Multiple Turns, Short Horizons: Measuring Effective-Horizon Compression in Jailbreaks
作者: Zhipeng Wei, Michael Lee, N. Benjamin Erichson
分类: cs.AI
发布日期: 2026-10-16
💡 一句话要点
提出有效视野压缩方法以优化多轮攻击查询
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 多轮越狱 有效视野压缩 攻击进展 查询优化 网络安全 对抗性学习 自然语言处理
📋 核心要点
- 现有的多轮越狱攻击方法在查询历史的有效性上存在不确定性，导致不必要的查询冗余。
- 本研究提出了一种有效视野压缩的方法，通过分析查询历史，识别出恢复攻击进展所需的最短查询序列。
- 实验结果表明，平均只需原始查询序列的一半即可恢复攻击进展，同时短期奖励传播窗口有效保持了防御性能。
📝 摘要（中文）
多轮越狱攻击利用受害者大型语言模型的反馈，在多个回合中调整查询。然而，一旦找到有效轨迹，早期查询历史的必要性尚不明确。本研究通过移除早期攻击者查询并在新对话中重新运行剩余查询，定义了有效视野为恢复相同攻击进展所需的最短查询序列。实证结果表明，平均而言，原始查询序列的一半足以恢复相同的攻击进展。我们称这一现象为有效视野压缩，并展示了这一较短历史能够恢复未成功攻击期间达到的最佳点，为继续攻击提供更好的起点。此外，短期奖励传播窗口在接近全轨迹回报的情况下保持了校准防御性能。这些结果表明，多轮攻击可能包含超过恢复后续进展所需的查询数量。
🔬 方法详解
问题定义：本论文旨在解决多轮越狱攻击中查询历史的冗余性问题，现有方法未能有效识别早期查询的必要性，导致攻击效率低下。
核心思路：通过移除早期的攻击者查询并重新运行剩余查询，定义有效视野为恢复相同攻击进展所需的最短查询序列，从而实现有效视野压缩。
技术框架：研究流程包括：1) 移除早期查询，2) 在新对话中运行剩余查询，3) 生成受害者的响应并评估攻击进展。主要模块包括查询选择、攻击进展评估和响应生成。
关键创新：提出了有效视野压缩的概念，表明多轮攻击中存在查询冗余，且较短的查询历史能够有效恢复攻击进展，这是与现有方法的本质区别。
关键设计：在实验中，设置了短期奖励传播窗口，以保持防御性能接近全轨迹回报，同时对早期查询的学习信号进行下调，以提升整体攻击性能。
🖼️ 关键图片
📊 实验亮点
实验结果显示，平均而言，移除早期查询后，仍能恢复相同攻击进展，且有效视野压缩使得攻击效率提升约50%。短期奖励传播窗口的使用，确保了防御性能与全轨迹回报相近，表明该方法在实际应用中具有显著优势。
🎯 应用场景
该研究的潜在应用领域包括网络安全、对抗性机器学习和自然语言处理中的攻击防御策略。通过优化多轮攻击的查询效率，可以提高对抗性攻击的成功率，并为防御机制的设计提供新的思路，未来可能影响相关领域的安全性与可靠性。
📄 摘要（原文）
Multi-turn jailbreaks use feedback from a victim large language model to adapt their queries over several turns. However, once an effective trajectory has been found, it is unclear how much of the earlier query history is still needed. In this work, we study this by removing early attacker queries and running the remaining queries again in a new conversation while regenerating the victim's responses. We define the effective horizon as the shortest remaining query sequence that recovers the same attack progress. Empirically, we find that roughly half of the original query sequence is sufficient on average to recover the same attack progress. We call this phenomenon effective-horizon compression. We show that this shorter history can recover the best point reached during an unsuccessful attack and provide a better starting point for continuing the attack. It also helps identify which earlier queries should receive less learning signal during attacker training, and downweighting those queries improves performance. We further find that short reward-propagation windows preserve calibrated defense performance close to full-trajectory returns. These results show that multi-turn attacks can contain more queries than are needed to recover the progress reached later in the interaction.