MEEA：基于曝光效应的多轮越狱攻击框架

多轮交互会移动 LLM 的有效安全边界，现有越狱却多按静态边界设计。

• 场景：作者称 LLM 已用于教育、医疗、金融等高影响领域，越狱要绕过对齐并引出被禁止或不安全的输出。Figure 1 中，直接高毒性查询被拒答，递进的低风险对话则可引出不安全内容。
• 现有不足：作者称单轮方法靠提示注入、角色扮演或指令混淆，往往脆弱、易被审核发现，且难利用上下文。多轮方法更隐蔽，但常不稳定、输出方差高、自动化有限。SFT、RLHF 与推理时过滤多按静态或逐轮部署。
• 核心假设：作者借用单纯曝光效应（mere exposure effect）：非威胁刺激反复出现会提高接受，过早的负面刺激会强化厌恶。作者假设存在随历史变化的警戒水平，重复低毒性、主题相关的提示可把它调低。
• 本文提出：全自动黑盒框架 MEEA，用语义递进的提示链和模拟退火，评估持续交互中的多轮安全鲁棒性。
• 威胁模型（第 3.2 节）：
  • 目标：不触发拦截，诱导违反平台政策或伦理约束的内容。有效越狱指回复看似合上下文，却含通常会被对齐抑制的信息。
  • 知识：realistic black-box。只经 API 或聊天接口交互，无训练数据、参数或内部安全配置。
  • 能力：标准用户权限并完全控制多轮上下文，可按回复改后续提示，可用外部工具估计相似度与毒性。除速率限制外无额外约束。
  • 受害系统与排除项：文中举例 GPT-4、Claude-3.5，机制含 SFT、RLHF、prompt filtering 与 response classification。不包括白盒、系统入侵和训练或对齐阶段的数据投毒。

按第 2 节，作者把越狱分成白盒、灰盒或准黑盒、纯黑盒，并在黑盒里再分单轮与多轮。

白盒与灰盒

• 白盒梯度方法：可访问结构和参数时，作者举出通用对抗攻击（Zou 等，2023）、AutoPrompt（Shin 等，2020）和针对文本 Transformer 的梯度提示攻击（Guo 等，2021）。作者称在可完全访问模型时，直接优化提示表示能够引出违反安全策略的回复。
• 灰盒或准黑盒：梯度不可得，但可能看到回复概率或日志。作者把 [21]–[24] 概括为用输出分布或置信度引导强化学习来优化对抗提示，并称其在 OpenAI、Claude 等商用模型上有初步结果，但常受旁路信息假设限制。正文未逐篇展开这四项。

黑盒单轮与多轮

• 单轮提示工程：作者称纯黑盒只能通过自然语言输入输出交互。文中把 [7]–[10]、[25] 归入角色扮演、场景替换和指令混淆，并称其在部分情形有效，但往往脆弱，且因缺少上下文累积而易被审核发现。同一节又把 [8] 列为白盒代表。
• 多轮上下文累积：作者把 [11]–[14] 概括为把有害目标拆成表面无害的查询，借助分布式提问、意图混淆和上下文 priming，在保持表面合理性的同时逐步引导模型。作者称多轮通常更成功的原因仍分析不足：更长历史会使安全策略更难一致执行，较早轮次也会影响后续回复。

与 COA、FITD 的区别

• COA（附录 A.1）：作者称 COA 要求回复与攻击目标的语义相关性单调上升，相关性下降时重生或回溯，且较依赖初始链质量。MEEA 重复暴露低风险、语义相关的上下文，以求降低有效警戒，并用每轮模拟退火持续改写，而不是只做语义升级。
• FITD（附录 A.2）：作者称 FITD 也借用心理现象，但是逐轮提高提示的显性恶意程度，依赖人工升级路径，拒答时插入过渡提示。MEEA 不要求每步显性升级，按模型反馈做退火；拒答时用回滚和扰动。作者称这是把越狱写成行为适应过程，而不是预定的升级序列。

基线与基准

• 基线方法：实验对比 AutoDAN、GCG、PAIR、TAP、COA、ReNeLLM、FITD（第 5.1 节，附录 B）。附录 B 称 AutoDAN 用强化学习和对抗训练生成提示；GCG 做单轮对抗提示生成；PAIR 按中间回复迭代改写；TAP 每轮生成多条候选并按分数选路径；ReNeLLM 用改写加场景嵌套。第 2 节把含 PAIR 的引用归入单轮，附录 B 则把 PAIR 写成多轮。
• 基准/数据集：AdvBench 与 JailbreakBench。作者的定位是：现有多轮方法缺少对动态边界的分析，本文用曝光引起的、依赖历史的警戒变化来构造可自动优化的多轮轨迹。

