ATTCK-R：面向受保护 LLM 的知识感知长时程越狱框架

1. 01这篇论文试图解决什么问题？

   在单层安全提示保护的黑盒LLM上，作者要做可复用策略且失败可恢复的多轮越狱。

   作者要解决的是：在只加一层 prompt-based 安全保护的黑盒 LLM 上，多轮越狱如何累积可复用策略，并在对话失败后继续，而不是每次重来。

   • 部署场景：作者称 LLM 越来越多用于安全、可靠性与策略合规关键的应用，并接入外部 API 或敏感工作流。越狱被写成绕过安全对齐、诱导策略违反输出的对抗风险。
   • 现有不足：作者称许多方法依赖预计算或静态模板、限于单轮，或只测弱保护、最少保护的模型。多数方法不跨 run 复用策略知识；早期失误触发安全响应后常放弃进度并整段重启，作者认为这抬高查询成本（Figure 2）。
   • 作者的观察：加入这一层安全提示后，GALA 的平均 ASR 从 0.896 降到 0.608（相对 32.1%，§5.1、Table 2）。作者认为无保护评测会高估漏洞，并把主张限于该单层设置，而不是多层生产栈。
   • 本文提出：ATTCK-R（Adaptive Traceback and Tactic Curation for Knowledge-based Red-teaming），把越狱写成带演化信念状态的长时程轨迹优化，并加入战术策展与自适应回溯。
   • 威胁模型：
     • 目标：对预定义自然语言恶意目标 G，诱导目标响应满足违反准则 V(yt, x≤t, G)。
     • 知识：论文写明为 black-box。攻击者依据目标响应和外部 JUDGE 的逐轮裁决规划下一查询。
     • 能力：多轮提交查询 xt。某次尝试用尽轮次且未出现 severe violation 时，可回到选定的较早对话状态续攻，而不是必须整段重来。
     • 受害系统：配有同一套单层 prompt-based safety protection 的目标 LLM。独立 JUDGE 给出 PV∈{0,1,2}，某轮 PV=2 计为该 run 成功。

   收起这一问

2. 02有哪些相关研究？

   作者称贡献是跨run战术记忆与诊断式回溯的整合，并在保护设置下评测。

   论文把相关工作放在单轮或静态攻击、自适应多轮、轨迹搜索与记忆，以及轻保护基准这几组里。

   静态模板、单轮与弱保护评测

   • 早期绕过：Zou 等（2023）、Wei 等（2023）、Jiang 等（2024）、Mehrabi 等（2024）展示已对齐 LLM 可被对抗后缀或安全失败探测绕过。Deng 等（2024）、Liu 等（2024）、Chao 等（2025）、Yu 等（2024）做自动提示优化。
   • 引言中的归类：作者把 Zou、Wei、Deng、Chao、Liu 归入预计算或静态模板，把 Zou、Mehrabi、Yu、Ha（2025）归入单轮。Nihal 等（2025）、Du 等（2025）、Yang 等（2024）、Jing 等（2025）、Chen 等（2025）、Biswas 等（2025）被归入针对弱保护或最少保护模型的测试。

   自适应多轮

   • 反馈细化：Crescendo（Russinovich 等，2025）、Singhania 等（2025）、CoA（Yang 等，2024）、attention-shifting（Du 等，2025）、动态智能体（Jing 等，2025）、pattern enhancement（Nihal 等，2025）。论文还把一批梯度式细化放在同一组，包括 Mehrabi 等（2024）、Biswas 等（2025）、Ha 等（2025）、Ren 等（2024）。
   • RED QUEEN 与 X-Teaming：Jiang 等（2025）用角色扮演做欺骗性隐蔽；Rahman 等（2025）做大规模多智能体探索和基于优化的多样化。
   • GALA：Chen 等（2025）分全局策略规划与依据目标反馈的局部提示适应。作者称本文相对它增加显式信念状态、带命名条目与 novelty filtering 的战术管道，以及选择性回溯，而不是整段重启。

