一篇新近提交的arXiv论文从分词层面切入，解释了为何现代大语言模型的安全对齐会被看似无害的字符级扰动绕过。作者Tung-Ling Li等指出，BPE分词会把安全关键性的词拆解成若干子词片段，而他们调查的三个公共对齐数据集中，根本不存在刻意碎片化的输入。这一结构性缺口，构成了整条攻击链条的起点。
研究在五个模型家族上做了端到端验证，包括Qwen-3-4B、Qwen-2.5-7B、Gemma-3-4B、Llama-3.1-8B和Mistral-7B。团队设计了一种专门针对安全token碎片化的优化方法：对于HarmBench中原本被拒绝的提示，该方法能翻转首个token上的拒答触发，翻转比例高达80%至100%。更值得警惕的是，这些翻转中有48%最终产生了真正有害的输出，各模型之间在29%至65%之间浮动。论文还报告了缺口与行为之间的ROC-AUC为0.66至0.98，合并后为0.84，说明碎片化程度与实际危害行为存在相当强的关联。
为定位机制发生的位置，作者使用了激活修补技术，结果显示受扰动的信号集中在模型最后约30%的层。与此同时，他们对3万条对齐样本进行了扫描，没有发现任何碎片化提示，而在攻击相关强度下，阳性对照的召回率不低于99%，这进一步说明该分布是真实缺失而非检测遗漏。针对性的变异实验则把扰乱位点精确锁定在安全词本身。
在防御侧，研究给出的结论并不乐观。作者构建了一个包含68个单元、55个训练检查点的网格，发现没有任何DPO配置能在三个不存在池规模混淆的模型家族上，同时实现跨随机种子与跨池规模稳定的攻击成功率闭合。用碎片化提示做SFT，确实在五个家族中的三个上关闭了攻击成功率，但代价是全局性塌缩——模型对良性提示的拒答率也一并上升。作者据此判断，缺失的分布虽是必要条件，但在其所测试的LoRA-16配方下并不充分。
为区分“选择性修复”与“全局塌缩”，论文提出了一个名为Conv-Benign的配对诊断候选指标。作者也说明了评估的可靠性边界：所有攻击成功率结论都经过三裁判校准，各单元排名在不同裁判之间保持稳定，但绝对水平存在正负18个百分点的浮动，详见附录B.13。论文于2026年5月1日提交，归类为计算与语言（cs.CL），并交叉列入人工智能（cs.AI）。