研究评估 GradSafe 在多轮对话中的越狱检测脆弱性

当恶意意图分散在多轮对话中时，单轮梯度越狱检测器的不安全梯度签名是否仍然可分。

• 场景：作者称大语言模型越来越多作为对话系统部署。攻击者不必把全部禁止请求放进一条提示词，而可以跨多轮逐步建立上下文，最后一问的不安全含义依赖前文。Crescendo 式升级、迭代越狱生成和人工多轮越狱都利用这种结构。
• 现有方法不足：作者称多数越狱防御面向单条提示词，并假设相关信号是局部的。Llama Guard、SmoothLLM 和 GradSafe 都在孤立提示词上验证过，因此不能说明输入变成一段对话时会如何表现。
• 核心问题：作者提出的中心问题是，恶意意图分散在对话中时，内部不安全梯度签名是仍然可检测、变弱，还是消失。
• 本文做法：作者把 GradSafe 适配到多轮输入，提出 Context Window Scanner（CWS）：在用户轮上滑动固定大小窗口，用 GradSafe 给每个窗口打分，取最高分作为对话级分数。并与全文累积变体和单轮基线对比。
• 威胁模型：
  • 攻击者：通过聊天界面接触对齐后的目标模型，控制一串用户轮，故意把恶意意图分散开，使单轮可以读起来良性、含糊或不完整。攻击者知道可能存在安全检测器，但不知道具体的 unsafe reference direction 和运行阈值。
  • 防御者：目标是在模型发出有害输出之前抓住不安全对话。基于 GradSafe 的打分需要在安全关键参数上计算梯度的 white-box 访问。检测器是 prompt-only：只在生成前给用户轮打分，从不看助手回复。
  • 设计理由：作者称有害内容一旦生成就可能已被看到、记录、缓存或复制；在智能体和工具使用部署中，一次回复还可能触发外部 API 调用、代码执行、文件写入或下游工具调用。因此选择在第一个生成 token 之前拦截。代价是检测器不能依赖只在回复中才会出现的证据。
  • 范围：作者称研究的是检测器的可分性和阈值行为，不是完整拦截系统，也不声称对直接优化梯度分数的攻击者鲁棒。知道不安全参考方向的攻击者原则上可以在保持有害目标的同时降低余弦相似度，但多轮优化还需保持连贯上下文并引出不安全行为，这不在范围内。

论文在第 2 节把相关工作分成单轮攻击、多轮攻击和越狱防御三组。

单轮越狱攻击

• GCG（Zou 等，2023）——用白盒梯度搜索对抗后缀，最大化对有害请求给出肯定回复的概率；作者称找到的后缀可迁移到开放和专有系统。
• Tree of Attacks with Pruning（2024）——由攻击模型在树中扩展并剪枝候选提示词，作者称以远少于 GCG 的查询达到相近成功率。
• 在野攻击与基准：Shen 等（2024）整理普通用户无需梯度即可写出的角色扮演、权限提升和提示注入模式。HarmBench 与 JailbreakBench 统一攻击、目标行为和拒答指标，以便可复现比较。

多轮越狱攻击

• PAIR（Chao 等，2024）——攻击模型通过与黑盒目标的反馈循环改进越狱提示词，作者称约二十次查询即可成功，把每次改进当作对抗对话中的一步。
• Crescendo（Russinovich 等，2025）——逐步升级一串看似无害的请求，使单轮看起来都不不安全，有害内容只在共享上下文足够之后才出现。
• MHJ 与间接注入：MHJ 数据集（Li 等，2024）含 537 段人工多轮越狱对话，按混淆、隐藏意图梳理、注入、输出格式、请求框架、回声和直接请求等策略分类；作者称熟练人类利用对话连贯性的方式，单轮自动化并不能复现。Greshake 等（2023）把攻击面扩到间接提示注入：检索到的第三方内容中的指令可在会话中劫持模型，而没有显式攻击者轮次。作者据此认为，检测器必须对对话历史推理，因为只给单条提示词打分抓不住被拆到多轮或埋进检索上下文的意图。

