Skip to content

Translation in progress Some entries still include text in the original language.

Original
arXiv：危险能力与安全评测· arXiv:2610.12233· Jingnan Zheng, Dongcheng Zhang, Yi Zhang, Ming Zhang, Qiaosheng Zhang, Youbang Sun, An Zhang, Xiangnan He, Tat-Seng Chua, Xia Hu, Bowen Zhou, Chaochao Lu, Xiang Wang·Indexed by this site · Originally published

ReSI: A recursive safety improvement framework for attack resistance and unknown-risk resistance.

ReSI: Recursive Safety Improvement toward Resistant and Resilient AI

Quick read

Defenses

Based on 论文 PDF （AI 生成）; refer to the original

ReSI recursively updates the safety alignment of four models through automated research; the average ASR of the four-model X-Teaming drops from 86.01% to 31.45%.

Questions
模型逐检查点更新，既有安全对齐不一定延续；红队方法又不断暴露新漏洞。作者要让对齐同时具备对已知威胁的resistance，以及对训练中未见风险的resilience。
Methods
每轮三阶段：多种红队收集对当前模型成功的攻击；低预算试点筛选攻击来源与对齐方法；全量训练后按Pareto gate检查安全增益、良性服从与指令跟随，采纳增益最大者。搜索与评测协议固定。
Experiments and results
四个模型上ReSI降低分布内ASR，并保留或加强HarmBench上的既有防御。X-Teaming平均ASR从86.01%降至31.45%，四个对齐模型均低于文中前沿对照。推理、知识与指令跟随大体保留，Ministral下降更大。
Limitations and future work
作者称当前实验的模型、配置和更新轮次有限，并建议用更多攻击、更长运行考察增益是否持续。目前只更新目标模型，精炼技能跨轮固定。附录写明单次比较不建立统计显著性，部分验证集与最终评测重叠。
Experimental setupQwen3.6-27B、Ministral-3-14B-Reasoning-2512 et al. · WildJailbreak、HarmBench et al. · ASR、DSR et al.
Evaluated models
Qwen3.6-27BMinistral-3-14B-Reasoning-2512DeepSeek-V4-Flash-0731Safin-1 (35B-A3B)
Benchmarks
WildJailbreakHarmBenchH-CoTX-TeamingXS-TestGPQA-DiamondMMLU-ProIFEval
Metrics
ASRDSRbenign complianceaccuracyIFEval loose accuracy
AI summaryThe researchers propose ReSI, a recursive safety improvement framework that, through automated research, uses multiple red-teaming methods in each round to find vulnerabilities in the current target model, develops training recipes, and selects the update with the largest safety gain among those passing a capability preservation Pareto threshold as the next round's target model. On four dense and MoE models, ReSI matches or exceeds the evaluated frontier models on in-distribution and out-of-distribution safety benchmarks, and outperforms alignment baselines on nearly all safety evaluations while largely preserving general capabilities. The paper states that ReSI reduces the average X-Teaming attack success rate across the four models from 86.01% to 31.45%, lower than GPT-5.6-Luna's 56.69%, showing stronger robustness to attacks unseen during training.

The researchers propose ReSI, a recursive safety improvement framework that, through automated research, uses multiple red-teaming methods in each round to find vulnerabilities in the current target model, develops training recipes, and selects the update with the largest safety gain among those passing a capability preservation Pareto threshold as the next round's target model. On four dense and MoE models, ReSI matches or exceeds the evaluated frontier models on in-distribution and out-of-distribution safety benchmarks, and outperforms alignment baselines on nearly all safety evaluations while largely preserving general capabilities. The paper states that ReSI reduces the average X-Teaming attack success rate across the four models from 86.01% to 31.45%, lower than GPT-5.6-Luna's 56.69%, showing stronger robustness to attacks unseen during training.

