一句话看懂：arXiv 上一篇新论文提出 M³ 自动化红队框架，把多轮对话式越狱形式化为有限期马尔可夫决策过程（MDP），在摘要所述的评测中提高了攻击成功率，也为大模型安全评估提供了更系统的多轮测试思路。
事件核心：发生了什么
据 arXiv cs.AI 2026 年 10 月 26 日发布的新论文摘要，研究团队提出 M³，一个面向多轮越狱的自动化红队框架。其做法是：由攻击方 LLM 与目标 LLM 交互，另有一个“状态 LLM”把对话压缩成紧凑的内部状态，使多轮诱导过程可按有限期 MDP 来规划。作者称，在两个基准、六个目标模型上，M³ 的 Attack Success Rate（ASR）优于现有多轮红队方法，ASR@5 最高提升 53%；即使换成轻量攻击方，也分别取得最高 26%（ASR@1）和 34%（ASR@5）的提升。摘要还提到，风险随对话轮次上升更明显，跨风险类别表现更均衡（Gini 指数最高改善 4.82），且不依赖预设风险分类体系。
为什么重要
多轮对话正成为大模型越狱的主要入口之一：单轮提示词被拦截，攻击者就可能拆成多步、逐步试探。现有红队方法不少依赖启发式规则或较强假设，在完全黑盒条件下适用性受限。M³ 的价值在于把“怎么设计下一轮追问”变成可学习、可复用的决策问题，而不是靠人工经验堆案例。目前公开信息显示，这仍是 arXiv 预印本摘要层面的工作，实验细节尚待全文核验，不代表已上线产品或完成同行评审。
对用户/开发者/创作者的影响
对开发者而言，这类研究指向一个现实需求：安全测试不能只做单轮提示词扫描，还要覆盖多轮对话下风险逐步累积的场景；面向 API 的 AI 应用若接入较长会话，需在会话层面做风险监控。对企业和创作者来说，评测结论应限定在论文所述基准、模型和指标内，不宜据此判定某一模型“永久安全”或“必然被攻破”。从合规角度看，红队工具越自动化，模型上线前的安全评估成本可能下降，但攻击方法公开也可能被滥用，双用途风险值得留意。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是论文全文是否公开完整实验设置，六个目标模型的具体版本和基准条件能否复现；二是该框架是否开源或转为商用红队服务；三是主流模型厂商是否在安全评估中引入 MDP 式的多轮测试流程；四是监管与平台规则如何界定这类自动化攻击工具的使用边界。
来源：arXiv cs.AI