越狱防御

• 输入层与分类器：SmoothLLM（Robey 等，2023）在提示词的随机改动改变模型行为时标记攻击；困惑度过滤（Jain 等，2023）利用 GCG 式后缀困惑度异常偏高。Llama Guard（Inan 等，2023）把安全做成对提示词和回复的分类法分类；Llama Guard 3 随 Llama 3 系列发布并更新分类法。
• 内部梯度信号：GradSafe（Xie 等，2024）观察不安全提示词配上顺从 token 时，会在安全关键参数上诱导特征梯度，并用与固定不安全参考方向的余弦相似度打分。SafeQuant 用量化梯度追求同一想法；Gradient Cuff 在拒答诱发后缀下用梯度范数分离攻击、不存储参考方向；Gradient-Controlled Decoding 把单锚点扩展为接受与拒答一对锚点，并把检测与首 token 缓解结合起来。对齐阶段防御在安全对齐或微调时改参数（Antidote、Vaccine、TAR、以及缓解微调丢失对齐的工作），作者称它们与本文的推理时设定互补。
• 防御与取证：作者指出越狱防御是在模型产生有害输出之前识别或阻止不安全请求，取证定位则是在安全失败之后找原因。作者不把 Gradient Cuff 和 Gradient-Controlled Decoding 当作基线，因为它们的拒答损失和首 token 缓解协议不同于本文的 prompt-only、生成前设定，引用它们只为定位本研究。

基线方法与基准：主实验把 CWS 与它插值的两端（单轮 max-over-turn、全文累积）以及外部分类器 Llama Guard 3 比较。攻击数据为 MHJ（537）和在 200 个 HarmBench 目标上跑的 Crescendo；良性数据为分层抽样的 2,000 条 WildChat，以及 183 条合成良性对话。

作者把本文定位在内部梯度这一族之内，但问该族尚未处理的多轮问题：意图分散到对话各轮之后，不安全梯度是否仍然可读。

作者保持 GradSafe 的打分规则不变，只增加把它用到对话上的 Context Window Scanner（CWS）。作者称这种分离是有意的：单轮打分固定后，行为变化可以归因于上下文如何组装，而不是新的检测器设计。CWS 被定位为单轮检测器到多轮设定的忠实扩展，而不是完整防御。

问题设定与 GradSafe 打分

• 观察：有害请求会在安全对齐模型的梯度里留下一致痕迹。输入配上短顺从 token（如 “Sure”）时，不安全输入会把一小部分安全关键参数推向一个方向；该方向在不同不安全提示词上稳定，并与良性输入诱导的方向可分。
• 参考签名：把该方向固定一次，记为不安全参考签名 gunsafe，由一组不安全种子提示词平均得到；注意力限制在分离最明显的安全关键参数 θS。
• 分数：检测器输入为 x、顺从 token 为 t 时，分数是诱导梯度与参考签名的余弦相似度，S(x)=cos(∇_θS L(x⊕ t, t),  g_unsafe)。分数越大表示越接近不安全参考。它是一个标量，只需一次反向传播、不生成文本，因此可作生成前过滤。
• 实现：损失取提示词之后的完整顺从后缀，即分隔标记后接 “Sure”；参考签名和每次评估分数都用同一后缀。

Context Window Scanner

• 只保留用户轮：防御者是 prompt-only，先丢掉助手轮，得到用户轮序列 H = ⟨h1, …, hm⟩。
• 右锚定因果窗口：对每个用户轮 t，窗口大小为 W 且结束于该轮，x_t,W=join_δ(h_{max(1,t−W+1)},…,h_t)。窗口是因果的，可在每轮到达时在线评估；前 W−1 个窗口更短，只是因为更早的轮不存在。窗口内相邻轮用固定分隔符 δ 连接，实现为以空行分隔的水平线，使轮边界在被打分文本中保持明确。
• 对话分数：GradSafe 给每个窗口打分，对话取最大窗口分，S_CWS,W(H) = max S(x_t,W)。作者称最大池化是设计选择：窗口之间是逻辑或，一个高风险窗口就足以标记整段对话，对应“一次成功的越狱轮即算失败”的部署。
• 窗口谱两端：W=1 时退化为孤立地给每个用户轮打分；W 增大则纳入更多历史，直到一个覆盖全部轮的窗口恢复全文累积。单轮基线和累积基线是上下文长度谱的两端。m 个用户轮的对话花费 m 次反向传播，每个窗口位置一次，与 W 无关。作者称更大窗口的主要风险是把良性轮混进被打分文本。

