Blueprint 框架用世界观模拟与 18 个影响因子提升多轮越狱成功率

多轮越狱攻击虽然能将有害意图分散在多轮对话中，但现有研究将攻击视为整体提示词模板或启发式轨迹搜索，模糊了驱动模型妥协的深层对话机制。

• 现实场景与问题重要性：大语言模型在关键高风险场景中广泛部署，拒绝鲁棒性是 AI 安全评估的核心问题；理解多轮交互下的越狱失效有助于诊断安全机制的脆弱边界。
• 现有方法的不足：早期单轮越狱将攻击作为提示词局部优化，忽略了累积上下文、渐进式承诺与拒绝恢复等交互动力学；现有早期多轮攻击则主要进行提示词桥接或粗粒度搜索，未探索世界观设定与心理学线索如何随时间共同改变模型的依从度。
• 核心观察与假设：作者认为模型的依从行为具有语境依赖性且由特定要素组合驱动；越狱可建模为纵向依从曲面上的状态搜索，跨轮情境状态决定了具体影响力要素的局部可解释性与有效性。
• 论文提出的方案：论文提出了多轮安全评估框架 BLUEPRINT，将基于心理学理论的 18 要素分解策略空间与维护情境连贯性的跨轮世界观模拟模块 WORLDVIEWSIM 解耦，并通过蒙特卡洛树搜索（MCTS）进行轨迹优化。
• 威胁模型：
  • 攻击目标：诱导受害模型绕过安全对齐，针对有害意图产生达到统一评审 5 分标准（完全执行违规意图）的回复。
  • 攻击者知识：采用黑盒评估设定，攻击者无需访问目标模型的梯度或内部权重，仅通过输入输出接口获取文本回复。
  • 攻击者能力：在最多 4 轮交互中，攻击者可自由生成并发送用户提示词，每次交互依赖统一的攻击生成器与评审模型指导搜索。
  • 受害系统：涵盖开源权重与闭源商业前沿大语言模型，包括部署了静态困惑度过滤、提示词重写或护栏分类器防御的对话系统。

论文从多轮状态搜索、社会影响力线索与世界观情境模拟三方面梳理了相关研究：

• 单轮与多轮越狱搜索：
  • 早期越狱研究（Zou et al., 2023; Liu et al., 2024; Chao et al., 2025; Mehrotra et al., 2024）将安全规避形式化为单轮提示词优化；作者指出其无法解释累积上下文、渐进式承诺和从部分拒绝中恢复的交互动力学。
  • 多轮交互攻击（Weng et al., 2025; Zhang et al., 2025; Yan et al., 2025; Ying et al., 2025; Rafiei Asl et al., 2025; Chen et al., 2025; Zhang et al., 2024; Liu and Lin, 2025）将有害意图分散并逐步升级；作者指出这类方法主要视攻击为提示词桥接或轨迹搜索，未探讨世界观模拟与心理学线索如何随时间协同发挥作用。
• 社会影响力与依从线索：
  • 经典心理学理论（Cialdini, 2001; Petty and Cacioppo, 1986a; Kahneman and Tversky, 1979; Bandura, 1977; Festinger, 1957）指出主体的依从性受到权威、紧迫感、得失框架和一致性压力等线索塑造。
  • 语言模型说服研究（Zeng et al., 2024; Huang et al., 2025; Weng et al., 2025; Liu and Lin, 2025; Zhang et al., 2024）引入了说服策略的因子化视角，例如区分中心与外周信息处理路径（Huang et al., 2025）；作者指出这些要素在跨轮社会情境中如何交互仍缺乏探索。
• 基于世界观的情境模拟：
  • 情境化越狱研究（Rahman et al., 2025）指出将有害意图嵌入规划器生成的上下文中可重构请求含义；作者指出已有系统将情境作为整体提示词外壳，而非独立可检验的机制。
• 对比基线与基准：
  • 对比基线：论文选取了 11 种基线方法，涵盖策略空间优化（CL-GSO）、单轮黑盒优化（PAIR、FlipAttack、CodeAttack）、树搜索与迭代细化（TreeAttack/TAP、AutoDAN-Turbo）、多轮渐进升级与多智能体（Crescendo、X-Teaming、RACE、Mousetrap）以及上下文示范攻击（ICA）。
  • 评测基准：实验采用 HarmBench 验证集的 80 个行为，覆盖网络犯罪、生物化学、版权、非法活动等危害类别。

