现代大型语言模型（LLM）在面对精心编排的多轮对话时仍然脆弱：攻击者可以逐步诱导模型，绕过其安全机制。现有的红队测试方法往往依赖启发式规则，或对攻击者能力、目标模型可访问性等施加较强假设，因此在完全黑盒的真实部署条件下适用性有限。针对这一缺口，Yuqing Huang 等五位作者提出 $M^3$，一个把多轮越狱（multi-turn jailbreaking）形式化为有限时域马尔可夫决策过程（MDP）的自动化红队框架。该论文于 2026 年 10 月 22 日提交至 arXiv，编号 2610.31937，归类为 cs.AI。
$M^3$ 的核心设计是多 LLM 协同：攻击者 LLM 负责与目标 LLM 交互并生成下一轮对话，但它并不直接处理冗长的完整对话历史，而是基于一个由状态 LLM 生成的紧凑内部状态来决策。这个状态表示把多轮交互压缩为对当前局势的抽象描述，使攻击策略能够在 MDP 框架下被系统化地规划与更新，同时避免对目标模型内部参数或梯度的依赖。正因如此，$M^3$ 适用于完全黑盒的评估场景，而不需要白盒访问或强假设。
在实验层面，作者在两个基准和六个目标模型上评估 $M^3$，并与当前先进的多轮红队方法比较。结果显示，$M^3$ 在攻击成功率（ASR）上全面领先，ASR@5 最多提升 53%。值得注意的是，即便使用轻量级攻击者 LLM，$M^3$ 相比使用更高容量攻击者的基线仍能取得最多 26% 的 ASR@1 提升和 34% 的 ASR@5 提升，说明框架本身的结构化状态与决策机制能够部分替代攻击者模型规模带来的收益。
除了更高的攻击成功率，$M^3$ 还表现出两个值得关注的特性。其一，随着对话轮次增加，风险升级更陡峭，说明该方法能更有效地利用多轮交互逐步突破防线。其二，它在不同风险类别上的表现更加均衡：在不依赖预定义风险分类体系的情况下，Gini 指数最多改善 4.82。这意味着评估结果不易因类别划分方式而偏斜，红队测试的可比性与覆盖面更好。
总体而言，$M^3$ 为多轮红队测试与安全评估提供了一个可扩展且有原则的框架。它把多轮越狱从启发式试错推进到形式化决策过程，并证明紧凑状态表示与多 LLM 分工可以在黑盒条件下显著提升攻击效果。对模型开发者而言，这项工作也提示安全评估需要关注跨轮次的风险累积，而不仅是单轮拒答能力。