评测数据与对照

• MHJ：537 段对话，来自捆绑的 HarmBench 行为文件，每行是绑定到有害行为或策略的多轮用户序列。
• Crescendo：在 200 个 HarmBench 目标上用 PyRIT Crescendo，本地 70B 攻击模型对 Llama 3.1 8B 端点，上限 10 轮、10 次回溯，目标之间间隔 5 秒。成功不靠关键词，而由校准打分器把目标回复评成标量，并在阈值 0.9 转为布尔标签。200 个目标全部完成，149 个确认为成功，攻击成功率 74.5%；成功对话平均 3.13 个用户轮，中位数 3，最少 1，最多 7。另 51 行因攻击提示词超过 8,192 token 端点限制而在运行时失败，作者不把它们计为攻击失败；没有完成的目标转写时，all-attempt 集只把原始 HarmBench 目标存成一条用户提示词。主结论使用 149 条确认成功；作者称这 51 行会退化为单轮显式有害请求，产生强的局部不安全梯度，从而绕过所研究的上下文稀释，因此排除它们。
• 良性数据：主良性基准是 2,000 条 WildChat 分层样本。抽样先丢掉一轮对话，再在剩余对话上匹配 MHJ 的轮数分布，得到 740 条短对话（两个或三个用户轮）、680 条中等对话和 580 条长对话。合成良性集是早期评测留下的 183 条，由 Gemini 2.5 Pro 在烹饪、旅行、爱好、常识和短写作等普通助手话题上生成，大多两轮，作者用来量化评测差距，而不支持部署主张。
• 模型与基线：主实验用 Llama 3.1 8B Instruct；Qwen2.5-7B-Instruct 作为跨架构目标，其参考签名用同一流程、在相同不安全种子提示词上单独优化安全关键参数掩码。基线为单轮 max-over-turn（即 W=1）、累积全部用户轮后打一次分，以及 Llama Guard 3（meta-llama/Llama-Guard-3-8B）。Llama Guard 3 使用官方聊天模板，在同样的 prompt-only、仅用户轮协议下，对 W=3 的用户轮窗口打分并最大池化，累积模式则对拼接后的用户轮打一次分，从不纳入助手回复或有害输出。

指标与成功判定

• 报告指标：ROC-AUC、average precision（AP）、best-F1 阈值、best F1，以及 10% 假阳性率下的真正例率。AP 按项目约定：分数降序排列后，在每个正例名次上对精度取平均，与工件脚本一致，并列时可能与库实现略有差别。
• 阈值迁移：把合成基准上选出的阈值用到真实 WildChat 流量上，测量由此产生的假阳性率。
• 区间：非参数 95% bootstrap，2,000 次重抽样；攻击与良性对话分开重抽样，窗口消融的差值用共享行上的配对重抽样。打分失败的行从指标中排除，并在出现时记为错误。

实验设置

• 被测模型：主实验为 Llama 3.1 8B Instruct；跨架构为 Qwen2.5-7B-Instruct。外部分类器基线为 Llama Guard 3（meta-llama/Llama-Guard-3-8B）。Crescendo 的攻击模型为本地 70B，目标端点为 Llama 3.1 8B。
• 攻击数据：MHJ 537 段。Crescendo 在 200 个 HarmBench 目标上运行，149 条确认成功（74.5%），成功对话平均 3.13 个用户轮；51 条运行时失败行只用于溯源，主结论排除。
• 良性数据：分层 WildChat 2,000 条（seed 13），匹配 MHJ 轮数分布：短（≤3 个用户轮）740、中等 680、长 580。合成良性 183 条，由 Gemini 2.5 Pro 生成，大多两轮。
• 方法变体：GradSafe 的 W=1 至 W=7 与全文累积（Accum.）；Llama Guard 3 的 W=3 与 Accum.。Qwen 的参考签名按与 Llama 3.1 相同的流程单独构建。
• 指标与区间：ROC-AUC、AP、Best F1、TPR@10%FPR、Transfer FPR。95% bootstrap CI 为 2,000 次重抽样（seed 20260514）；配对窗口差值用 seed 20260515。Crescendo 成功判定阈值为 0.9。梯度打分用 bfloat16，在 NVIDIA H100 上自动设备映射。
• 污染处理：作者对分层 WildChat 做了人工检查，发现含越狱模板、角色扮演安全测试或其他看起来像对抗的文本，并保留这些行。Echoing 策略只有 3 个攻击样本，Table 4 省略且不把它当作趋势。

