HarmNet: A Framework for Adaptive Multi-Turn Jailbreak Attacks on Large Language Models

文章总结与翻译

一、主要内容

本文针对大型语言模型（LLMs）易受多轮越狱攻击的问题，提出了一种模块化、与模型无关的攻击框架HarmNet。该框架通过三大核心组件系统构建、优化并执行多轮越狱查询：

1. ThoughtNet：构建分层语义网络，以用户有害意图为核心，生成相关主题、上下文句子及实体，进而形成初始多轮查询链，实现对抗空间的全面探索；
2. 反馈驱动模拟器：通过模拟多轮交互，基于危害性评分和语义对齐度评估查询链效果，迭代优化无效查询并剪枝低效链，聚焦高潜力攻击路径；
3. 网络遍历器：基于模拟性能选择最优查询链，在实时执行中根据模型响应动态调整，确保攻击的适应性和高效性。

实验基于HarmBench基准，覆盖闭源（GPT-3.5 Turbo、GPT-4o、Claude 3.5 Sonnet）和开源（LLaMA-3-8B、Mistral-7B、Gemma-2-9B）两类LLMs，结果显示HarmNet的攻击成功率显著优于现有方法，其中Mistral-7B上达99.4%，GPT-4o上达94.8%，且攻击路径的语义多样性更高，适用于稳健的红队测试。

二、创新点

1. 结构化对抗空间探索：通过ThoughtNet的分层语义网络设计，突破传统方法对抗空间探索不充分的局限，无需穷举即可实现语义丰富且动态可扩展的攻击路径生成；
2. 双维度反馈优化机制</