解码护栏：XAI 引导的提示注入检测扰动分析

该 arXiv 论文以可解释 AI 方法研究 Prompt Guard 2 这类分类器式护栏如何区分恶意与正常提示。四个实验显示，其判断依赖大量 token 的累积贡献而非少数关键 token；按显著性做同义词替换或句子级改写，只需改动中等比例文本即可翻转预测，部分情况下还能成功越狱底层 LLM。数据集层面的显著性分析发现，未被检出的注入提示普遍缺少分类器依赖的词汇标记。

此前对分类器式护栏的评估多只看检测率，较少检验其决策依据是否稳定。该工作说明面向透明度的解释方法同样可被用来定位并构造绕过路径，把可解释性与对抗鲁棒性放在同一框架下审视，改变了护栏评测的关注点。

Prompt Guard 2 的判定分散在众多 token 的累积贡献上，缺少少数主导特征，因此局部改写不会立刻触发明显异常；但显著性归因会指出哪些 token 对分类结果影响较大，攻击者据此做同义词替换或句子改写，就能在改动幅度中等的情况下改变分类边界。未被检出的注入提示则共享缺少特定词汇标记的特征，说明检测在一定程度上依赖表层线索。

对使用分类器护栏的团队，安全评估不能只看拦截率，还需加入解释引导的改写测试，验证被标记 token 被替换后判定是否翻转。若上线解释接口，应评估其是否会被用于反向构造绕过样本；同时需补充对缺少关键词的注入提示的覆盖，并保留对底层 LLM 的二次防护。

• 在护栏回归测试中增加基于显著性归因的同义词替换与改写用例，作为对抗鲁棒性指标。
• 对向外暴露的解释或归因结果做访问控制与脱敏，避免直接给出高贡献 token 清单。
• 为缺少关键词标记的注入提示建立独立测试集，衡量护栏在该类样本上的漏检率。
• 将分类器护栏与输出侧检测或人工审核组合，降低单点翻转导致越狱的风险。

• 该结论是否可推广到 Prompt Guard 2 之外的分类器式护栏？
• 实验中的改写翻转率与成功越狱比例具体是多少？
• 这些发现是否经过同行评审，或仅处于预印本阶段？
• 是否存在不依赖表面词汇标记、鲁棒性更好的检测方案并在该研究中被验证？