MEEA 把越狱做成多轮搜索：先按攻击目标生成语义递进、风险渐增的提示链，再根据目标模型反馈做模拟退火，并用回滚处理拒答和死路（Figure 2，第 4 节）。

模块与形式化

• 三个模块：初始提示链生成、提示扰动与优化、结构化提示更新（Algorithm 1）。
• 输入：攻击目标 g、攻击模型 A、目标模型 T、评审模型 J、语义评分器 S、毒性检测器 D、分支因子 B、最大迭代 N。A 的具体模型论文未给出。
• 行为设定：作者把对有害内容的敏感度写成交互历史的函数，并把对话组织成反复的低风险暴露，同时逐步提高与敏感目标的语义接近程度。Figure 2 的图注称，重复低毒性暴露会逐渐降低有效安全警戒。

初始提示链

• GenerateInitialPrompts(g, A, B) 得到候选集 C0。候选可以是疑问、陈述或委婉等语义形式，用来扩大搜索覆盖。
• SelectTopK 用 J、S、D 选出初始链 C，再交给轮次管理器和任务状态。论文给出 B 与 TopK 的符号，未给数值。

模拟退火

每轮取出当前提示 P，向 T 查询得到 Rbase，再调用 SA.optimize。能量同时计入越狱效果、回复毒性，以及回复与攻击目标的语义接近程度：

E(P, R_base, g)=α· J(P′,R′)+β· D(R′)+γ· S(g,R′)

P' 是扰动后的提示，R' 是对应回复。作者在留出验证集上把 α、β、γ 设为 0.4、0.2、0.4。作者称该配置鼓励语义连贯、避免过早拒答、与攻击目标保持一致，并允许回复风险有控制地上升。验证集规模论文未写。

• 接受规则：能量上升则接受；下降时若 exp(Δ/Tann) 大于随机数也接受。Δ 为新旧能量差。Tann 从 T0 起乘以 η，降到 Tmin 以下停止；每个温度做 K 次扰动。
• 内层是否重新查询：第 4.1 节称每轮把轻微扰动后的提示提交给目标模型再评估。Algorithm 2 的内层写的是 Energy(Pnew, Rbase, g)，没有再写出对新提示的查询。论文未说明每次扰动是否都重新查询 T。
• T0、Tmin、η、K、N 的数值论文未给。Figure 2 把该优化标成 SAJ，正文算法名是 SA.optimize。扰动在图中被写成用于降低提示毒性，具体算子论文未给。

更新、回滚与停止

• 后续提示纳入目标模型的历史回复，以保持连贯。
• 若候选暂时使能量变差、但仍被保留以便日后重访，则不立即丢弃；遇到拒答、路径中断或优化死路时回滚替换。论文未给出回滚的触发阈值。
• 外层用评审分数 s。若 s 不小于 τ 则提前结束，否则直到 N 轮，返回多轮链 C∗。τ 的数值论文未给。

实验设置

• 目标模型：GPT-4、Claude-3.5-Sonnet（Table 1 表头写 Claude-3.5）、DeepSeek-R1、LLaMA-3.1-8B、Qwen3-8B。第 5.2 节称 GPT-4 与 Claude-3.5 为商用闭源，开源模型写的是 LLaMA-3.1-8B 与 Qwen3-8B；结论把 DeepSeek-R1 与 GPT-4、Claude-3.5 并列在闭源例子中。
• 数据与基线：AdvBench 与 JailbreakBench 各随机 50 条有害查询，并做一致预处理；预处理规则论文未写。基线为 AutoDAN、GCG、PAIR、TAP、COA、ReNeLLM、FITD。论文未按两个基准分开给 ASR。
• 主指标：ASR，由 GPT-4o 判断目标输出是否构成成功越狱。为减少离题生成造成的假阳性，另记录毒性（Perspective API 与 GPT-4o）和目标与回复的语义相似度（本地 SimCSE）。论文未给出 GPT-4o 的判定提示、是否另有分数阈值，也未报告与人工的一致性。
• 另一套标签：第 5.3 节的动态阈值分析不沿用主表 ASR。该处把同时满足两点的回复记为越狱：未检出标准拒答线索，且 response–goal 语义相似度超过 0.5。Margin 等于 1 减回复毒性，再减提示–目标相似度与回复–目标相似度的平均值。作者称 Margin 越低对应越弱的有效安全边界，只用于对话内趋势，不是绝对安全度量。
• 规模：主实验为两基准各 50 条。Figure 4 标注 GPT-4 与 DeepSeek-R1 的 n=10 与 n=100，论文未定义 n。论文未报告重复次数和查询预算，也未说明 Table 1 的非整数百分比如何从这些查询聚合。