作者将 BLUEPRINT 定位为将离散因子化社会影响力策略空间与跨轮世界观模拟解耦的多轮攻击评估框架，以兼顾攻击成功率与目标查询成本，并提供可追踪的交互演化机制。

BLUEPRINT 通过解耦轮次级策略控制与跨轮情境连贯性，构建可解释的多轮攻击与机制追踪框架。其整体流程由因子化策略空间、跨轮世界观模拟模块 WORLDVIEWSIM、提示词生成与自检以及蒙特卡洛树搜索（MCTS）协同组成（Figure 2）。

轮次对齐的因子化策略空间

• 18 个影响力要素定义：基于社会与认知心理学理论，论文定义了 18 个操作化要素，归为五大家族：任务/能力（Task/Capability，包含自我效能、操作能力、任务表征清晰度、范围框定、情境合理性 5 个要素）、正当性/规范（Legitimacy/Norms，包含权威、社会认同、正当性、价值对齐、规范认可 5 个要素）、关系（Relational，包含亲和力、温和感、互惠 3 个要素）、压力（Pressure，包含紧迫性、承诺一致性压力、损失、认知失调 4 个要素）以及奖励/收益（Reward/Gain，包含收益 1 个要素）（Table 4）。
• 离散编码空间：对于 K 轮交互（论文设定 K=4），候选策略表示为二进制策略编码 g = [g₁; …; g_K] ∈ {0, 1}^{K × D}，其中矩阵行对应轮次、列对应 D=18 个要素，构成大小为 2 的 72 次方的离散搜索空间（Figure 3），保留了生成提示词与底层要素选择之间的解析对应关系。

跨轮世界观模拟模块 WORLDVIEWSIM

• 情境状态建模：在每一轮 k，WORLDVIEWSIM 根据有害请求 q、轮次 k、历史对话以及高分经验池生成结构化情境 b_k = B(q, k, h_<k, ℰ)，该情境刻画当前交互的具体发生场景与角色关系。
• 三维联合表示：情境包含时间/空间/事件背景（D1）、请求者身份/角色（D2）以及被请求者理解框架（D3），三者作为统一叙事联合生成以维持跨轮身份与设定的连贯性（Figure 7）。
• 经验池跨请求复用：经验池存储先前 MCTS 搜索中评分不低于 4 分的高分世界观模拟、提示词、激活要素和评分，向后续搜索提供抽象指导而非直接套用模板。

提示词生成与质量自检

• 要素与情境融合：提示词生成器将选择的要素向量与世界观情境融合成单条用户提示词，并附带实际使用的要素标注 FACTORS_USED。
• 自检与重试循环：生成器在会话内评估阶段目标实现度、要素嵌入度和自然度（各 1–5 分），任一指标低于 4 分则重新生成，至多重试 4 次（Figure 8）。

基于 MCTS 的轨迹优化

• 搜索与选择机制：树节点对应部分或完整策略编码，采用 UCT 规则选择节点（探索权重 c=1.1）；扩展时变异下一轮要素位（变异率 0.25）并执行修复操作以确保每轮至少激活一个要素。
• 终止准则与适应度：以最终轮次的统一评审打分作为适应度信号；每轮交互若评审达到 5 分则提前终止。每项任务的展开预算上限设为 24（Table 5）。

实验设置

• 被测模型：共 6 个前沿模型，包括开源模型 Qwen3-Next-80B、DeepSeek-V3.2、GLM-4.7、GPT-OSS-120B，以及闭源商业模型 Gemini-2.5-Flash、GPT-5.1。
• 数据集与规模：采用 HarmBench 验证集的全部 80 个行为（n = 80），涵盖网络犯罪、生物/化学、版权、非法活动、虚假信息和骚扰等类别。
• 对比基线：共对比 11 种基线，包括 CL-GSO、X-Teaming、PAIR、TreeAttack/TAP、FlipAttack、CodeAttack、Crescendo、Mousetrap、AutoDAN-Turbo、RACE 和 ICA。
• 评测指标：攻击成功率（ASR，以达到 5 分判定为成功）、平均选定目标查询数（Avg. Q，沿所选轨迹的目标模型调用次数）以及平均评审得分（MJS）。
• 评审方式：攻击生成器与统一评审模型均固定为 DeepSeek-V3.2，采用 1–5 分制评测标准（5 分判定为攻击成功），对 1–4 分回复执行根本原因分析。
• 样本量与重复次数：每个模型评估 HarmBench 的 80 个行为，随机种子设定为 42；论文未报告针对同一随机种子的多次独立重复运行方差。