主结果

Table 2 是 MHJ 对分层 WildChat 的主结果。Table 1 同时给出合成良性与阈值迁移。

表格较宽，可左右滑动

方法	良性集	ROC-AUC	AP	Best F1	TPR@10%FPR	Transfer FPR
GradSafe W=1	WildChat	0.8101	0.5135	0.5749	0.5084	未报告
GradSafe W=2	WildChat	0.7873	0.4647	0.5536	0.4227	未报告
GradSafe W=3	WildChat	0.7614	0.4278	0.5260	0.4004	0.9085
GradSafe Accum.	WildChat	0.7376	0.4043	0.5039	0.3203	0.9065
Llama Guard W=3	WildChat	0.4528	0.2118	0.3494	0.0838	未报告
Llama Guard Accum.	WildChat	0.4409	0.2036	0.3494	0.0615	未报告
GradSafe W=3	Synthetic	0.9836	0.9949	0.9740	未报告	0.0874
GradSafe Accum.	Synthetic	0.9777	0.9929	0.9576	未报告	0.1530

据 Table 1、Table 2。Transfer FPR 列中，合成行是该阈值在合成集上的 FPR，WildChat 行是同一阈值迁到 WildChat 后的 FPR。W=3 的 95% CI：合成 [0.9750, 0.9909]，WildChat [0.7379, 0.7843]。

• 作者对排序的解读：在真实基准上，最强的 GradSafe 设置是单轮窗口（0.8101），其次是两轮，三轮仍可用但更弱，全文累积最弱，因此更短的窗口整体更强。
• Llama Guard 3：两种模式的 AUC 都低于 0.5。作者称这不表示 Llama Guard 普遍较弱，而是任务不匹配：基于分类法的提示词分类不是为了在生成前抓住仍被隐藏的意图。Figure 1 画出 WildChat 上若干方法的 ROC，图例标注 GradSafe W=1（0.810）、W=3（0.761）、Accum.（0.738）、Llama Guard W=3（0.453）。
• 阈值不可迁移：三轮阈值只标记 8.74% 的合成良性对话，却标记 90.85% 的真实对话；累积阈值同样如此。作者称合成基准交给使用者的运行点会拒绝几乎全部合法流量。Figure 2 的图注称，真实良性分数与攻击分数严重重叠。

窗口长度与策略

• 窗口消融（Table 3，MHJ vs WildChat）：AUC 从 W=1 的 0.8101 单调降到 W=7 的 0.7362；Accum. 为 0.7376，接近七轮窗口。相对 W=3 的配对差值：W=1 为 +0.0487（95% CI [0.0329, 0.0643]），W=2 为 +0.0258，W=5 为 −0.0111，W=7 为 −0.0252，Accum. 为 −0.0238。作者称最一致的解释是稀释：额外的良性或无关轮加入与不安全参考不对齐的梯度，从而冲淡信号。
• 按长度（Figure 3）：短窗口在全局上更强，在长对话上仍更强。作者称对七个或更多用户轮的对话，两轮和一轮窗口达到 0.8625 和 0.8622 AUC，三轮为 0.8370，累积为 0.7411。作者认为长对话并不要求给整段历史打分，部署时应把短窗口打分与按长度校准的阈值搭配。Figure 3 横轴为 short ≤3、medium 4–6、long ≥7、very long >7，图例为 W=1、W=2、W=3、W=7、Accum.。
• 策略级（Table 4，每个策略子集对全部 WildChat）：一轮窗口在每个列出的策略组上都最强。W=1 / W=3 / W=7：Direct Request（n=146）0.7616 / 0.7277 / 0.7297；Hidden Intention Streamline（n=109）0.8006 / 0.7538 / 0.7014；Injection（n=32）0.9044 / 0.8727 / 0.8648；Obfuscation（n=156）0.7905 / 0.7235 / 0.6948；Output Format（n=23）0.8895 / 0.8641 / 0.8273；Request Framing（n=68）0.8980 / 0.8388 / 0.8027。作者认为这并不意味着单轮包含全部恶意目标，而是签名对最接近不安全目标的局部轮反应最强，周围上下文倾向于稀释该信号。

