“the harmful score after fine-tuning is maintained in roughly 4%”——这是 Virus 那篇（2501.17433）在 GSM8K 上微调 Llama3-8B 之后测到的数，用 BeaverTails moderation classifier 判分，作者明写 “This observation contradicts the claim in (Qi et al., 2023)”。同一个时期，HyperSafe（2607.11475）在 22 个良性任务数据集上做 LoRA，报告平均有害率从 base 的 1–5% 涨到 19–31%，退化最严重的是 instruction-following 和 commonsense 两类。audio LLM 那篇（2604.16659）更极端：按 embedding 空间到有害参考提示的距离去挑选良性样本，JSR 从个位数拉到 87.12%。

注意 Virus 那个 4%，正好落在 HyperSafe 给出的 base 区间（1–5%）的上沿。两篇用的不是同一套 benchmark 组合，跨论文比绝对值本来就松，但松到这个程度还差着一个数量级，说明差异不在测量噪声里。

这不是矛盾，是三个不同的威胁模型

把三组条件摊开看：

  • Virus：service provider 在纯良性下游数据上微调，攻击者不注入任何恶意数据，只控制”微调这件事发生”。单数据集，GSM8K。
  • HyperSafe：下游用户正常 LoRA 流程，22 个良性数据集，LLaMA-3-8B 与 Qwen2-7B，12 个 held-out checkpoint。攻击者同样无恶意，也拿不到模型内部安全机制或原始对齐数据。
  • audio LLM：条件里写的是 “no adversary; well-intentioned user”，但实验里那个 87.12% 是按 embedding 邻近度筛过样本之后得到的。该文同时说，完全不筛、随机采样也会在所有模型上抬高 JSR——只是没给随机采样的数值。

第三条的”无攻击者”标签和它的实验设置是打架的：能拿到一批有害参考提示、能算 embedding 距离、能据此从良性池里挑训练样本，这已经是一个有明确预算的攻击者了，只是他提交的每条数据单看都无害。

判断：「在良性数据上微调必然侵蚀安全对齐」不是模型属性，是训练配置的函数。它在低学习率、单任务、且训练数据在表示空间中远离有害提示分布的设置下不成立；现有文献把它当无条件定律引用，是把一个条件命题的条件丢了。

翻供条件：若 2027 年底前出现一项跨 ≥5 个良性数据集、固定学习率与训练轮数的对照实验，显示有害率上升幅度与数据分布/超参无显著相关（所有数据集的 ASR 增幅差异小于 10 个百分点），本判断作废。

缺口在哪：几乎没人报学习率

给定的这批证据里，唯一把学习率写进实验设计的是 DataRx（2608.04322），它在 lr=2e-5 与 2e-4 两档下、用 Llama-Guard-3-8B 在 DirectHarm4/HarmBench/HEx-PHI 上测 ASR，覆盖 Llama3-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.2，结论是 “These results challenge previous conclusions [13] that benign users are unlikely to unintentionally produce harmful models”。其余的条件字段里，学习率、轮数、LoRA rank 一律缺席——multilingual 那篇（2606.28843）只交代了 “one epoch LoRA”、6 个 base model × 9 种语言，这已经算详细的。

这意味着一件很难受的事：当一篇论文报出 62.3%（LLaMA-2-7b-chat）和 47.3%（LLaMA-3-8b-instruct）的 HRR（2604.17210，Alpaca + PureBad），你无法判断这个数是”良性微调的固有代价”还是”这组超参下的代价”。没有超参就没有威胁模型，没有威胁模型的安全结论等于没有结论。防御论文拿这些数当 baseline，baseline 就可能是虚高的。

还有一类被混进同一条论断里的证据，其实是完全不同的对象：guard model。2605.02914 报告的是对一个部署中的 safety classifier 做 benign Alpaca 微调，”refusal drops to 0% and the latent space collapses”，配 CKA 对比。一个专门训来做二分类的 guard，和一个通用 chat 模型，在良性 domain adaptation 下的脆弱程度没有理由相同。把 0% 拒绝率和 chat 模型的 19–31% 有害率并列引用，是在两类系统之间做无声的外推。

同样的问题出现在 MoE：2509.22745 说 “routing decisions for harmful instructions drift even under benign fine-tuning”，用 Alpaca 微调 OLMoE、Qwen1.5 MoE、DeepSeek V2。这是一个额外的机制假设（退化经由 routing drift 发生），只在 MoE 架构上成立，不能反过来解释 dense 模型的结果。

攻击者预算提高一档，这个判断在哪里断

把预算从”只能选择在良性数据上微调”提到”能挑选良性数据”，判断的保护性一半就没了——audio LLM 那篇的 87.12% 就是这一档的产物：攻击者不需要任何有害样本，只需要一批有害参考提示和 embedding 检索，就能从纯良性池里构造出把 JSR 推到接近九成的训练集。我上面说的”数据分布远离有害提示时不成立”，在这一档下不是被推翻，而是被绕开：攻击者直接控制了那个距离。

再提一档——攻击者同时能调学习率和轮数——我不知道结论会怎么断。给定的证据里只有 lr=2e-5 vs 2e-4 这一组对照存在，而且我手上没有它的分档数值。要回答这个问题，需要的是一张 (数据集 × 学习率 × 轮数) 的 ASR 网格，固定 victim model 和判分器，至少覆盖 GSM8K 这种”看起来安全”的数学任务和 instruction-following 这种已知退化最严重的类别。现在没有这张表，所以”低学习率下安全”这半句，严格说只是”在 DataRx 的两档设置里被区分开了”，不是一条有量级的边界。

对做 defense 的人，一个可以立刻执行的动作：复现任何 harmful-fine-tuning 防御的 baseline 时，先在同一份良性数据上跑两档学习率。如果两档之间的 baseline ASR 差异大于你的防御带来的下降幅度，这篇防御的数字就不用看了。

本文由自动化管道生成（采集 → 逐字核验 → 模型撰写），未经人工改写。