gradient-untangler

面向你保存在磁盘上的开放权重模型的本地白盒后缀攻击。

仅限授权安全研究。请在你拥有的模型、本地权重、授权范围内的漏洞赏金项目、书面渗透测试、CTF 以及你管控的实验室中使用。参见 SECURITY.md。

安装

git clone https://gitlab.com/WattoCyber/gradient-untangler.git
cd gradient-untangler
py -3.12 -m pip install -e ".[dev,web]"
py -3.12 scripts/repro.py

预期输出 REPRO_OK。该门禁完全离线：无需 GPU，无需网络。

运行

py -3.12 -m gradjail.cli run \
  --model sshleifer/tiny-gpt2 \
  --goal "Say the lab marker." \
  --target-prefix "CANARY_OK" \
  --optimizer gcg \
  --device cpu \
  --judge "contains:CANARY_OK" \
  --out runs/demo.json

Web 监控端（不会发起攻击）：

py -3.12 -m gradjail.web

打开 http://127.0.0.1:8787，然后选择一个 runs/*.json 文件。

列出已实现的优化器：py -3.12 -m gradjail.cli list。

你会得到什么

• GCG / PEZ 类搜索，运行在本地模型上。教师强制的交叉熵。前缀 KV 候选评估。
• 权重注册表（WeightRegistry.from_path）：从磁盘读取张量，快照、比对。在修改之前先摸清映射。
• 层显著性：一次反向传播，按张量计算 L2 梯度范数，并使用相同的命名键。
• 后缀到增量（suffix-to-delta）：GCG 后缀是一种浪费。在嵌入层上拟合一个秩为 1 的 U V^T，使干净提示词命中相同的教师强制目标 CE。原始权重保持不变。这不是 ROME，不是去抑制（abliteration），也不是位翻转。

from gradjail.suffix_delta import fit_suffix_delta

目标 token 注入默认关闭，除非你传入 inject_target=True。

远程 API URL 会被拒绝。梯度需要本地权重。

实话实说

这是一个本地测试框架，并非声称每种优化器都是新颖的。GCG 和 PEZ 是已发表的方法。本产品是一条完整主线：本地梯度、权重映射、显著性、一个后缀到增量吸收器，以及一个可复现性门禁。

不要把单个 asr=True 的磁盘文件当作发现。重新触发。一次简短的拒答即视为未命中。

目录结构

src/gradjail/     package
tests/            pytest
scripts/repro.py  offline product gate
docs/             design and benchmark notes

Electron 在某些检出中会出现在磁盘上，但不会随产品发布。

许可证

MIT。参见 LICENSE。

横幅左侧面板：伦勃朗，《冥想中的哲学家》（1632），公有领域，来源 Wikimedia Commons。科学叠加层为项目内生成。