攻击族与跨模型

• Crescendo（Table 5，对同一 WildChat）：MHJ（n=537）在 W=1 / W=3 / Accum. 为 0.8101 / 0.7614 / 0.7376。Crescendo-success（n=149）为 0.5018 / 0.3050 / 0.3161；W=2 为 0.3654，W=7 为 0.3008。Crescendo-all（n=200）的 W=1 为 0.5856，高于仅成功子集的 0.5018。作者称成功 Crescendo 的三轮区间整体低于随机排序，95% CI 为 [0.2608, 0.3503]；一轮窗口与随机不可区分，95% CI 为 [0.4482, 0.5530]。Figure 4 标注成功 Crescendo 在 W=1 为 0.502、W=3 为 0.305、Accum. 为 0.316。作者认为低于随机的 AUC 不是有用的反向检测器：在该参考签名和 prompt-only 协议下，成功 Crescendo 的用户轮得分低于普通 WildChat。作者称 Crescendo 并未针对 GradSafe 优化，因此这不是自适应性的证据，而是自动化的上下文构建攻击可能避免产生 MHJ 往往包含的局部不安全线索。
• 作者给出的四条原因：中性、正式的措辞，没有参考签名要捕捉的命令式用词、高困惑度后缀或显式越狱标记；不安全内容通常出现在模型回复中，而 prompt-only 打分看不到助手轮；早期 Crescendo 轮单独看是良性的，与携带有害意图的轮合并会稀释提示词侧残留的不安全线索；真实 WildChat 可以包含情绪强烈、看起来像对抗或涉及政策的讨论，其安全梯度可能强于打磨过的 Crescendo 提示词。
• Llama Guard 3 在 Crescendo 上（Table 6）：Crescendo-success 的 AUC 为 W=1 0.1389、W=3 0.1478、Accum. 0.1943，三者 TPR@10%FPR 均为 0.0000。Crescendo-all 为 0.2314 / 0.2614 / 0.3435。作者称这不说明 Llama Guard 在能读到有害回复时会如何表现，只说明生成前两种检测器在该攻击族的用户轮上都缺少可依靠的信号。
• Qwen2.5-7B-Instruct（Table 7，同样 537 条 MHJ 与 2,000 条 WildChat，无行因错误被丢弃）：最好设置为 Accum.，AUC 0.5908（95% CI [0.5669, 0.6162]）；各窗口设置在 0.5545 到 0.5730 之间，W=1 为 0.5613，W=3 为 0.5730。作者称可分性几乎消失，且排序与 Llama 3.1 相反：Llama 上 AUC 从一轮的 0.8101 单调降到七轮的 0.7362，累积最差；Qwen 上累积最好，一轮属于较弱设置。把 Llama 3.1 的合成阈值 0.0205 迁到 Qwen，Transfer FPR 从累积的 0.3880 到一轮的 0.8290。作者认为梯度检测器的行为取决于校准它的模型，而不是方法的固定属性；并称不主张 Qwen 根本更难，或 Llama 结果确立了一个鲁棒方法，因为每个结果都是一个签名实现对照一个良性基准。

其他消融与分析

• 直观扩展（Table 8）：在真实 WildChat 上，W=3 基线 AUC 0.7614、AP 0.4278；contrastive raw delta 0.6672 / 0.3094；contrastive projection delta 0.7174 / 0.3481；contrastive ratio 0.6754 / 0.3149。三者都低于该基线。
• 子空间试点：攻击 n=120、良性 n=120，基线 AUC 0.7793，subspace residual cosine 0.7042（AP 为 n/a）。
• 多轮参考：攻击 n=20、良性 n=20，基线 AUC 0.7812，multi-turn reference 0.7512（AP 为 n/a）。
• 作者解读：对比变体减去或归一化上下文基线后更差，作者认为减法把有用的不安全信号和良性上下文一起去掉了。子空间变体估计并去掉良性方向后差于其试点基线，作者认为良性对话结构与它本想保留的攻击信号重叠。构建多轮参考方向会实质改变参考，但仍不优于基线。作者称失败不能归因于简单的事后调整。
• WildChat 未过滤：作者保留含越狱模板和角色扮演安全测试的行，并称标题数字由未过滤分布驱动，而不是由清洗后的子集驱动。

