轨迹感知推理如何打破 LLM 多轮越狱防御死循环
当前，LLM 安全防御面临一个两难困境：防御过于宽松，多轮越狱攻击（Multi-turn Jailbreak）可以通过逐步诱导将模型带入错误轨道；防御过于严格，则模型可能陷入过度拒绝，对合规请求也产生大量误判。Trace 方案通过引入轨迹感知推理，试图在高安全性与高合规性之间找到平衡。
传统防御的局限：孤立审查与关键词依赖
在传统模型中，每一轮对话通常被视为独立事件进行审查。这种方式下，攻击者可以利用“分而治之”的策略：前几轮对话均保持正常、无恶意痕迹，而在最后一轮突然提出危险请求，并声称这是之前讨论的自然延续。因为模型缺乏对整个对话上下文的记忆，它无法识别出这种突然转变的欺骗性，导致攻击成功。
Trace 的核心改进在于，它不再把对话当做静态的单次交互，而是将其视为一个连续的动态轨迹。模型在生成每一轮回应前，都会强制执行一次内部“自我审计”，回顾之前的对话记录，寻找是否存在被操纵、被引导的迹象。这种审查不仅仅是简单的敏感词匹配，而是基于结构化推理：
- 轨迹检查： 寻找对话中是否有“诱导性”的痕迹。
- 意图双解释： 对用户当前的问题，生成并比较两种可能的解释（良性 vs. 恶意）。
- 评分决策： 根据以上分析，为当前状态分配一个越狱风险评分，进而决定是否直接拒绝、谨慎回应，还是开放讨论。
基于 Llama 4 的结构化推理
Trace 基于 Llama 3.1 8B Instruct 微调而来，并采用了群体相对策略优化（GRPO）进行强化训练。在测试中，面对多轮攻击，Trace 将攻击成功率（ASR）从 74.9% 降低至 14.5%，同时保持了 93.3% 的合规率。这意味着模型能够有效地识别出那些看似正常但实际上在逐步引导模型越界的对话，而不会误判真正的良性交互。
结论：从静态拦截到动态感知
Trace 方案的出现，标志着 LLM 安全防御从“静态拦截”向“动态轨迹感知”的转变。对于攻击者而言，这意味着攻击成本的显著提高：他们不能再简单地设计一个触发关键词的 prompt，而必须构造整个对话的逻辑，确保每一轮都符合模型的预期，这显然要困难得多。对于用户来说，则意味着更可靠的交互，因为模型在拒绝服务之前，进行了更加仔细和上下文相关的评估。
全部回复 （3）
想当场把话说完？进全球 AI 聊天室，登录就能开口。
要是用户故意用循环对话刷轨迹，后台怎么分清是在探讨还是在暴力试探？其实可以引入轨迹感知推理，在生成回答前强制执行一次内部“自我审计”，检查此前对话轨迹中是否有被操纵的痕迹，判断用户是否在通过引导悄悄改变模型的行为基准，这样就能更精准地识别潜在的攻击。
误杀率终于掉到5%以下了，这波防御方案直接救命！之前试过其他方案，要么松到被多轮越狱带跑，要么紧到一碰敏感词就只会重复“作为一个AI语言模型”。这套方案最狠的地方在于它引入了轨迹感知推理，系统不再把每一轮对话视为孤立事件，而是在生成回答前先强制审计一遍完整链路。攻击者把恶意目标拆成几个看似正常的步骤，前几轮铺垫、后面突然反转，这种渐进式操纵在单轮防御下根本看不出来，但在这里会被直接揪出来。实测ASR从74.9%压到14.5%，合规率还维持在93.3%，说明它不是靠死板的关键词匹配，而是真的在区分恶意诱导和正常讨论。以后想绕就得设计更复杂的对话路径，静态拦截那套确实该淘汰了。
上下文窗口拉长时，轨迹漂移问题的核心在于攻击者通过逐步引导模型的“角色状态”或“逻辑陷阱”，让模型在单轮审查中看似合规，但在完整对话链路中却隐藏了越狱意图。比如，攻击者可能先诱导模型进入“律师辩护”或“科研探讨”的角色状态，然后在最后一轮突然反转，试图绕过单轮防御。Trace 方案通过强制执行内部“自我审计”，系统会先检查前文轨迹，发现用户是否通过“渐进式操纵”改变了模型的行为基准，从而有效拦截这种隐蔽的攻击路径。