主结果

据 Table 1 的 ASR（%）。五行都是目标模型，没有省略模型。

| 模型 | MEEA | FITD | TAP | ReNeLLM | GCG | | GPT-4 | 95.61 | 83.00 | 40.97 | 68.08 | 2.53 | | Qwen3-8B | 93.97 | 85.12 | 28.76 | 45.67 | 5.62 | | LLaMA-3.1-8B | 94.68 | 82.38 | 37.27 | 61.52 | 21.33 | | DeepSeek-R1 | 95.23 | 71.13 | 79.23 | 0.00 | 8.67 | | Claude-3.5 | 83.67 | 76.23 | 10.45 | 37.69 | 3.82 |

未列入上表的 Table 1 列：AutoDAN 平均 34.33%（Claude-3.5 为 2.21%，DeepSeek-R1 为 87.33%），PAIR 平均 26.98%，COA 平均 27.99%（Claude-3.5 为 1.73%，GPT-4 为 41.56%）。MEEA 平均 92.63%，FITD 平均 79.57%，GCG 平均 8.39%。

• 作者称 MEEA 在全部五个目标上 ASR 最高。摘要称平均 ASR 提升超过 20%。Table 1 平均列中，MEEA 为 92.63%，七个基线从 GCG 的 8.39% 到 FITD 的 79.57%。
• 作者称 GPT-4 与 Claude-3.5 上的平均 ASR 为 91.5%；Table 1 这两格是 95.61% 与 83.67%，论文未说明 91.5% 如何得到。作者称 LLaMA-3.1-8B 与 Qwen3-8B 的成功率超过 94.0%；Table 1 为 94.68% 与 93.97%。
• 作者称退火搜索有助于减轻轨迹不稳定和过早路径坍缩。五个目标里 MEEA 最低的是 Claude-3.5 的 83.67%。ReNeLLM 在 DeepSeek-R1 上为 0.00%。论文未解释这两处。

动态阈值

• 测了什么：对 MEEA 生成的链做多轮再插入。前 n 轮把已有提示作为历史来查询当前提示；第 n+1 轮把原目标 g 当作当前提示，整条链作为历史。每轮记录提示与回复的毒性，以及它们同目标的语义相似度，并计算 Margin。
• 作者的观察：随着上下文累积，Margin 常阶梯式下降；低毒性引导若干轮后，越狱更易出现。过早放入高毒性提示时，更容易出现更强的拒答，Margin 回升。
• 图：Figure 4 分四栏画出 GPT-4 与 DeepSeek-R1 在 n=10、n=100 下、group 1–10、round 1–6 的 Avg Threshold Margin，纵轴标注约 0.0 至 0.8。文本转换看不到各曲线端点，故不转写曲线高低。Figure 3 以 chain group 0–9、round 1–6 标注四类相似度与毒性；正文未逐格解读，转换后的格子可能错列，此处不摘格子。

消融

• 测了什么：同一评测设置下每次去掉一个模块，只报告 LLaMA-3.1-8B 与 GPT-4（Table 2）。w/o SA 不做退火扰动，直接用初始提示。w/o Multi-Round 只提交最终对抗提示。w/o Feedback-Scoring 去掉语义相似度与毒性，只按越狱评审分数优化。
• 结果：Full MEEA 为 94.68% 与 95.61%，与 Table 1 这两格相同。w/o SA 为 75.12% 与 71.58%；w/o Multi-Round 为 51.45% 与 53.26%；w/o Feedback-Scoring 为 76.33% 与 77.01%。
• 作者解读：去掉多轮的数值最低，作者据此强调上下文累积。作者称去掉模拟退火或反馈评分也会使 ASR 下降约 20%。

