REPRO：面向自动化 LLM 红队测试的反思式进化提示词优化器

查看 PDF HTML（实验性）

摘要：安全对齐的大型语言模型（LLM）仍然容易受到绕过其安全训练的对抗性提示的攻击。现有的自动化红队测试方法要么需要生产环境中无法获得的特权访问，要么依赖针对每个模型手动设计的模板，要么只优化单一目标而缺乏群体层面的多样性。我们提出了 REPRO（Reflective Evolutionary Prompt Optimization，反思式进化提示优化），这是一个纯黑盒框架，通过完全由单个消费级 GPU 上的压缩开放权重 7B 反思模型驱动的进化优化来发现对抗性提示。REPRO 引入了此前工作中没有的两种机制，二者均在组件消融实验中单独验证：语义交叉，一种由 LLM 引导的多父代重组算子；以及通过 Thompson Sampling 进行的贝叶斯策略选择，其依据是结构化失败分析。
我们在 AdvBench、JailbreakBench 和 HarmBench 上，对来自 11 个家族的 36 个目标模型（包括 GPT-5-nano、Claude-3.5-Sonnet、Gemini-2.5-Pro 和 Grok-4.1）记录了 REPRO 的行为。在我们的协议下，REPRO 在单轮中对每个评估目标都达到了 100\% 的攻击成功率（ASR），每个行为的中位目标查询数为 24 次。该协议的两个特性使这一数字需要加以限定。在优化过程中对候选进行评分的评判器同时也产生了所报告的 ASR，并且搜索在接受时即停止，因此 ASR 报告的是搜索是否在迭代预算内成功，而不是在固定预算下的成功率。所有基线数字均转录自其原始论文，而这些论文使用了不同的评判器、预算和模型版本。因此，我们将其呈现为在一种协议下的模型覆盖目录，而非正面排名，并在论文中详细阐述了这两点限定。

评论：	正在接受 ACM TOSEM 审稿
主题：	计算与语言（cs.CL）；人工智能（cs.AI）；神经与进化计算（cs.NE）
引用为：	arXiv:2610.15513 [cs.CL]
	（或 arXiv:2610.15513v1 [cs.CL] 用于此版本）
	https://doi.org/10.48550/arXiv.2610.15513 由 DataCite 颁发的 arXiv DOI（待注册）

提交历史

来自：Abrar Alotaibi [查看电子邮件]
[v1] 2026年10月11日星期日 10:26:25 UTC（136 KB）