多轮越狱不再逐轮判断：不重训的THRD把攻击成功率压到0.2%–4.0%，MMLU只掉1.5%
核心概要
多轮越狱攻击靠逐轮升级和跨轮配合绕过安全对齐，而现有防御要么依赖代价高昂的重训练，要么逐轮独立判断，抓不住风险在对话中的累积。THRD把当前轮风险、历史意图升级和上一轮回复的助推程度合成一个随时间演化的风险分数，无需训练即可在推理时决定正常回答、受控回答或拒绝。在Qwen2.5-7B与Llama3-8B上对X-Teaming和Tempest两类多轮攻击，THRD把攻击成功率降到0.2%–4.0%，MMLU与GSM8K的效用损失在1.5%以内。
深度剖析
多轮越狱防御从逐轮独立判断改为沿对话轨迹累积风险。 此前的推理时防御多依赖单轮分析或静态规则，难以识别只有跨轮累积和回复层面助推才显现的攻击。 在Qwen2.5-7B和Llama3-8B上对X-Teaming与Tempest测试，THRD的攻击成功率落在0.2%–4.0%区间，而逐轮套用的PROACT在X-Teaming上仍有63.5%和67.0%（Qwen）以及47.4%和24.0%（Llama）。
框架把对话安全拆成当前轮、历史、回复三路信号，再用一个随时间演化的分数合成。 三路信号分别由轮级风险评估器（TRA，给当前输入打1到5的风险分）、历史上下文分析器（HCA，读完整对话历史判断意图是否升级）和回复评估器（RE，判断上一轮输出是否会助推后续危害）给出。 决策模块用衰减函数按当前轮严重程度调节历史信号权重，并在风险分连续多轮单调上升时追加惩罚；在Tempest加100条AdvBench指令的设置下，七种决策公式配置的攻击成功率都低于2%。
跨轮信息是这套防御起作用的关键，多数攻击在第二轮才被识别。 如果只看第一轮，大部分攻击会被放过。 在X-Teaming（最多7轮）上，仅18.0%（Qwen）和29.1%（Llama）的攻击在第一轮被拦下，55.8%和61.8%首次触发拒绝发生在第二轮，26.2%和9.1%要到第三轮或更晚。
去掉任一模块都会明显削弱防御，说明三路信号并不冗余。 单靠轮级评估仍能提供基础防护，但不足以覆盖跨轮升级。 在Llama3-8B的X-Teaming加HarmBench设置下，完整框架攻击成功率为1.59%，去掉TRA升至25.37%，去掉HCA升至26.07%，去掉RE升至17.07%，同时去掉HCA和RE升至33.30%。
启示与展望
演示范围限于Qwen2.5-7B-Instruct和Llama-3-8B-Instruct两个目标模型，攻击为X-Teaming与Tempest两类多轮方法，另加单轮AutoDAN作为泛化检查；安全性与效用分别用HarmBench、AdvBench、MMLU、GSM8K和XSTest衡量。作者提出后续可改进上下文压缩与模块统一以降低开销。
作者指出TRA、HCA、RE都依赖提示词驱动的语义判断，因此部分依赖底层评估模型的推理能力，针对这套提示与打分动态专门优化的攻击可能削弱效果；当前用轻量分数聚合而非序列学习来建模时间动态，对把意图分散到更长轨迹的攻击可能力不从心；一旦触发拒绝便无条件拒绝后续所有轮次，对通用系统可能过于保守；HCA是主要延迟瓶颈，Llama3-8B上单次调用17.24秒，压缩状态后降到8.39秒但攻击成功率从1.6%升到3.5%。