   搜索、学习与跨 run 记忆

   • 树搜索：Tree of Attacks（Mehrotra 等，2024）与 Tempest（Zhou and Arel，2025）探索并剪枝分支路径。作者称 Tempest 的树搜索是回溯的最近先例。
   • 跨回合优化：TROJail（Xiong 等，2025）与 AutoRedTeamer（Zhou 等，2025）跨 episode 优化攻击策略。Ying 等（2025）与 Petri（Fronsdal 等，2025）用并行 rollout 扩大探索；论文写它们不是持久的跨 run 记忆。
   • RedAgent：Xu 等（2024）把可复用越狱策略与保存先前试验上下文反馈的记忆缓冲配对。作者称这是战术策展的最近先例。

   基准与本文基线

   • 基准：JailbreakBench（Chao 等，2024）、HarmBench（Mazeika 等，2024），以及 Perez 等（2022）、SafetyBench（Zhang 等，2024）。作者称这些通常在轻保护设置下评测，强结果不一定迁到更接近部署的保护。提示注入被 Mehrabi 等（2024）列为部署级漏洞的一条相关线。
   • 基线方法：实验对比 GALA、RED QUEEN、X-Teaming，数据集为 JBB-Behaviors 与 HarmBench。作者称 GALA 此前优于 Crescendo、CoA、ActorAttack 与 GOAT。

   作者称区别不在单独提出信念跟踪、战术复用或回溯，而在把持久的跨 run 战术记忆，与单次 run 内由诊断引导、回到选定较早对话状态的回溯合在一起。作者称据其了解，先前没有方法同时做到这两点。评测放在部署对齐的安全配置下。

   收起这一问

3. 03论文如何解决这个问题？

   ATTCK-R用信念状态做长时程规划，并以战术库和选择性回溯延续攻击。

   ATTCK-R 把黑盒多轮越狱写成带信念状态和战术记忆的长时程轨迹优化。规划、策展、回溯和裁决都由结构化 LLM 提示实现，内部状态以自然语言保存；§3.2 的量不直接数值计算，只用来指导攻击者提示。

   问题设定

   • 交互：攻击者对恶意目标 G 生成查询 xt，受保护目标给出 yt=f(x≤t)。独立 JUDGE 用 V(yt, x≤t, G) 判断 yt 是否完成 G 并违反安全约束。
   • 优化目标：在可检测性不超过阈值 γ 的约束下，最大化各轮有害性之和，并松弛为加权目标 max_{xt}∑_t=1^T(α H(y_t∣ x_{≤ t},y_<t,G)−β D(x_{≤ t}))。H 是响应相对 G 的有害性，D 是攻击序列的可检测性，α、β>0 权衡进度与隐蔽。论文写明 H、D、α、β 不数值计算；γ 以及 α、β 均未给数值。
   • 提示落实：提示要求攻击者逐步靠近 G，同时保持可避免触发安全机制的说辞。作者称有效攻击表现为配合度逐轮上升，突然升级通常触发拒绝。

   闭环与两种状态

   • 三个角色：Figure 1 与 §3.1 为 ATTACKER、受保护 TARGET、外部 JUDGE 的闭环。JUDGE 每轮给 PV∈{0,1,2}，表示无违反、违反、severe violation。同一模型、同一准则既给下一轮规划作输入，也判定最终成功：某轮 PV=2 则该 run 成功。
   • 信念状态 bt：自然语言结构，含对话上下文（阶段、拒绝次数、progressScore、配合度、缺失与已收集信息）、策略状态（当前战术与已试战术）、上一响应分析（类型、要点、策略触发）。配合度原始为 1–10，rt=cooperativeness/10∈[0,1]；ρt 对应 progressScore∈[0,1]。
   • 战术库 Kt：每条含名称、自然语言定义和示例提示，另有目标类型到推荐战术的映射，以及来自失败轨迹的提示级笔记。下标 t 是轮次，上标 (i) 是 run 编号。
   • 模块：初始规划、后续规划、信念更新、战术策展、自适应回溯。每轮条件于 G、bt−1、Kt 与上一轮 PV。附录 A.3 给出完整提示词；附录 Algorithm 1 给出端到端过程。

