2025_NIPS_Analogy-based Multi-Turn Jailbreak against Large Language Models

文章核心总结与翻译

一、主要内容

该研究聚焦大型语言模型（LLMs）的多轮越狱攻击问题，针对现有多轮越狱方法存在的“含敏感短语导致对话可疑”和“语义漂移导致响应与恶意意图不一致”两大核心缺陷，提出了一种基于类比的黑盒多轮越狱框架（AMA）。

核心思路

将有害响应拆解为“结构格式”和“恶意语义核心”，通过两阶段策略实现高效越狱：

1. 良性上下文构建阶段：利用与恶意提示结构相似的安全代理任务，构建完全无敏感内容的多轮对话，让模型在安全语境中内化目标响应格式（如步骤流程、材料清单等）；
2. 受控语义迁移阶段：在最后一轮对话中，保持结构一致性的同时，将良性主题替换为原始恶意意图；
3. 反馈驱动优化：通过熵值判断（EntropyJudge）缓解信息退化、通过越狱判断（JailbreakJudge）应对模型拒绝，动态优化提示词。

实验结果

• 在AdvBench、JailbreakBench等三个数据集和GPT-4o-mini、Llama-3.1-70b等6个主流LLM上验证，平均攻击成功率达93.3%，其中AdvBench上达96.0%，JailbreakBench上达90.7%；
• 相比PAIR、CoA等5种基线方法，在攻击成功率、语义一致性（平均得分7.38/10）和响应危害性（平均得分8.02/10）上均显著更优；
• 对现有防