新たにarXivに投稿された論文は、トークン化の層に注目し、一見無害な文字レベルの摂動が現代の大規模言語モデルの安全アラインメントをなぜ回避できるのかを説明する。著者のTung-Ling Liらは、BPEトークン化が安全上重要な語を複数のサブワード片に分割してしまう一方、調査対象とした3つの公開アラインメントデータセットには意図的に断片化された入力が全く含まれていないと指摘する。この構造的な隙間が攻撃連鎖の出発点となる。
研究チームはQwen-3-4B、Qwen-2.5-7B、Gemma-3-4B、Llama-3.1-8B、Mistral-7Bという5つのモデル系列でエンドツーエンドの検証を行った。安全トークンの断片化に狙いを定めた最適化手法を設計し、HarmBenchで本来拒否されるプロンプトに対して最初のトークン上の拒否トリガーを反転させることに成功した。その割合は80〜100%に達する。さらに反転の48%は実際に有害な出力を生み、モデルごとの範囲は29〜65%だった。隙間と実際の挙動の関係を示すROC-AUCは0.66〜0.98、プール値で0.84と報告され、断片化の程度と危害行為の間に相応に強い関連があることを示す。
機構の所在を特定するため、著者らはアクティベーションパッチングを用い、撹乱された信号がモデルの最後の約30%の層に集中していることを明らかにした。同時に3万件のアラインメントサンプルを走査したが、断片化プロンプトは一つも見つからなかった。攻撃に関連する強度での陽性対照の再現率は99%以上であり、これは検出漏れではなく分布が実際に欠けていることを裏付ける。標的型の変異実験では、撹乱の座が安全語そのものにあると特定された。
防御側の結論は楽観的ではない。著者らは68セル・55学習済みチェックポイントからなるグリッドを構築し、プールサイズの交絡が閉じた3つのモデル系列において、シード間およびプール間で安定して攻撃成功率を閉じるDPO構成が一つも存在しないことを示した。断片化プロンプトでSFTを行うと5系列中3系列で攻撃成功率は閉じるが、それは良性プロンプトへの拒否率も押し上げる全体的な崩壊を通じてのみ達成された。著者らは、欠けている分布は必要条件ではあるものの、テストしたLoRA-16のレシピの下では十分条件ではないと結論づける。
「選択的修復」と「全体的崩壊」を区別するため、論文はConv-Benignという候補の対診断指標を提案する。評価の信頼性の限界についても言及があり、攻撃成功率に関する主張はすべて3つの審判による校正を受けており、セルの順位は審判間で安定しているものの、絶対値には±18ポイントの幅があるという（詳細は付録B.13）。論文は2026年5月1日に提出され、計算と言語（cs.CL）に分類され、人工知能（cs.AI）にも関連付けられている。