ContextualJailbreak：通过模拟对话预置进行进化式红队测试
ContextualJailbreak: Evolutionary Red-Teaming via Simulated Conversational Priming
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出 ContextualJailbreak，一种把模拟多轮对话本身作为进化搜索对象的黑盒红队策略，用 0–5 分级伤害评分作为循环内信号，并以 roleplay、scenario、expand、troubleshooting、mechanistic 五个变异算子驱动搜索，其中后两个为本文新增。
- LLM 仍易被 jailbreak 绕过安全对齐，多轮上下文 priming 是强攻击面，但自动化优化式 red-teaming 大多只优化单轮 prompt，无法搜索有效的多轮对话结构。
- 提出 ContextualJailbreak，把模拟的多轮 primed 对话本身作为进化搜索对象，用两级 judge 的 0–5 分级 harm 分数作为循环内信号，由五个语义变异算子（roleplay、scenario、expand、troubleshooting、mechanistic）驱动，后两个为作者新增。
- 在 50 个 HarmBench 行为上，对 gpt-oss:20B、qwen3-8B、llama3.1:70B 达 100% ASR@4，对 gpt-oss:120B 达 90%，平均高出四个基线 31–96 个百分点；针对 gpt-oss:120B 的 40 个最高危害攻击无适配迁移到 gpt-4o-mini、gpt-5、gemini-3-flash 分别为 90%/70%/70%，但到 claude-opus-4-7 和 claude-sonnet-4-6 仅 17.5%/15.0%。
- judge 可能存在系统性偏差，未做多 judge 一致性、人工裁决或 evaluator 后门审计；完整攻击模板库因双重用途风险未公开，仅向受影响厂商披露；作者提出后续需识别抗性对齐配方中的关键成分及其可推广性。
研究者提出 ContextualJailbreak，一种把模拟多轮对话本身作为进化搜索对象的黑盒红队策略，用 0–5 分级伤害评分作为循环内信号，并以 roleplay、scenario、expand、troubleshooting、mechanistic 五个变异算子驱动搜索，其中后两个为本文新增。在 50 个 HarmBench 行为上，该方法在 gpt-oss:20B、qwen3-8B、llama3.1:70B 上达到 100% ASR@4，在 gpt-oss:120B 上为 90%，比四个单轮与多轮基线平均高 31–96 个百分点。
推荐理由论文给出多轮上下文预置攻击在多个开源模型上的 ASR，并显示同一批攻击迁移到不同厂商前沿模型时成功率差异明显。