現代の大規模言語モデル（LLM）は、巧妙に組み立てられた多ターンの対話によって安全機構を徐々に回避される脆弱性を依然として抱えている。既存のレッドチーミング手法の多くはヒューリスティクスに依存したり、攻撃者やターゲットへのアクセスについて強い仮定を置いたりするため、完全なブラックボックス設定での適用範囲が限られる。このギャップに対処するため、Yuqing Huang ら5名の著者は $M^3$ を提案した。これは多ターン脱獄を有限ホライズンのマルコフ決定過程（MDP）として形式化する自動レッドチーミング枠組みである。論文は2026年10月22日に arXiv に投稿され、番号は 2610.31937、分類は cs.AI である。
$M^3$ の中心的な設計はマルチLLMの協調にある。攻撃者LLMはターゲットLLMと対話して次のターンを生成するが、長い対話履歴をそのまま扱うのではなく、状態LLMが生成するコンパクトな内部状態に基づいて行動を決める。この状態表現は多ターンのやり取りを現在の状況の抽象的な記述へと圧縮し、MDPの枠組みのもとで攻撃戦略を体系的に計画・更新できるようにする。ターゲットモデルの内部パラメータや勾配に依存しないため、$M^3$ はホワイトボックスアクセスや強い仮定を必要とせず、完全なブラックボックス評価に適している。
実験では、2つのベンチマークと6つのターゲットモデルを用いて $M^3$ を評価し、最先端の多ターン・レッドチーミング手法と比較した。その結果、$M^3$ は攻撃成功率（ASR）で一貫して優位に立ち、ASR@5 では最大53%の改善を達成した。特筆すべきは、軽量な攻撃者LLMを用いた場合でも、より高容量の攻撃者を使うベースラインに対して ASR@1 で最大26%、ASR@5 で最大34%の改善を得た点である。これは、フレームワークの構造化された状態と意思決定の仕組みが、攻撃者モデルの規模による利得の一部を代替できることを示している。
さらに $M^3$ には注目すべき特性が2つある。第一に、会話ターンが増えるにつれてリスクの上昇がより急峻になり、多ターンのやり取りを通じて防御を段階的に突破する能力が高いことを示す。第二に、リスクカテゴリ間の性能がより均一になる。事前に定義されたリスク分類体系に依存せずに Gini 指数を最大4.82改善しており、カテゴリの切り方に左右されにくい比較可能で網羅的な評価が可能になる。
総じて $M^3$ は、多ターン・レッドチーミングと安全評価に対して拡張性のある原則的な枠組みを提供する。多ターン脱獄をヒューリスティックな試行錯誤から形式化された意思決定過程へと進め、コンパクトな状態表現とマルチLLMの分業がブラックボックス条件下でも攻撃効果を大幅に高められることを示した。モデル開発者にとっては、安全評価が単一ターンの拒否能力だけでなく、ターンをまたぐリスクの累積にも目を向ける必要があることを示唆している。