Jailbreaking Large Language Models through Iterative Tool-Disguised Attacks via Reinforcement Learning

📄 arXiv: 2601.05466v1 📥 PDF

作者: Zhaoqi Wang, Zijian Zhang, Daqing He, Pengtao Kou, Xin Li, Jiamou Liu, Jincheng An, Yong Liu

分类: cs.CR, cs.AI

发布日期: 2026-01-09

💡 一句话要点

提出iMIST：一种基于强化学习的迭代式工具伪装攻击方法，用于破解大型语言模型

🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 大型语言模型 越狱攻击 强化学习 对抗攻击 工具伪装

📋 核心要点

  1. 现有大型语言模型的防御机制在面对复杂的对抗性攻击时存在不足，容易被绕过，导致产生有害回复。
  2. iMIST方法的核心在于将恶意查询伪装成正常的工具调用，并利用交互式对话逐步提升回复的有害性。
  3. 实验结果表明，iMIST能够有效提高攻击成功率，同时保持较低的拒绝率，揭示了现有安全机制的漏洞。

📝 摘要（中文）

大型语言模型（LLMs）在各种应用中表现出卓越的能力，但它们仍然极易受到越狱攻击的影响，这些攻击会引发违反人类价值观和安全准则的有害响应。尽管对防御机制进行了广泛的研究，但现有的安全措施对于复杂的对抗策略来说仍然是不够的。本文提出iMIST（交互式多步渐进式工具伪装越狱攻击），一种新颖的自适应越狱方法，协同利用当前防御机制中的漏洞。iMIST将恶意查询伪装成正常的工具调用，以绕过内容过滤器，同时引入一种交互式渐进优化算法，该算法通过实时有害性评估指导的多轮对话动态地升级响应的有害性。在广泛使用的模型上的实验表明，iMIST实现了更高的攻击有效性，同时保持了较低的拒绝率。这些结果揭示了当前LLM安全机制中的关键漏洞，并强调了对更强大的防御策略的迫切需求。

🔬 方法详解

问题定义：当前大型语言模型（LLMs）的安全防御机制，如内容过滤器，在面对精心设计的对抗性攻击时显得脆弱。攻击者可以通过各种手段绕过这些防御，诱导LLMs生成有害、不安全或违反道德规范的回复。现有的攻击方法往往是单步的，难以适应LLMs不断演进的防御策略。因此，如何设计一种更有效的、自适应的攻击方法，以揭示LLMs潜在的安全漏洞，是本文要解决的核心问题。

核心思路：iMIST的核心思路是将恶意攻击查询伪装成看似无害的工具调用，从而绕过内容过滤器。同时，采用一种交互式的、渐进式的攻击策略，通过多轮对话逐步提升LLM回复的有害性。这种方法模拟了真实世界中攻击者与LLM交互的过程，更具隐蔽性和有效性。通过强化学习，iMIST能够自适应地调整攻击策略，以应对LLM防御机制的变化。

技术框架：iMIST的整体框架包含以下几个主要模块：1) 工具伪装模块：将恶意查询包装成对特定工具的正常调用，例如搜索引擎或计算器。2) 交互式对话模块：通过多轮对话与LLM进行交互，逐步引导LLM产生有害回复。3) 有害性评估模块：实时评估LLM回复的有害程度，并作为强化学习的奖励信号。4) 强化学习优化模块：使用强化学习算法（如Policy Gradient）优化攻击策略，以最大化有害性评估模块的输出。整个流程是一个迭代的过程，通过不断与LLM交互和学习，iMIST能够找到最有效的攻击路径。

关键创新：iMIST的关键创新在于其交互式、渐进式的攻击策略和工具伪装机制。与传统的单步攻击方法不同，iMIST通过多轮对话逐步提升回复的有害性，更具隐蔽性和有效性。工具伪装机制则能够有效绕过内容过滤器，提高攻击的成功率。此外，iMIST采用强化学习算法自适应地优化攻击策略，使其能够应对LLM防御机制的变化。

关键设计：在工具伪装模块中，需要精心设计工具调用的格式和内容，使其看起来像是正常的工具使用请求。在有害性评估模块中，可以使用预训练的有害性检测模型或人工标注来评估回复的有害程度。强化学习算法的选择和参数设置也会影响攻击的效果。例如，可以使用PPO算法，并调整学习率、折扣因子等参数。奖励函数的设计至关重要，需要平衡有害性和拒绝率之间的关系。此外，还需要考虑对话轮数、每次对话的长度等因素。

📊 实验亮点

实验结果表明，iMIST在多种广泛使用的LLM上实现了显著的攻击效果提升。相较于现有攻击方法，iMIST能够以更高的成功率诱导LLM产生有害回复，同时保持较低的拒绝率。具体的性能数据（例如攻击成功率的提升幅度）在论文中进行了详细展示，证明了iMIST的有效性和优越性。

🎯 应用场景

该研究成果可应用于评估和提升大型语言模型的安全性。通过iMIST方法，可以发现LLM中潜在的安全漏洞，并为开发更强大的防御机制提供指导。此外，该研究还可以用于构建更安全的LLM应用，例如聊天机器人和智能助手，以防止其被恶意利用。

📄 摘要（原文）

Large language models (LLMs) have demonstrated remarkable capabilities across diverse applications, however, they remain critically vulnerable to jailbreak attacks that elicit harmful responses violating human values and safety guidelines. Despite extensive research on defense mechanisms, existing safeguards prove insufficient against sophisticated adversarial strategies. In this work, we propose iMIST (\underline{i}nteractive \underline{M}ulti-step \underline{P}rogre\underline{s}sive \underline{T}ool-disguised Jailbreak Attack), a novel adaptive jailbreak method that synergistically exploits vulnerabilities in current defense mechanisms. iMIST disguises malicious queries as normal tool invocations to bypass content filters, while simultaneously introducing an interactive progressive optimization algorithm that dynamically escalates response harmfulness through multi-turn dialogues guided by real-time harmfulness assessment. Our experiments on widely-used models demonstrate that iMIST achieves higher attack effectiveness, while maintaining low rejection rates. These results reveal critical vulnerabilities in current LLM safety mechanisms and underscore the urgent need for more robust defense strategies.