多轮对话里，越狱不需要奇招只需要几轮

单轮评测里的安全模型，可能在第三轮对话里缴械。

一、发生了什么

10 月 26 日挂上 arXiv 的一篇论文（代码托管在微软的开源仓库）量化了多轮越狱攻击的效率，研究对象是攻击方法本身，目的是给防御侧画地图。

论文先把现有攻击分成两类。静态规划型提前写好整套对抗脚本，实现简单，但全程不看受害模型的回应，浪费轮数，换个模型也容易失效。交互生成型每轮都读对方回复再决定下一步，但需要额外的评估器提供成功信号，成本高，测出来的成绩还可能虚高——评估器既是成本也是水分来源。

新方法介于两者之间：一边读回复一边自主推进，成功后自己终止会话。训练分两段——先用合成轨迹做微调，让基座模型建立「攻击目标是什么、何时收手」的概念；再用决策监督的强化学习，把「更高越狱奖励」和「每一轮决策向绝对目标对齐」两个目标分开监督、联合优化。

结果按论文摘要：在公开对抗基准上，对一款新发布模型平均 3 轮拿到 76% 的首轮成功率；最好的静态基线固定 7 轮才 54.8%，最好的交互基线 3.7 轮只有 43.8%。也就是说，能看着对方回复调整打法、又不背着评估器包袱的攻击，效率全面占优。对四款做过安全加固的前沿模型，平均首轮成功率 59.6%，比此前最好的成绩高 13.8 个百分点——「加固过」和「扛得住」之间，还隔着一条不小的沟。

还有一点值得记：因为攻击会自主判断何时收手，会话轮数本身成了可优化的对象。攻击越省轮次，防御侧的检测窗口就越短，这直接改变了拦截系统的设计前提。

二、跟你有什么关系

做模型对齐的工程师：护栏要按「轮数」这个维度设计，单轮拒绝率再高也挡不住多轮渗透，训练目标里值得加入多轮场景的鲁棒性。运营智能体平台的人：会话级监控比单条消息过滤更贴近真实威胁，重点盯「话题逐轮逼近边界」的轨迹形态。写安全评测的人：你的红队剧本里如果没有自主多轮攻击器，分数会系统性偏乐观——论文里所有交互式基线都因为依赖额外评估器而虚高，选工具时也要避开这一类。

三、怎么判断

1. 评测报告先问测了几轮——单轮和多轮的成功率能差出几十个百分点。
2. 把「攻击方拥有终止权」这个假设纳入威胁建模，它显著抬高了效率。
3. 上线前用开源攻击框架跑回归，别只依赖厂商自报的安全成绩。

四、三个别信的说法

加固过的前沿模型扛得住。 摘要里的 59.6% 是四款加固模型的平均值，加固不等于免疫。

攻击成本高所以威胁有限。 平均三轮、自动终止，成本正在往下走，威胁模型要跟着更新。

防御只能靠继续堆护栏。 论文显示攻击的增益来自「决策监督」这个训练思路，防御侧同样可以按轮数做决策约束，思路是通的。

五、一句话结论

多轮是攻防的新计量单位，还在只测单轮的评测表，是张旧地图。

信息来源

• arXiv：SEMA-Auto 多轮自主攻击方法论文（2026-10-26）

功能与价格以官方公告为准。本文写于 2026 年 10 月 28 日。