. Under this view, prior work's difference-in-means direction naturally defines such a probe, and its ablation is exactly a projection onto its decision boundary, i.e., a minimum-confidence evasion attack. This perspective not only explains the empirical success of prior work but also admits a key limitation: evasion stops at the decision boundary, motivating the need to push representations further into the compliant region, i.e., where the model answers. We leverage this by proposing a Controlled Latent-space Evasion attack that projects representations past the boundary with an optimized confidence. We achieve state-of-the-art attack success rate across 15 instruction-tuned, multimodal, and reasoning models, outperforming existing refusal-ablation baselines and specialized jailbreak attacks.

📋 한 줄 요약

**[Jailbreak / Latent Evasion]** Refusal suppression을 latent-space evasion attack으로 재해석 — 기존 refusal direction ablation이 minimum-confidence 결정 경계 projection임을 보이고, 경계를 넘어 compliant region으로 밀어주는 Controlled Latent-space Evasion으로 15 instruction-tuned·multimodal·reasoning 모델에서 SOTA 공격 성공률.

🎯 핵심 기여도

Safety-aligned 언어모델이 유해 요청 거부하도록 학습되지만 internal representation steering으로 refusal 억제 가능, 기존 방법은 residual stream에서 refusal direction을 ablate하는 방식.
그러한 방법의 경험적 성공에도 잠재공간 변환의 원리적 설명·왜 refusal이 억제되는지에 대한 분석이 부재함을 진단.
Refusal 억제를 거부·응답 prompt를 분리하도록 학습된 linear probe에 대한 latent-space evasion attack으로 재해석 — 기존 difference-in-means 방향이 자연스럽게 그러한 probe 정의하고, 그 ablation이 정확히 decision boundary로의 projection(minimum-confidence evasion attack).
이 관점이 prior work의 성공을 설명하면서 핵심 한계도 노출 — evasion이 decision boundary에서 멈춤. 이를 leverage해 Controlled Latent-space Evasion attack 제안: representation을 boundary 너머 optimized confidence로 projection.

💡 핵심 아이디어

LLM refusal 억제는 단순한 vector subtraction이 아니라 linear probe에 대한 latent-space evasion attack의 한 형태이며, decision boundary projection을 넘어 compliant region 내부로 confidence를 optimize해 밀어주면 더 강력한 jailbreak 가능 — 이 framework가 기존 방법을 통일·일반화한다.

🔬 기술적 접근법

**방법론**: Controlled Latent-space Evasion attack — boundary 너머 confidence-optimized projection.
**핵심 기법**: (1) Refusal 억제를 linear probe(거부·응답 분리)에 대한 evasion attack으로 재형식화, (2) 기존 difference-in-means 방향이 자연스러운 probe 정의, (3) Direction ablation이 boundary projection(min-confidence evasion)임을 증명, (4) Boundary 너머 compliant region으로 confidence-optimized projection, (5) 15 모델(instruction-tuned·multimodal·reasoning)에서 SOTA 공격 성공률 검증.

📊 주요 결과

15 instruction-tuned·multimodal·reasoning 모델에서 SOTA 공격 성공률.
기존 refusal-ablation baseline 능가.
Specialized jailbreak 공격도 능가.
기존 방법의 성공을 원리적으로 설명·한계 명시.

💭 의의 및 한계

**의의**: Jailbreak 연구에 원리적 latent-space framework 도입, 기존 방법의 통일된 재해석, multimodal·reasoning 모델로 확장. **한계**: White-box·activation 접근 요구로 black-box 위협과 다름, refusal direction이 linear로 표현된다는 가정의 nonlinear 한계, defense 측 대응이 evasion 변형에 따라 달라짐.

🚀 실용적 활용

LLM safety 평가·red teaming.
Refusal 메커니즘의 mechanistic 이해.
Robust safety training의 evasion 인지 설계.