多轮越狱攻击会利用受害 LLM 的反馈在多轮对话中调整查询。本文通过在找到有效攻击轨迹后，删除前置查询并在新对话中重新执行剩余查询，同时重新生成受害模型的回复，来衡量早期查询的必要性。我们将有效视野定义为能够恢复相同攻击进度的最短剩余查询序列。实验表明，平均约有一半的原始查询即可实现相同的攻击进度，这一现象称为有效视野压缩。更短的历史能够恢复未成功攻击中达到的最佳点，并为后续攻击提供更好的起点。该发现还能帮助识别在攻击者训练时应降低学习信号的早期查询，适当下调这些查询的权重可提升攻击性能。进一步实验显示，使用短的奖励传播窗口仍能保持防御校准性能，接近完整轨迹的回报。总体而言，多轮攻击往往包含了超出恢复后期进度所需的查询量。
点评