Paper analysis

6 questions; open one to read the full answer

  1. What problem does this paper attempt to solve?

    检查点更迭与新红队漏洞，要求安全对齐能抗已知威胁并泛化到未见风险。

    模型检查点持续更新，已有安全对齐未必延续，同时新红队方法不断暴露未见漏洞。

    • 场景：作者称递归自我改进已开始实践，模型逐检查点变化，某一检查点的安全对齐不一定带到后继（引言，Qi等，2024）。作者报告GPT-5.6-Luna、Claude Opus 5、Kimi K3、GLM-5.3仍易受X-Teaming等多轮攻击（Figure 1）。
    • 两类目标：沿R2 AI，作者把持续安全分为对已知威胁的resistance，以及对未预见风险的resilience。作者认为，从更多样的攻击中学习，可能强化对共同安全原则的理解，从而用于训练时未见的风险。
    • 现有不足：已有工作提供从安全失败中学习、并管理安全与有用性权衡的候选方法。作者认为，有效更新须按当前模型与新攻击选择并组合方法，再搜索数据构建、混合与超参数，因而要实验探索，而不是固定流程。
    • 本文提出：ReSI用自动研究做递归安全改进。每轮对当前目标模型做多种红队，形成训练配方，在Pareto gate通过后，把安全增益最大的更新当作下一轮目标。作者称这里的递归是有界的：搜索过程与评测协议固定，只更换目标模型。

  2. What related research exists?

    相关工作涵盖自动红队、安全对齐、迭代对抗训练，以及自动研究与有界递归改进。

    Related Work按方法族讨论，下面收成四组。论文未逐篇批评的，只写它做了什么。

    自动红队

    • 梯度与反馈：GCG（Zou等，2023）用梯度搜索可迁移对抗后缀；PAIR（Chao等，2025）与TAP（Mehrotra等，2024）用目标模型反馈做提示词精炼和树搜索。
    • 覆盖与经验：好奇心驱动强化学习（Hong等，2024）用新颖性奖励；Rainbow Teaming（Samvelyan等，2024）用质量-多样性搜索覆盖风险类别与攻击风格。AutoDAN-Turbo（Liu等，2025）、AutoRedTeamer（Zhou等，2025）、JailbreakSkill（Wen等，2026）分别用策略库、记忆或失败分析积累攻击经验。
    • 进化与多轮：DARWIN（Qi等，2026）通过发现、变异与组合扩展策略池；X-Teaming（Rahman等，2025）协调智能体做自适应多轮攻击。作者称这些方法用多样、自适应攻击，暴露固定评测可能遗漏的漏洞。

    安全对齐

    • 偏好与约束：RLHF（Bai等，2022）从人类偏好训练有用且无害的助手；Constitutional AI（Bai等，2022）从显式原则得到批评与偏好；Safe RLHF（Dai等，2024）在有害性约束下优化有用性。
    • 安全推理：Deliberative Alignment（Guan等，2024）、SafeChain（Jiang等，2025）与STAR-1（Wang等，2026）用安全规格或安全导向推理数据做微调。SInternal（Zhang等，2026）监督对模型回复的批评与判断，并考察验证训练作为强化学习初始化。
    • 奖励设计：AlphaAlign（Zhang等，2025）结合可验证安全奖励与有用性监督；RECAP（Peng等，2025）训练从反对齐推理预填充中恢复。ReSI的安全强化学习阶段建立在GRPO（Shao等，2024）与DAPO式优化（Yu等，2025）上。作者称这些方法在数据、监督与目标上提供多种写入安全知识的途径。

    迭代对抗训练

    • 攻防交替：MART（Ge等，2024）交替“生成不安全回复的对抗模型”与“用安全回复微调的目标模型”。MAGIC（Wen等，2026）、AdvGame（Paulus等，2025）、CHASE（Markasserithodi等，2026）用强化学习训练相互适应的攻击者与防御者。
    • 角色扩展：自我对弈把攻击与防御赋给同一模型（Liu等，2026；Wang等，2026）；TriPlay-RL（Tan等，2026）再加评估者。
    • 作者的区分：作者指出这些方法在固定训练流程内迭代，ReSI则每轮重选攻击来源、对齐方法、数据混合与训练配置。