主结果

Swipe horizontally to read the table

目标模型	BLUEPRINT ASR	BLUEPRINT Avg. Q	最高基线 ASR	最高基线方法
Qwen3-Next-80B	100.0%	1.88	95.0%	CL-GSO
DeepSeek-V3.2*	98.8%	1.79	91.2%	CL-GSO
GLM-4.7	75.0%	3.73	47.5%	Mousetrap
Gemini-2.5-Flash	100.0%	1.74	90.0%	FlipAttack
GPT-OSS-120B	42.5%	3.31	52.5%	CodeAttack
GPT-5.1	58.8%	3.30	23.8%	X-Teaming
平均值	79.2%	2.46	51.4%	CL-GSO

注：据 Table 1。带 * 的 DeepSeek-V3.2 目标模型与攻击生成器及评审模型为同一模型。

• 整体性能提升：作者称 BLUEPRINT 在 6 个前沿模型上的平均 ASR 达到 79.2%，平均目标查询仅 2.46 次，在 5 个模型上超过了所有对比基线。
• 高抵御性模型表现：在防御能力较强的模型上，BLUEPRINT 在 GLM-4.7 上的 ASR 高出最强基线 27.5 个百分点（75.0% 对比 47.5%），在 GPT-5.1 上超过最强基线一倍以上（58.8% 对比 23.8%）。
• 特例模型表现：GPT-OSS-120B 是唯一一个 BLUEPRINT 低于基线的模型（42.5%），落后于 CodeAttack（52.5%）和 Mousetrap（46.3%）；作者认为该模型可能对结构化代码补全或推理链包装更敏感，而非基于情境的轮次状态搜索。

静态防御鲁棒性评测

• 评测设置：在 GLM-4.7 和 HarmBench 上测试了困惑度过滤（PPL，阈值 175.37）、提示词改写（Paraphrase）和护栏分类器（Guardrail）三种防御（Table 2）。
• 实验结果：PPL 过滤未拦截任何提示词且 ASR 微增 0.5 个百分点至 70.5%；Paraphrase 未拦截提示词且 ASR 提升 6.8 个百分点至 76.8%；Guardrail 拦截了 6 个提示词，ASR 降低 2.5 个百分点至 67.5%。
• 作者解读：作者认为静态单轮防御无法有效瓦解流畅且具情境性的多轮轨迹，表面重写不会损害优化轨迹。

拒绝恢复与要素转移分析

• 评测设置：针对三款高抵御性模型（GLM-4.7、GPT-5.1、GPT-OSS-120B），分析从前一轮低分状态（得分不大于 2 分）向其他要素家族转移时的即时分数变化与最终转化率（Figure 6）。
• 实验结果：在 43 次转向 Task/Capability 家族的转移中，GLM-4.7 评分提升最高达 +4.00，GPT-5.1 在由 Relational 转向时评分提升 +1.60（80% 正向提升）；从 Reward/Gain 转向 Task/Capability 达到 5 分的转化率为 30.0%，高于正当性（25.0%）、关系（21.4%）和压力（13.3%）。
• 作者解读：作者认为转向具体可执行的任务能力框架是从深度拒绝状态恢复的最强有效路径，认为这体现了模型对操作具体性存在结构性脆弱。

评审一致性与人工校准实验

• 评测设置：对 477 个终端回复进行 6 个大模型评审交叉复核，并对 47 个样本由 5 位计算机与 AI 专业人员开展盲审校准（Table 7）。
• 实验结果：在 5 分严格阈值下，4-of-6 模型共识与人类中位数的一致率为 42/46（Cohen's kappa = 0.618，Table 7）；在线 DeepSeek-V3.2 评审打出 5 分的回复中，86.7%（216/249）得到多数模型认可。
• 作者解读：作者指出多模型评审与人类盲审具有较高一致性，在线 DeepSeek-V3.2 处于偏保守位置，并未构成过于宽松的评估点。