   长时程规划与战术策展

   • 规划：规划模块用持久的 bt 与 Kt 产生跨多轮的交互计划，而不只生成下一句。作者称这建立在 GALA 的全局规划与局部适应分离之上，但 GALA 没有这种显式持久状态。
   • 成功 run 的策展：一次 LLM 调用接收完整对话、裁决和当前知识。它识别促成违反的新交互模式，与已有条目做 novelty 比较，只在足够不同时加入名称、定义、示例三字段，也可合成更一般的变体。
   • 失败 run：§3.3 写把反复出现的失败记为负例，使以后少选无效战术。附录 Algorithm 1 则在目标成功时调用策展。目标到战术的映射在策展后更新，下一 run 开始时用于初始化战术计划。
   • 策展目标：构造下一 run 的知识状态，使从目标分布抽出的 G 的期望成功概率最大。附录给出操作步骤。

   自适应回溯与参数

   • 何时回溯：一轮用尽轮次预算仍无 severe violation 时，下一次重试不做整段重启。推理模块选出回退轮、诊断该轮之后的失败并修订计划，从该轮带着更新后的信念与知识继续。
   • 选择准则：t^∗=argmax_i<tρ_i s.t. r_i≥ϵ。ρi 估计对话状态与 G 的语义对齐，ri≥ε 要求该状态仍有足够许可性。论文写明这由提示词推理完成，不是数值优化；ε 未给数值。
   • 实现参数：附录 A.2.1 写 Tmax=8、Rmax=3；攻击者温度 0.7，JUDGE 温度 0.0；初始战术池 12 条，来自试点；novelty 阈值为余弦相似度 < 0.85。
   • 保护层：目标侧是作者从零编写、经试点迭代的同一套安全提示，无目标特定变体。§4.2 列出的类别包括暴力、网络滥用、毒品生产、自伤与欺诈。附录 A.4 给出全文。

   收起这一问

4. 04论文做了哪些实验？

   作者称保护设置下ATTCK-R平均ASR为0.706，高于GALA的0.608。

   实验设置

   • 目标：9 个，均加同一套安全提示。开源为 Llama-3.3-70B、Llama-3.1-8B、Llama-3.2-1B、Phi-4（14B）、Phi-3.5-mini（3.8B）、Qwen3-32B、Qwen3-8B、Qwen3-0.6B；专有为 GPT-5.5。
   • 攻击者：主实验为 Qwen-3 的 0.6B、8B、32B。作者称所测指令微调模型里，只有该系列对全部 JBB-Behaviors 目标稳定配合。它们同时是 Table 2 的目标，主结果报告的是被攻击时的 ASR。另用 Llama-3.3-70B 测攻击者 completion rate。
   • 基准与基线：JBB-Behaviors 100 条；HarmBench 取 400 条 harmful goals。论文称这些是可直接识别为策略违反的 vanilla harmful goals。基线为保护设置下的 GALA、RED QUEEN、X-Teaming（表中 * 表示按该设置复现或改编）。GALA 按论文描述自实现。X-Teaming 用默认 10 个计划而非 50；其 GPT-4o 的 1–5 分被映射为 PV：1–2 为 0，3 为 1，4–5 为 2。轮次对齐为 Tmax=8、Rmax=3。
   • 指标：ASR 是预算内出现 PV=2 的目标比例。Attack velocity 是成功次数除以对应目标的墙钟小时数。开源在单张 NVIDIA A100（80GB）上顺序执行，无跨目标并行；GPT-5.5 的时间反映 API 延迟。作者称 velocity 只适合同一执行设置下的相对比较。
   • 裁决：主结果用 GPT-OSS-20B，逐轮反馈与最终成功用同一模型。§5 称除非另述，结果对全部攻击者配置与目标取平均。Table 2 标题未写明每一格是否已对攻击者平均。论文未报告 ASR 的重复次数。