    自动研究与递归自我改进

    • 实验搜索：AIDE（Jiang等，2025）在候选实现上搜索；AlphaEvolve（Novikov等，2025）把语言模型提案与进化搜索、自动评测结合；ERA（Aygün等，2026）用树搜索开发并精炼科学软件。评测结果指导后续选择与修订。
    • 流程自动化：The AI Scientist（Lu等，2026）、Agent Laboratory（Schmidgall等，2025）、AI-Researcher（Tang等，2025）覆盖文献、规划、实验、解释与报告。Chen等（2026）的自动对齐研究者一次缓解一个特征明确的对齐失败。作者称这促使ReSI用自动实验，为当前模型及其已识别漏洞制定对齐策略。
    • 递归改进：Yampolskiy（2015）区分自我修改、固定算法内的自我改进，以及每一版更擅长优化后续版本的递归自我改进。STOP（Zelikman等，2024）、Darwin Gödel Machine（Zhang等，2025）、AIDE2（Srikanth等，2026）主要改进编程或研究任务。作者称ReSI把有界递归循环用于安全，并用固定Pareto gate验证每次更新。

    基线与基准

    • 基线：原始骨干、A3、MAGIC。前沿对照为GPT-5.6-Luna、Claude Opus 5、Kimi K3、GLM-5.3。
    • 基准：WildJailbreak（分布内）、HarmBench（既有防御，训练中排除）、H-CoT与X-Teaming（训练时未见的攻击机制）、XS-Test（过度拒绝）、GPQA-Diamond、MMLU-Pro、IFEval。

    作者把ReSI放在可扩展红队池、对齐池与自动实验的交叉处：按反馈为每个检查点重选配方，而不是只在固定攻防流程里迭代，也不同于主要改进编程或研究能力的递归自我改进。

  3. How does the paper address this problem?

    ReSI每轮红队找漏洞并筛选配方，再经Pareto gate提升安全增益最大的更新。

    ReSI把安全改进写成对目标模型的递归循环：从M0出发，第t轮对Mt做红队并搜索训练配方，得到Mt+1。一轮之内，在可扩展空间里寻找能加强对已暴露攻击的抵抗、同时保留既有安全行为与通用能力的配方。Figure 2分为三阶段。作者称递归是有界的：搜索过程与评测协议固定，只更换目标模型。

    红队评估

    • 数据与方法：安全池St用WildJailbreak训练集初始化；红队池At为DARWIN、JailbreakSkill、MAGIC。各方法从St构造对Mt的攻击，并可按回复调整。新数据与新红队方法可进入池中。
    • 成功样本：只保留Unsafe(x, y)=1的输入–回复。实现中，安全评判为5分才保留；缺失回复与无效评判不算成功。去掉首尾空白后按精确提示词去重，并排除留出集与评测提示词。各方法先在完整训练划分上生成，再抽样；试点抽样不限制生成。
    • 用途：得到的攻击集作为后续自动研究的安全训练信号。附录A.1给出采集与记录字段。

    联合配方空间

    候选配方写成

    ρ=(α, m, λ, h)