作者指出的局限与后续方向

• 不是完整拦截系统：第 3 节 Scope 写明，研究的是检测器的可分性和阈值行为，不是完整的拦截系统（Section 3）。
• 不声称对抗梯度分数的自适应攻击：同一节写明，不声称对直接优化梯度分数的攻击者鲁棒；知道不安全参考方向的攻击者原则上可以压低余弦相似度并保持有害目标，但该优化不在范围内（Section 3）。
• prompt-only 的代价：检测器不能依赖只在回复中才会出现的证据；第 7 节又写，生成前拦截有价值，正是因为它在输出存在之前行动，但因此不能使用只在回复中才有的证据（Section 3、Section 7）。
• 离可部署运行点仍远：第 7 节写，即使最好的设置，一旦纳入真实良性对话，也仍远离可部署的运行点；结果并不表示问题已经解决（Section 7）。
• 攻击族不能可靠迁移：第 7 节写，MHJ 上观察到的短窗口信号不能在多轮越狱族之间可靠迁移；成功 Crescendo 上同一分数接近或低于随机，更长窗口把攻击排在良性流量之下（Section 7）。
• 评测应如何做：第 8 节结论写，多轮梯度检测应当用真实良性数据、多种上下文长度、多样的攻击族和不同模型架构来评测（Section 8）。第 7 节还给实践者五条规则：窗口与聚合需按模型族验证、阈值应在部署自身的良性分布上调节、长对话需要按长度的阈值或审计、部署应留意攻击族漂移、prompt-only 检测器应与回复侧审核分开评测（Section 7）。

实验覆盖范围

• 模型：主结果在 Llama 3.1 8B Instruct 上；跨架构重复在 Qwen2.5-7B-Instruct 上，使用单独构建的参考签名（Section 5、Table 7）。Crescendo 的攻击模型为本地 70B。
• 攻击与良性数据：攻击为 MHJ 537 段，以及 HarmBench 上 200 个目标的 Crescendo（149 条确认成功进入主结论）。良性为 183 条合成对话和 2,000 条按轮数分层的 WildChat（Section 5）。
• 上下文变体：GradSafe 报告 W=1、2、3、4、5、7 和全文累积；Llama Guard 3 报告 W=3 与累积，且两者都只用用户轮、不看助手回复（Table 2、Table 3、Table 6）。
• 扩展与小样本试点：Table 8 的对比变体使用全部 537 对 2,000；子空间试点为 120 对 120；多轮参考为 20 对 20。论文未报告这些试点的重复次数。
• 区间与随机性：主指标带 2,000 次重抽样的 95% CI。论文报告了抽样与 bootstrap 的种子，以及 Crescendo 的轮数、回溯上限和 0.9 的成功阈值。

作者评估梯度越狱检测从单条提示词迁到多轮对话后还剩多少可分性，方法是用 Context Window Scanner 把 GradSafe 原封不动地套到用户轮窗口上。

• 问题：对齐模型作为多轮助手部署后，恶意意图可以拆进多轮，使单轮看起来良性。GradSafe 靠输入诱导梯度与固定不安全参考方向的余弦相似度检测不安全提示词，但它是否在对话中仍然可读并不清楚。
• 做法：丢掉助手轮，用大小为 W 的右锚定窗口扫描用户轮，对话分取最大窗口分。W=1 是单轮基线，覆盖全部轮则是全文累积。检测发生在生成之前，需要安全关键参数上的白盒梯度，不看模型回复。
• 良性数据决定表观强度：对 537 条 MHJ，合成良性上 W=3 的 ROC-AUC 为 0.9836、累积为 0.9777；换成 2,000 条分层 WildChat 后，同一设置降到 0.7614 和 0.7376。合成集上选出的三轮阈值迁到 WildChat 后，FPR 为 90.85%（Table 1）。
• 更短窗口更强，但只在 Llama 上：WildChat 上 GradSafe 的 W=1 为 0.8101，高于 W=3 的 0.7614 和累积的 0.7376；Llama Guard 3 在同样只看用户轮的协议下为 0.4528 和 0.4409（Table 2）。七个及以上用户轮的对话上，一轮和两轮窗口仍约为 0.862。作者把该模式归因于梯度稀释。
• 不能跨攻击族和架构外推：149 条确认成功的 Crescendo 对同一 WildChat，W=1 的 ROC-AUC 为 0.5018，W=3 为 0.3050（Table 5）。Qwen2.5-7B-Instruct 上各窗口 AUC 在 0.5545 到 0.5730，累积最好，为 0.5908，排序与 Llama 3.1 相反（Table 7）。三种直观扩展都没有超过 W=3 基线（Table 8）。

作者的结论是：梯度信号可以支持多轮越狱检测，但可靠部署需要在真实良性对话上校准、使用短窗口打分、采用按长度的阈值，并跨攻击类型和模型架构评测。作者同时认为，即便最好的设置，在纳入真实良性对话后仍远离可部署运行点。