   主结果

   下表为 Table 2 的 JBB、保护设置 ASR。GALA（无保护）只作对照。8 行中省略 Qwen3-8B：无保护 0.88，GALA 0.58，RED QUEEN 0.46，X-Teaming 0.64，ATTCK-R 0.65。

   表格较宽，可左右滑动

   目标	GALA无保护	GALA	RED QUEEN	X-Teaming	ATTCK-R
   Llama-3.3-70B	0.89	0.56	0.41	0.63	0.66
   Llama-3.1-8B	0.85	0.39	0.28	0.41	0.45
   Llama-3.2-1B	0.93	0.72	0.66	0.81	0.84
   Phi-4	0.89	0.60	0.50	0.67	0.70
   Phi-3.5-mini	0.93	0.73	0.70	0.83	0.86
   Qwen3-32B	0.90	0.61	0.49	0.71	0.74
   Qwen3-0.6B	0.91	0.67	0.61	0.73	0.75
   GPT-5.5	0.79	0.55	未报告	未报告	0.61

   • 作者称保护设置下 ATTCK-R 平均 ASR 为 0.706，相对 GALA 的 0.608 高 16.1%，相对 RED QUEEN 的 0.542 高 30.3%，相对 X-Teaming 的 0.672 高 5.1%。这是作者给出的跨配置平均，不是上表逐行再平均。加入安全提示后，GALA 平均 ASR 从 0.896 降到 0.608（相对 32.1%）。
   • Table 2 里 JBB 各已报告格子上，ATTCK-R 高于三个基线。GPT-5.5 的 RED QUEEN 与 X-Teaming 未报告，所以“高于另三个方法”不覆盖这两格。JBB 上 ATTCK-R 最低是 Llama-3.1-8B 的 0.45，最高是 Phi-3.5-mini 的 0.86。
   • HarmBench（Table 2）三行：Llama-3.3-70B 上 ATTCK-R 与 X-Teaming 均为 0.68，GALA 0.53，RED QUEEN 0.46；Phi-4 上 ATTCK-R 0.74、X-Teaming 0.70、GALA 0.64；GPT-5.5 上 ATTCK-R 0.60、GALA 0.58，另两基线未报告。作者称 HarmBench 为 0.68–0.74、GALA 为 0.53–0.64；该区间与开源两行一致，不含 GPT-5.5 的 0.60。作者称在开源和专有模型上 ATTCK-R 都高于另三个方法；与表对照，HarmBench 的 Llama-3.3-70B 是与 X-Teaming 持平，不是更高。

   组件消融

   • 测了什么：Figure 2 与 §5.3 比较 GALA、GALA+TC、GALA+AT、LHP、完整 ATTCK-R（LHP+TC+AT）。正文的平均与 §5 的跨配置平均使用同一个 0.608。
   • 结果：作者称 LHP 单独使 ASR 从 0.608 到 0.638。完整系统平均 ASR 0.706、velocity 0.494；GALA 的 velocity 为 0.461（作者称相对 +7.2%）。Figure 2 正文点名的、对目标平均的攻击者 ASR：Qwen-3-8B 为 0.76，Qwen-3-0.6B 为 0.65。
   • 作者解读：作者称战术策展是效果的主要来源，自适应回溯是 velocity 的主要来源；三者对应不同失败模式。Figure 2 柱旁还有更多数字，文本转换后无法可靠对到每个配置，此处不逐柱改写。