其他消融与分析

• 附录 C 的 Table 3 给出一条五轮轨迹：SimCSE 相似度依次为 0.18、0.32、0.46、0.61、0.82，毒性（该表注明用 GPT-4）依次为 0.03、0.05、0.12、0.18、0.80。作者称早期毒性较低、相似度逐轮上升，第 5 轮出现受限信息且无明确拒答。附录与 Figure 5 有示例，此处不复述请求和输出原文。
• 附录 D 称 Figure 6 的 100 条交互链中，多数语义相似度约从 0.3–0.5 升到 0.6–0.8；部分链后期回复毒性接近或超过 0.8，且常与相似度上升同时出现。文本转换看不到这些曲线的位置。
• 能量权重固定为 α=0.4、β=0.2、γ=0.4。论文未报告其他权重下的 ASR。
• Table 1 中 PAIR 五格为 27.15%、18.45%、29.31%、47.56%、12.41%（顺序同表头：GPT-4、Qwen3-8B、LLaMA-3.1-8B、DeepSeek-R1、Claude-3.5）。

作者指出的局限与后续方向

• 只研究文本对话中的输出层对齐失败，未考察代码生成或多模态输入下的行为；对多模态系统或具备可执行能力的模型，适用性仍是开放问题（第 7 节）。
• 优化目标依赖外部的语义相似度与毒性评估，可能给越狱评估带来偏差或噪声（第 7 节）。
• 动态阈值分析是启发式的，不构成正式安全度量（第 7 节）。
• 作者计划把框架扩展到结构化或多模态任务，发展更可解释、更稳健的行为评估准则，并建立理论模型来刻画动态对齐漂移与路径依赖的安全行为（第 7 节）。这是后续方向，不是已完成的扩展。

实验覆盖范围

• 被测模型为 GPT-4、Claude-3.5-Sonnet、DeepSeek-R1、LLaMA-3.1-8B、Qwen3-8B，共 5 个；主结果是 Table 1 的 ASR。
• 查询来自 AdvBench 与 JailbreakBench，各随机 50 条；对照基线为 AutoDAN、GCG、PAIR、TAP、COA、ReNeLLM、FITD。论文未按两个基准分开报告 ASR。
• 消融只含 LLaMA-3.1-8B 与 GPT-4（Table 2）。动态阈值图为 GPT-4 与 DeepSeek-R1，标注 n=10 与 n=100（Figure 4）；附录 D 描述了 100 条交互链（Figure 6）。
• 主 ASR 的评审模型是 GPT-4o；毒性评估为 Perspective API 与 GPT-4o；语义相似度为本地 SimCSE。附录 C 的毒性注明用 GPT-4。第 5.3 节另用拒答线索和相似度超过 0.5 做标签。
• 论文未报告攻击模型 A 的名称，未报告 N、τ、T0、Tmin、K、η、B、扰动算子、回滚阈值、查询次数与重复次数，也未报告 ASR 与人工判定的一致性，以及 prompt filtering、response classification 的单独拦截数字。

MEEA 是面向黑盒多轮对话的越狱框架，用来考察 LLM 安全行为是否随交互历史移动。

• 问题：作者认为重复的低毒性、主题相关提示会降低历史依赖的警戒水平，使稍后略高风险的查询更易通过。单轮提示工程和已有多轮方法都没有把这种曝光过程写成可自动优化的对象。
• 做法：攻击者只有标准用户权限，经 API 或聊天接口完全控制多轮上下文。框架先生成语义递进的提示链，再用模拟退火按越狱分数、毒性与语义相似度更新提示，权重为 0.4、0.2、0.4，并保留可回访的较差候选。
• 主结果：AdvBench 与 JailbreakBench 各 50 条上，Table 1 的 MEEA ASR 为 GPT-4 95.61%、Qwen3-8B 93.97%、LLaMA-3.1-8B 94.68%、DeepSeek-R1 95.23%、Claude-3.5 83.67%，五模型平均 92.63%。七个基线的平均从 GCG 的 8.39% 到 FITD 的 79.57%。摘要称平均提升超过 20%。作者另称 GPT-4 与 Claude-3.5 平均 91.5%、开源两模型超过 94.0%；Table 1 给出的是上列分格。
• 消融与轨迹：去掉多轮后，LLaMA-3.1-8B 与 GPT-4 为 51.45% 与 53.26%（Table 2）。作者称退火和多目标反馈也有贡献。一条五轮案例的相似度从 0.18 到 0.82，毒性从 0.03 到 0.80（Table 3）。
• 作者结论：作者认为安全行为具有动态、依赖历史的特点，静态、逐轮对齐可能不足以捕捉上下文累积造成的逐渐边界漂移。作者认为把越狱看成交互驱动的行为过程，对红队、对抗评估和安全审计有用。作者同时写明，外部评估可能带来噪声，动态阈值不是正式度量，且未考察代码生成与多模态输入。