arXiv发布$M^3$框架：革新多轮越狱攻击检测与评估方法

摘要：$M^3$是一种新型自动化红队测试框架，通过将多轮越狱攻击形式化为有限范围的马尔可夫决策过程（MDP），显著提升了攻击成功率（ASR）。在多个基准测试和目标模型上的实验表明，$M^3$在ASR@5指标上相较现有方法提升了高达53%，即使使用轻量级攻击者模型也能实现显著性能提升。此外，$M^3$在风险升级的陡峭性和跨风险类别的性能一致性方面表现出色，为多轮越狱攻击的检测与评估提供了更高效、更具扩展性的解决方案。

---

技术机制剖析

$M^3$框架的核心创新在于将多轮越狱攻击过程形式化为一个有限范围的马尔可夫决策过程（MDP）。具体来说，$M^3$包含三个主要组件：

1. 攻击者LLM：负责生成逐步绕过目标模型安全机制的攻击性对话。
2. 状态LLM：生成紧凑的内部状态表示，以捕捉对话的上下文和历史信息。
3. 目标LLM：作为被攻击的对象，其安全机制被逐步绕过。

通过将攻击过程建模为MDP，$M^3$能够系统地优化攻击策略，并利用强化学习技术动态调整攻击路径，从而实现更高的攻击成功率。

工程权衡与实测表现

实验结果表明，$M^3$在多个基准测试中均表现出色：

• 攻击成功率（ASR）：在ASR@5指标上，$M^3$相较现有方法提升了高达53%。即使使用轻量级攻击者模型，$M^3$在ASR@1和ASR@5指标上也分别实现了26%和34%的提升。
• 风险升级：$M^3$在对话回合中表现出更陡峭的风险升级趋势，这意味着其能够更有效地识别和利用目标模型的安全漏洞。
• 跨风险类别一致性：$M^3$在多个风险类别中表现出更一致的性能提升，其Gini指数的改进高达4.82，表明其在不同风险场景下的适用性和可靠性。

开发者落地与部署建议

对于开发者而言，$M^3$提供了一种高效且可扩展的多轮越狱攻击检测与评估框架。以下是一些建议：

1. 模型集成：将$M^3$集成到现有的安全评估流程中，以增强对多轮攻击的检测能力。
2. 参数调优：根据具体应用场景调整$M^3$的内部参数，例如攻击者LLM的容量和状态LLM的复杂度，以实现最佳性能。
3. 持续监控：利用$M^3$的评估结果，持续监控目标模型的安全性能，并及时更新安全机制以应对新的攻击策略。

结论

$M^3$框架为多轮越狱攻击的检测与评估提供了一种创新的解决方案，其在攻击成功率、风险升级和跨风险类别一致性方面的优异表现，使其成为安全评估领域的重要工具。

---

消息来源：ArXiv AI (cs.AI) (2026-10-26)

—— 完 ——

主题标签： #多轮越狱 关注 #安全评估 关注 #强化学习 关注 #MDP 关注 #LLM 关注