現代大型語言模型（LLM）在面對精心編排的多輪對話時仍然脆弱：攻擊者可以逐步誘導模型，繞過其安全機制。現有的紅隊測試方法往往依賴啓發式規則，或對攻擊者能力、目標模型可訪問性等施加較強假設，因此在完全黑盒的真實部署條件下適用性有限。針對這一缺口，Yuqing Huang 等五位作者提出 $M^3$，一個把多輪越獄（multi-turn jailbreaking）形式化為有限時域馬爾可夫決策過程（MDP）的自動化紅隊框架。該論文於 2026 年 10 月 22 日提交至 arXiv，編號 2610.31937，歸類為 cs.AI。
$M^3$ 的核心設計是多 LLM 協同：攻擊者 LLM 負責與目標 LLM 交互並生成下一輪對話，但它並不直接處理冗長的完整對話歷史，而是基於一個由狀態 LLM 生成的緊湊內部狀態來決策。這個狀態表示把多輪交互壓縮為對當前局勢的抽象描述，使攻擊策略能夠在 MDP 框架下被系統化地規劃與更新，同時避免對目標模型內部參數或梯度的依賴。正因如此，$M^3$ 適用於完全黑盒的評估場景，而不需要白盒訪問或強假設。
在實驗層面，作者在兩個基準和六個目標模型上評估 $M^3$，並與當前先進的多輪紅隊方法比較。結果顯示，$M^3$ 在攻擊成功率（ASR）上全面領先，ASR@5 最多提升 53%。值得注意的是，即便使用輕量級攻擊者 LLM，$M^3$ 相比使用更高容量攻擊者的基線仍能取得最多 26% 的 ASR@1 提升和 34% 的 ASR@5 提升，説明框架本身的結構化狀態與決策機制能夠部分替代攻擊者模型規模帶來的收益。
除了更高的攻擊成功率，$M^3$ 還表現出兩個值得關注的特性。其一，隨着對話輪次增加，風險升級更陡峭，説明該方法能更有效地利用多輪交互逐步突破防線。其二，它在不同風險類別上的表現更加均衡：在不依賴預定義風險分類體系的情況下，Gini 指數最多改善 4.82。這意味着評估結果不易因類別劃分方式而偏斜，紅隊測試的可比性與覆蓋面更好。
總體而言，$M^3$ 為多輪紅隊測試與安全評估提供了一個可擴展且有原則的框架。它把多輪越獄從啓發式試錯推進到形式化決策過程，並證明緊湊狀態表示與多 LLM 分工可以在黑盒條件下顯著提升攻擊效果。對模型開發者而言，這項工作也提示安全評估需要關注跨輪次的風險累積，而不僅是單輪拒答能力。