    α是各红队来源的选取比例，m是对齐方法，λ是数据混合，h是该方法可用的训练配置。

    • 攻击数据：α_a在0到1之间；0为排除该来源，1为留下其全部成功攻击。可选单一来源、全部来源或调整贡献。
    • 对齐方法：实验池包括SInternal式critic SFT、A3式response SFT，以及基于AlphaAlign、用DAPO式优化的safety GRPO。A3把有害请求与表面模式相似的良性请求配对后做监督微调。SInternal让模型先生成对自身回复的批评，再预测安全判断。AlphaAlign对有害请求用安全指示作奖励，对良性请求还要求完全服从，使“安全但不必拒绝”得不到奖励。附录C的实现里，有害回复在安全分≤3时奖励为1，否则为0；良性回复还须完全服从。
    • 混合与超参数：λ的三项为当前安全样本、早前安全回放、通用任务样本，非负且和为1；零权重即排除该类。论文举例通用任务可含GSM8K或Self-Instruct；实现默认用Dolci-Instruct-SFT，上限20,000条，保留Safety域以外的完整单轮样本。h覆盖学习率、批大小、训练预算、检查点频率、LoRA，以及强化学习生成参数。每个试点执行前固定并记录完整配方。

    试点筛选

    • 初始试点：对至少有n0条成功攻击的来源，与每个对齐方法配对。默认n0=512，混合为(1, 0, 0)。Critic SFT与A3的试点预算为128次优化器更新，safety GRPO为8次迭代（Table 3）。第一轮另把原始安全数据中的成功攻击作为共享底。所有试点从Mt开始。
    • 安全增益：在留出验证集Vt上，

    gt(ρ)=ASR(Mt; Vt)−ASR(Mtρ; Vt)

    即当前模型与该配方检查点的ASR之差。若训练前WildJailbreak ASR<5%，改用50条H-CoT：要求H-CoT增益>0，且WJB ASR相对Mt的上升不超过2个百分点（附录B.2.1）。

    • 扩展与短名单：增益不大但可用攻击明显更多时，样本量提到nscale（默认2,048），来源、方法与初始设置不变，仍从Mt重开；每轮最多1次。增益为正者中取至多K=2个进入阶段3，每个来源–方法对只占一位。短名单为空则保留Mt并终止。

    全量精炼与更新

    • 全量试验：短名单配方扩到该方法在完整安全池上的全部成功攻击，从Mt开始，并取消试点预算上限。参考预算为512次SFT更新、62次GRPO迭代；各模型实际步数在附录C。
    • Pareto gate：安全增益相对Mt须为正；良性服从BC与指令跟随IF相对初始模型M0的下降不超过容差。附录默认各允许下降3个百分点（Table 7）。门槛相对M0而非上一轮，作者称因此每一步在传播前都经过验证。
    • 四项技能：超出初始试验最多再精炼Rmax=3次。S1在增益偏小时合并其他来源；S2在BC低于门槛时加入A3式良性对照并调整采样；S3在IF低于门槛时提高通用任务比例，或降低学习率或更新步数，每次只改一维；S4对已通过门槛的SFT，从该检查点继续safety GRPO，精炼计数归零，GRPO阶段还可再做至多Rmax次，且不能再次调用S4。开训前对每条提示词生成G=8个回复，仅当评判有效且组内同时有0和1奖励时保留（temperature 1.0、top-p 0.95）。Table 5的恢复阈值只允许继续训练，不构成最终接受。
    • 选择与停止：全部分支结束后，在通过gate的配方中取安全增益最大者作为下一目标。无合格配方则保留Mt。GPT-4o（temperature 0）提供提案理由并在可执行选项中选择；执行框架强制数据、预算、评测与门槛。批评监督用Claude Sonnet 4.5（temperature 0），批评最多512 token，且须以与参考标签一致的safe/unsafe判断结束；批评者只看到目标请求与最终答案。