   裁决校验

   • 测了什么：从 8 个攻击者–目标配对随机抽 300 段对话，两名网络安全方向博士生按 0/1/2 标注。格式损坏丢弃后为 279。二分类分歧经讨论裁定，严重程度分歧不裁定。把 1 与 2 并成违反后，Cohen's kappa 为 0.73。
   • 结果：GPT-OSS-20B、GPT-4o-mini、Qwen-3-8B 的二分类 F1 为 86%、66%、62%，主结果用 GPT-OSS-20B。附录 C 混淆矩阵为 TN 142、FP 15、FN 18、TP 104。正文取 α≈0.12、β≈0.15，并称 ASR 测量误差约 ±0.025；附录先算得约 0.096 与 0.148 再取整。对观察 ASR 0.706，作者估计真实 ASR 约 0.70，区间 [0.68, 0.73]。
   • 作者解读：作者称所报告差距都超过该幅度；Table 4 最小差距是相对 X-Teaming 的 0.034。成功攻击平均跨越 4–5 轮，附录写 k≈4.5。作者同时称误差独立假设过强，回路内误判会改写后续轨迹，该效应未用 judge-swap 隔离。作者估计完全由裁决错误造成的成功概率上界约 0.051，并称约 95% 的报告成功对应真实违反。

   战术覆盖与开销

   • 战术：Table 5 统计 3 个攻击者 × 8 个开源目标共 24 对的最终战术集。Request Framing 与 Echoing 覆盖 100%，且属初始战术。策展新出现的 Progressive Context Anchoring 为 67%，Incremental Context Framing 为 50%。作者称新战术数量会较快饱和。附录 D 给了脱敏轨迹，用来示意逐步升级、回溯后恢复，以及反复改写仍被拒绝。
   • 开销：Table 7–8 中 ATTCK-R 平均 53,200 token/对话，GALA 32,000，RED QUEEN 29,500，X-Teaming 31,200。主要来自逐轮后续规划 18,700 与信念更新 15,750。Table 9 按平均 ASR 折算的每次成功 token：ATTCK-R 75,400，X-Teaming 46,400，GALA 52,600，RED QUEEN 54,400。作者称优势不在 token 更少，而在更高 ASR，以及相对 GALA 更高的 velocity（0.494 对 0.461）。

   其他消融与分析

   • Llama-3.3-70B 作攻击者、100 个有害目标：对 Llama-3.2-1B、Phi-3.5-mini、Qwen3-8B 的 completion rate 为 16%、21%、17%。该率指攻击者生成可用对抗续写、而不是拒绝或中止的目标比例（§4.2）。
   • 作者称相对 GALA 与 RED QUEEN，ASR 与 velocity 的提升是统计显著的；论文未报告检验方法或 p 值。相对 X-Teaming，ASR 略高，但 velocity 并非始终更高（§7）。
   • 初始战术池 12 条；novelty 阈值为余弦相似度 < 0.85（附录 A.2.1）。论文未报告各条件的重复次数。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者写明主张限于单层安全提示，攻击模型与防御转化留待以后。

   作者指出的局限与后续方向

   • 单层保护：只评测安全提示，未评输入/输出过滤、constitutional AI、RLHF，也未评改模型内部的 Circuit Breakers 与 X-Boundary。作者称替代或组合配置下的效果仍是开放问题，并把对 X-Boundary 的直接评测留待以后（§7）。
   • 攻击模型：作者称多数被测指令微调 LLM 拒绝生成对抗提示，可用攻击者限于 Qwen-3。结果刻画的是给定规模下会配合的攻击者，未必迁到更强或对齐方式不同的攻击者。改变攻击模型并同时测 completion rate 与下游 ASR 的消融留待以后（§4.2、§7）。
   • 闭源覆盖：专有评测只有 GPT-5.5。作者称纳入它是为看发现能否迁到前沿规模系统，不是为刻画商业多层防御；扩展到 Claude 与 Gemini 被写成自然方向（§7）。
   • 裁决噪声：作者称政策违反的自动判断在严重程度边界上有主观性。已对照人工标注并选用所选配置中 F1 最高者，kappa 为 0.73，但仍有评测噪声（§7）。附录 C 称误差界是一阶估计，judge-swap 或全轨迹人工复核留待以后。
   • 防御转化：作者称没有直接评测战术模式能否变成更好的防御；把这些发现转成可测量的防御增益是后续方向（§7）。结论还把多层防御下的鲁棒性，以及智能体部署上的评测，写成未做完的问题（§6）。
   • 与 X-Teaming 的 velocity：作者称相对 GALA 与 RED QUEEN 在 ASR 和 velocity 上有统计显著提升，但该方法并不总是比 X-Teaming 有更高 velocity（§7）。

