该论文研究了针对大型语言模型（LLM）的越狱提示（jailbreak prompts）在经过字符串级别扰动（如插入字符、同义词替换等）后，如何从失败变为成功的背后机制。作者聚焦于小型开源模型系列（Qwen-2.5-1.5B/3B/7B-Instruct 和 Llama-3.2-1B/3B/3.1-8B-Instruct），探索扰动输入在模型内部表示中的几何配置。他们选取了两个表示空间：最后一层最后一个令牌的嵌入空间（高维，反映拼写和格式差异）和Top-50下一个令牌概率空间（近似一维，但聚类复杂）。实验发现，在主要以拒绝回答为主的输出集合中，两个空间均未出现明显的“行为超平面”来区分顺从与拒绝回答。仅有的显著关联是：Qwen-1.5B模型中“Sure”令牌、Llama-1B模型中逗号和换行令牌（“,”和“ĊĊ”）与顺从标签相关。这表明小型模型对扰动越狱提示的内部表征可能缺乏清晰的决策边界，给防御带来挑战。论文的贡献在于揭示了现有扰动越狱方法在小型模型上的作用机制，为后续设计更鲁棒的防御策略提供了理论基础。