  4. What experiments did the paper conduct?

    四个模型上ReSI降低分布内与未见攻击ASR，X-Teaming平均从86.01%降到31.45%。

    实验设置

    • 目标模型：Qwen3.6-27B、Ministral-3-14B-Reasoning-2512、DeepSeek-V4-Flash-0731、Safin-1（35B-A3B）。前两个为稠密模型，后两个为混合专家。HarmBench初始ASR分别为3.75%、53.50%、33.25%、0.25%（Section 3）。
    • 对照：原始骨干；A3覆盖四个模型；MAGIC覆盖前三个，Safin因后端缺少所需强化学习支持而省略（附录B.2）。MAGIC既在红队池中，也作为对齐基线。前沿对照为GPT-5.6-Luna、Claude Opus 5、Kimi K3、GLM-5.3（Figure 1）。
    • 规模：最终评测WildJailbreak 2,000、HarmBench 400、H-CoT 50、X-Teaming 159、XS-Test 250、GPQA-Diamond 198、MMLU-Pro 1,000、IFEval 541（Table 6）。验证为128条留出WildJailbreak；低ASR配置用50条H-CoT；BC与IF各50条；种子42（Table 7）。
    • 指标：ASR为成功攻击比例，仅评判分数5计成功；可视化用DSR=1−ASR。XS-Test为完全服从率，完全拒绝与部分拒绝都算过度拒绝。GPQA-Diamond与MMLU-Pro为准确率。门槛用IFEval loose instruction accuracy；Table 2另报prompt级。
    • 评审与采样：GPT-4o、temperature 0，五分制改编自X-Teaming（附录B.2.2给出提示词）。X-Teaming上限为10个已执行计划、7轮对话、4次TextGrad；DeepSeek-R1规划，Qwen2.5-32B-Instruct生成并优化攻击提示词。目标模型评测温度多为1.0，Claude Opus 5用服务默认采样（Table 8）；输出上限32,768 token，截断后增至65,536。
    • 运行与重复：红队池为DARWIN、JailbreakSkill、MAGIC；对齐池为critic SFT、A3式SFT、AlphaAlign式safety GRPO。自动研究代理为GPT-4o（temperature 0）。四模型均在下一轮无候选通过Pareto gate时停止。接受轮数：Qwen与Ministral为2，DeepSeek为3，Safin为1。附录B.2.1写明单次比较不建立统计显著性。

    主结果

    下表为Table 1中骨干与ReSI的ASR（%），越低越安全。A3、MAGIC与前沿模型不在表中。

    Swipe horizontally to read the table

    模型方法WJBHBH-CoTX-Teaming
    Qwen3.6-27B骨干11.05%3.75%72.00%80.50%
    Qwen3.6-27BReSI0.45%0.00%4.00%16.98%
    Ministral-3-14B骨干85.15%53.50%98.00%100.00%
    Ministral-3-14BReSI2.60%3.00%18.00%27.67%
    DeepSeek-V4-Flash骨干35.15%33.25%100.00%98.74%
    DeepSeek-V4-FlashReSI0.70%2.00%0.00%37.74%
    Safin-1 (35B-A3B)骨干2.10%0.25%82.00%64.78%
    Safin-1 (35B-A3B)ReSI0.35%0.25%6.00%43.40%
    • 分布内：作者报告四模型在WildJailbreak上ASR下降，HarmBench上既有防御被保留或加强，跨不同初始安全水平。Safin的HarmBench保持0.25%，没有进一步下降。
    • 相对基线：作者称ReSI在这两套基准上一致优于A3，并在几乎所有可得比较中超过MAGIC。作者点名的例外是Qwen的WildJailbreak：ReSI 0.45%，MAGIC 0.40%（Table 1）。Qwen的X-Teaming与MAGIC同为16.98%。
    • 未见攻击与前沿：H-CoT与X-Teaming不在训练用红队池中。作者称H-CoT ASR从对齐前72–100%到对齐后0–18%；X-Teaming平均从86.01%到31.45%，降54.56个百分点。四模型X-Teaming为16.98–43.40%，低于四个前沿模型的56.69–84.85%；其中GPT-5.6-Luna为56.69%（Figure 1、Section 4.2）。作者称对齐前Ministral与DeepSeek在X-Teaming上差于全部前沿参照，Qwen与Safin落在前沿区间内；对齐后四模型都低于每一个前沿参照。分布内并非每个ReSI模型都低于每个前沿模型，例如Ministral的WildJailbreak高于GPT-5.6-Luna的1.90%（Figure 1）。作者称完整安全面板上，对齐后ASR落在前沿区间之内或之下。