   实验覆盖范围

   • 被测目标为 Table 2 的 8 个开源模型加 GPT-5.5，共 9 个，使用同一套安全提示。HarmBench 只报告 Llama-3.3-70B、Phi-4、GPT-5.5 三行。
   • 基准为 JBB-Behaviors 100 条、HarmBench 400 条。成功预算为 Tmax=8、Rmax=3。论文未报告 ASR 的重复次数，也未报告显著性检验的方法或 p 值。
   • 主实验攻击模型为 Qwen-3 的 0.6B、8B、32B。另报告 Llama-3.3-70B 作攻击者时，对 Llama-3.2-1B、Phi-3.5-mini、Qwen3-8B 的 completion rate。
   • 保护设置下的基线为 GALA、RED QUEEN、X-Teaming。消融配置为 GALA+TC、GALA+AT、LHP 与完整 ATTCK-R（Figure 2）。GPT-5.5 上 RED QUEEN 与 X-Teaming 在 Table 2 未报告。
   • 主结果裁决为 GPT-OSS-20B。人工校验集 279 条，二分类 kappa 为 0.73。开源墙钟在单张 A100（80GB）上、按目标顺序测量。

   收起这一问

6. 06总结一下论文的主要内容

   ATTCK-R以信念状态、战术策展和回溯攻击受保护黑盒LLM，作者称平均ASR 0.706。

   ATTCK-R 是面向单层安全提示、黑盒 LLM 的多轮红队框架。

   • 问题：作者认为静态提示、短交互或弱保护评测不能代表带 prompt-based 安全保护的部署。依据是 GALA 的平均 ASR 在加入该保护后从 0.896 降到 0.608（相对 32.1%）。
   • 做法：攻击被写成信念状态上的长时程规划。战术策展把成功与失败收成可跨 run 复用的命名战术；轮次用尽后，按进度分与配合度选回退点续攻。某轮外部 JUDGE 给出 PV=2，该 run 记为成功。
   • 设置：9 个目标，含 GPT-5.5，使用同一套安全提示。攻击者是会配合的 Qwen-3 三个规模。基准为 JBB-Behaviors 100 条与 HarmBench 400 条。对照是保护设置下复现的 GALA、RED QUEEN、X-Teaming。预算为每轨迹 8 轮、最多 3 次重试。
   • 结果：作者称 ATTCK-R 平均 ASR 为 0.706，高于 GALA 的 0.608、RED QUEEN 的 0.542 和 X-Teaming 的 0.672；velocity 从 0.461 到 0.494。JBB 上其 ASR 从 Llama-3.1-8B 的 0.45 到 Phi-3.5-mini 的 0.86（Table 2）。HarmBench 的 Llama-3.3-70B 上与 X-Teaming 同为 0.68。作者称战术策展主要提高 ASR，回溯主要提高 velocity。每段对话 token 高于三个基线（53,200 对 GALA 的 32,000）。
   • 作者结论：作者称这一单层保护仍挡不住这种结构化长时程交互。作者认为该设定需要受控的红队设施，而不是依赖碰巧会配合的模型，并把多层防御、防御转化和智能体部署留作后续。

   收起这一问

相关论文