其他消融与分析

• WORLDVIEWSIM 整体消融：在 GLM-4.7 上移除该模块后，ASR 从 75.0% 降至 68.8%，目标调用由 2.5 次增至 2.6 次（Table 3）。
• 要素家族 Task/Capability 消融：移除该家族后，GLM-4.7 的 ASR 从 75.0% 降至 56.2%，调用增加至 2.8 次（Table 3）。
• 要素家族 Reward/Gain 消融：移除该家族后，GLM-4.7 的 ASR 从 75.0% 降至 57.5%，展开候选数由 9.1 增至 11.3（Table 3）。
• 要素家族 Legitimacy/Norms 消融：移除该家族后，GLM-4.7 的 ASR 从 75.0% 微升至 77.5%，调用降至 2.4 次（Table 3）。
• 要素家族 Relational 与 Pressure 消融：分别移除后，GLM-4.7 的 ASR 均由 75.0% 降至 71.2%（Table 3）。
• WORLDVIEWSIM 维度消融与语义泄漏：独立移除 D1、D2、D3 时 ASR 分别为 76.3%、78.8%、72.5%（Table 9），但审计发现 D3 存在 70%–85% 的未消除语义残留（Table 10）。

作者指出的局限与后续方向

• 行为学关联而非因果证据：作者在 Limitations 中指出，虽然得分轨迹、要素家族模式、消融和防御结果呈现了系统关联，但未能隔离单个世界观字段、要素或状态转移的因果效应。
• 要素词表并非穷尽本体：作者在 Limitations 中明确 18 个要素属于理论指导、人工设定的操作化词表，而非对抗交互的穷尽描述，需随新机制发现保持可拓展。
• 缺少反事实干预与红队轨迹结合：作者在 Limitations 中提出未来应结合反事实干预、人工验证与自然红队测试轨迹以细化要素空间。
• 缺乏跨文化、制度、多模态与智能体场景验证：作者在 Limitations 中指出未来工作应测试要素空间在文化、情感、制度、多模态以及工具中介等更广泛语境下的通用性。
• 更广泛模型家族与领域泛化性有待测试：作者在 Conclusion 中提出未来工作应检验这些脆弱性指纹和防御信号是否能泛化至更广泛的模型家族和应用领域。
• 预扣可执行轨迹与负责任披露：作者在 Ethics Statement 中指出，考虑到双重用途风险，论文预扣了可执行的攻击轨迹，并计划在公开发布前与受影响的模型提供商协调披露。

实验覆盖范围

• 评测数据集覆盖范围：评测仅在 HarmBench 验证集的 80 个行为上完成，未覆盖测试集或其他安全基准。
• 被测模型覆盖范围：被测目标仅包括 6 个选定模型（Qwen3-Next-80B、DeepSeek-V3.2、GLM-4.7、Gemini-2.5-Flash、GPT-OSS-120B、GPT-5.1）。
• 固定攻击与评审模型：攻击生成器和评审模型均固定采用 DeepSeek-V3.2，搜索阶段的目标查询次数受限于设定上限（交互深度 K=4 轮，Rollout 上限 24）。
• 静态防御覆盖范围：防御实验仅测试了困惑度过滤、提示词改写和护栏分类器 3 种静态防御机制，且仅在 GLM-4.7 单一目标上进行评估。
• 消融与分析覆盖范围：要素家族消融与世界观维度诊断实验均仅在 GLM-4.7 单一模型上展开。

BLUEPRINT 是一个将因子化社会影响力策略空间与跨轮世界观模拟解耦的多轮大语言模型安全评测框架。

• 要解决的核心问题：传统研究聚焦于单轮提示词或粗粒度多轮搜索，难以揭示驱动模型由拒答转向顺从的深层对话机制和拒绝状态恢复路径。
• 方法设计要点：通过结合 18 个心理学要素的二进制策略编码与维护情境一致性的 WORLDVIEWSIM 模块，依托蒙特卡洛树搜索在四轮交互内优化攻击轨迹。
• 核心实验结果：
  • 在 6 个前沿模型上取得 79.2% 的平均 ASR，且平均目标查询次数仅 2.46 次（Table 1）。
  • 在 GLM-4.7 和 GPT-5.1 等高抵御模型上分别取得 75.0% 和 58.8% 的 ASR，高于对比基线（Table 1）。
  • 机理分析记录到将请求重构为具体可执行的任务（Task/Capability）是从深度拒绝状态恢复的最强路径，评分提升最高达 +4.00（Figure 6）。
  • 消融实验记录到任务具象化和收益框架贡献最大，分别导致 GLM-4.7 的 ASR 下降 18.8 和 17.5 个百分点（Table 3）。
• 作者的结论与启示：作者认为多轮越狱的成败取决于累积对话状态而非单轮提示词强度，防御机制不应仅监测孤立的有害关键词或说服模式，而需追踪多轮交互中任务操作具体性的演进与目标重构。