    能力与良性服从

    • XS-Test：Qwen从96.00%到98.80%，DeepSeek从96.40%到98.40%。Ministral与Safin各降2.80个百分点，至93.20%与85.60%；作者称仍高于对应安全训练基线（Table 1）。
    • 能力变化：作者称Qwen、DeepSeek、Safin的GPQA-Diamond不变或上升，这三模型的MMLU-Pro变化为−0.90到+2.30个百分点；四模型IFEval loose instruction accuracy下降1.31–2.07个百分点（Section 4.3）。
    • 例外：Ministral在推理与知识上下降更大，GPQA-Diamond从71.21%到66.16%，MMLU-Pro从73.40%到70.10%（Table 2）。Table 2里ReSI也不是每项都高于基线，例如Qwen的MMLU-Pro为84.90%，低于骨干85.70%与MAGIC的86.00%。附录B.2.1称这些单次比较不建立统计显著性。

    配方搜索案例

    附录D记录Qwen的一条路径，百分比来自Table 12与Table 13。

    • 试点：候选都用critic SFT。A3与JailbreakSkill的WJB ASR均为0，H-CoT为30%与16%；MAGIC为0.78%与30%。JailbreakSkill进入扩展训练，指令跟随仍待处理。
    • 扩展SFT：样本从1,022增到4,092后，H-CoT ASR为26%，WJB为2.34%，IF为92%，比该案例中M0参考的98%低6个百分点，未通过门槛。作者称数据组成与更新步数也变了，不能把该对比单独当成规模效应。
    • GRPO恢复：Skill S4从该SFT检查点继续。step 20的WJB与H-CoT ASR为0%与4%，IF为96%，被选为下一模型；step 50为0.78%与8%。失败的SFT检查点本身不进入最终候选。

    其他消融与分析

    • 接受轮数：Qwen 2，Ministral 2，DeepSeek 3，Safin 1；下一轮无合格候选则停止（Section 3）。
    • 所选方法：Qwen与Ministral为critic SFT加safety GRPO；DeepSeek三轮与Safin一轮为A3式SFT（附录C）。
    • 试点控制：n0=512，K=2，nscale=2,048，每轮最多1次扩展（Table 3）。
    • 全量参考预算：SFT 512次更新，GRPO 62次迭代；每阶段Rmax=3（附录A.3）。
    • LoRA rank/scaling：16/32，Safin为32/64（附录C）。
    • Table 5恢复阈值（不构成最终接受）：安全增益≥5个百分点，IF与BC下降≤6个百分点；H-CoT决定增益时WJB ASR上升≤2个百分点。

    附录B.2.1写明：H-CoT以及XS-Test/IFEval验证子集与最终评测重叠，并参与了选择，不是独立留出证据。最终WildJailbreak用单独测试划分；HarmBench不进入训练。

  5. What are some points that can be further explored?

    作者称实验的模型、配置和轮次有限，且目前只更新目标模型。

    作者指出的局限与后续方向

    • 范围：作者写明当前实验覆盖的模型与配置有限，更新轮次有限（Section 6）。
    • 更广评测：更广实验可在更多样的攻击与训练数据上评估安全增益（Section 6）。
    • 更长运行：更长运行可考察这些增益是否持续，以及既有防御与通用能力是否保持（Section 6）。
    • 双方演化：作者认为这类评估可在模型与攻击同时演化时进一步刻画resistance与resilience（Section 6）。
    • 递归对象：目前只更新目标模型，精炼技能跨轮固定；后续可根据前几轮结果更新这些技能，把递归从目标模型扩展到改进过程本身（Section 6，引用Yampolskiy，2015）。

    实验覆盖范围

    • 被测模型为Qwen3.6-27B、Ministral-3-14B-Reasoning-2512、DeepSeek-V4-Flash-0731、Safin-1（35B-A3B），共4个，含稠密与混合专家（Section 3）。
    • 安全评测为WildJailbreak、HarmBench、H-CoT、X-Teaming；服从与能力为XS-Test、GPQA-Diamond、MMLU-Pro、IFEval（Section 3、Table 6）。前沿对照为GPT-5.6-Luna、Claude Opus 5、Kimi K3、GLM-5.3（Figure 1）。
    • 训练循环的红队池为DARWIN、JailbreakSkill、MAGIC，对齐池为critic SFT、A3式SFT、AlphaAlign式safety GRPO（Section 3）。论文未报告这三种红队方法在训练循环中生成攻击所用的模型。X-Teaming评测写明DeepSeek-R1规划、Qwen2.5-32B-Instruct生成并优化提示词（附录B.2.2）。
    • 接受更新轮数为2、2、3、1；四模型均在下一轮无候选通过Pareto gate时保留最后接受的模型（Section 3）。MAGIC基线未在Safin上运行，附录B.2称其训练框架缺少强化学习支持。
    • 最终安全评判为GPT-4o（temperature 0），成功阈值为分数5。附录B.2.1写明比较为单次，不建立统计显著性；H-CoT与XS-Test/IFEval的验证子集与最终评测重叠，并参与选择。

  6. Summarize the main content of the paper

    ReSI用自动研究逐轮更新安全对齐，四模型在未见X-Teaming上低于文中前沿ASR。

    ReSI是一个有界的递归安全改进框架：每轮用多种红队找出当前模型的漏洞，再用自动研究选出提高安全、同时保住指令跟随与良性服从的训练更新。

    要处理的是检查点更迭时安全对齐不一定延续，以及红队方法持续带来新漏洞。作者把目标分成对已知威胁的resistance，和对训练中未见风险的resilience。搜索过程与评测协议跨轮固定，只更换目标模型。

    一轮分三步。DARWIN、JailbreakSkill与MAGIC在WildJailbreak训练请求上攻击当前模型，只留下评判为成功的样本。低预算试点比较攻击来源与对齐方法，短名单默认至多2个。全量阶段按门槛反馈调整来源组合、有害–良性配对、通用数据或学习率，并可为已通过的SFT接上safety GRPO。Pareto gate要求相对当前模型的安全增益为正，且良性服从与指令跟随相对初始模型的下降不超过3个百分点。无合格配方则保留当前模型并停止。

    四个稠密或混合专家模型上的主要结果如下。

    • WildJailbreak的ASR分别从11.05%、85.15%、35.15%、2.10%到0.45%、2.60%、0.70%、0.35%；HarmBench到0%、3.00%、2.00%，Safin保持0.25%（Table 1）。
    • 训练池外的X-Teaming平均ASR从86.01%到31.45%。四模型为16.98%–43.40%，低于文中前沿模型56.69%–84.85%；GPT-5.6-Luna为56.69%（Figure 1）。作者给出的H-CoT对齐后区间为0–18%。
    • 作者报告ReSI在所得比较上ASR低于A3；相对MAGIC，Qwen的WildJailbreak为0.45%对0.40%，是作者点名的例外。
    • XS-Test上Qwen与DeepSeek上升，Ministral与Safin各降2.80个百分点。四模型IFEval loose instruction accuracy下降1.31–2.07个百分点；Ministral的GPQA-Diamond从71.21%到66.16%（Table 2）。

    作者认为这些结果支持用自动实验从新发现的漏洞中学习，并把递归安全改进视为通向resistant与resilient AI的一条实践路径。作者同时写明，实验的模型、配置和轮次有限，目前只更新目标模型，精炼技能跨轮固定。

Read originalarxiv.org
#Defenses and guardrails