Résumé technique : L'évolution d'une mémoire d'attaque structurée par compétences améliore les jailbreaks des LLM

Énoncé du problème

Les grands modèles de langage (LLM) sont alignés pour refuser les demandes nuisibles, mais ils restent vulnérables aux attaques de jailbreak qui induisent du contenu non autorisé. Bien que la génération automatisée de jailbreaks en boîte noire soit cruciale pour l'évaluation de la sécurité, les méthodes existantes présentent des limitations significatives en termes d'efficacité et d'efficacité. Les approches actuelles se divisent généralement en deux catégories :

1. Recherche heuristique par échantillon : Des méthodes comme TAP affinent les invites en fonction d'un retour immédiat pour une seule trajectoire d'attaque. Cependant, cette expérience est locale et éphémère ; les leçons apprises sont entremêlées avec des trajectoires d'échantillons spécifiques, conduisant à une redécouverte redondante de tactiques et à une faible transférabilité entre différents objectifs.
2. Réutilisation d'expérience accumulée : Des méthodes comme GAP et AutoDAN-Turbo réutilisent des cas réussis, des graines de mutation ou des pools de stratégies à travers les échantillons. Cependant, ces pools manquent souvent d'une organisation systématique. Sans une gestion structurée, des motifs redondants, fragiles ou obsolètes peuvent évincer des stratégies fiables, rendant difficile la distinction entre des tactiques utiles et des succès dus à la chance, ou la réactivation de stratégies devenues pertinentes dans des conditions modifiées.

Le défi central consiste à dépasser la simple accumulation pour parvenir à une organisation et une gestion systématiques de l'expérience d'attaque, qui soutiennent des connaissances réutilisables, évolutives et statistiquement traçables dans un contexte en boîte noire où seuls les sorties du modèle sont observables.

Méthodologie : MemoAttack

Les auteurs proposent MemoAttack, un cadre d'attaque en boîte noire piloté par la mémoire qui transforme l'expérience d'attaque en une « mémoire structurée par compétences ». Le cadre fonctionne via une boucle d'exécution alternant entre la sélection de branches au niveau de l'arbre et la sélection de compétences au niveau de la mémoire. Il repose sur trois conceptions clés :

1. Modélisation de la mémoire structurée par compétences

Au lieu de traiter les réécritures réussies comme des invites ou des trajectoires isolées, MemoAttack abstrait les motifs d'attaque en unités de mémoire structurées par compétences réutilisables. Chaque unité est une abstraction nommée contenant :

• Identité et orientation : Un nom, un modèle et une justification expliquant le mécanisme.
• Champs de récupération : Des embeddings sémantiques et des exemples récupérés pour la correspondance.
• Champs de preuve et de sélection : Des posteriors de sélection et des statistiques de preuve directe traquant les progrès partiels et le succès final.
• Champs de provenance et de cycle de vie : Des métadonnées traquant l'origine de l'unité et son état actuel.

Crucialement, le modèle attaquant ne reçoit qu'une « vue projetée » de ces unités (nom, justification, modèle, exemples), tandis que les paramètres postérieurs et les états du cycle de vie restent privés du contrôleur. Cette séparation permet au système de suivre la responsabilité statistique sans entremêler l'attaquant avec des variables de comptabilité internes.

2. Évolution de la mémoire pilotée par le cycle de vie

Pour empêcher la croissance monotone des pools de mémoire observée dans les méthodes basées sur l'accumulation, MemoAttack traite la mémoire comme un système de cycle de vie contrôlé. Les unités transitent par quatre états basés sur les preuves accumulées :

• Candidat : Les unités nouvellement inventées ou mutées entrent en probation. Elles doivent mériter une promotion au statut actif via des preuves directes ou des progrès récents ; les candidats faibles sont rejetés tôt.
• Actif : Le pool principal réutilisable. Les unités y sont déplacées après une validation suffisante.
• Retraité : Les unités dont l'utilité décline ou dont les preuves sont obsolètes y sont déplacées. Elles ne sont échantillonnées que rarement comme sondes. Une preuve positive peut les réactiver ; une sous-performance répétée les fait passer à éliminé.
• Éliminé : Les unités qui ne participent plus à la sélection.

Ce cycle de vie permet au système de nettoyer les unités faibles ou obsolètes (via l'élimination ou l'éviction physique) tout en préservant les opportunités de récupération sous de nouvelles preuves, garantissant que le pool de mémoire reste borné et adaptatif.

3. Sélection de mémoire équilibrée exploration-exploitation

MemoAttack sélectionne les unités de mémoire en utilisant l'échantillonnage de Thompson contextuel pour équilibrer la réutilisation fiable avec l'exploration pilotée par l'incertitude. L'utilité de sélection combine :

• Utilités postérieures doubles : Deux distributions bêta sont maintenues pour chaque unité : l'une pour le progrès partiel et l'autre pour le succès final. Cela distingue les unités qui contournent le refus de celles qui induisent une conformité nuisible.
• Prime contextuelle : Une somme pondérée de caractéristiques incluant la correspondance sémantique, l'écart de score, les progrès/succès récents, les pénalités de répétition et le statut de probation.

Le contrôleur classe les unités selon $U(m | x_u) = UTS(m) + B(x_u, m) - \lambda_{ret}I_{ret}(m)$, sélectionnant les $k$ premières unités pour guider l'affinement de l'invite de l'attaquant.

Contributions clés

L'article revendique trois contributions principales :

1. Modélisation de la mémoire structurée par compétences : Représenter les connaissances d'attaque comme des unités de compétences structurées avec des modèles, des justifications et des états de cycle de vie, rendant les comportements d'attaque individuels abordables et statistiquement traçables.
2. Évolution de la mémoire pilotée par le cycle de vie : Implémenter un système de transition d'état (candidat, actif, retraité, éliminé) qui évite la croissance monotone de la mémoire et permet la réactivation de stratégies utiles.
3. Sélection de mémoire équilibrée exploration-exploitation : Utiliser des preuves postérieures et l'échantillonnage de Thompson contextuel pour permettre une réutilisation consciente de l'incertitude, où les unités fiables sont exploitées tandis que les unités sous-explorées reçoivent une exposition contrôlée.

Résultats expérimentaux

Les auteurs ont évalué MemoAttack sur AdvBench par rapport à des bases de référence de l'état de l'art (TAP, GAP et AutoDAN-Turbo) sur trois modèles cibles (kimi-k2.5, minimax-M2.5 et qwen3.5-397B-A17B) dans un cadre unifié en boîte noire.

• Taux de réussite de l'attaque (ASR) : MemoAttack a atteint un ASR moyen de 98,00 % (147/150 objectifs), surpassant la base de référence la plus forte (GAP, 81,33 %) de 16,67 points de pourcentage.
• Efficacité des requêtes : MemoAttack a réduit le nombre moyen de requêtes pour les exécutions réussies de 45,9 % (passant de 13,66 à 7,39 requêtes) par rapport à la base de référence la plus forte.
• Études d'ablation : La suppression de la machinerie de mémoire (A1) a causé la plus grande baisse d'ASR (-16,67 points), suivie par le remplacement du classement postérieur par une sélection aléatoire (A2, -13,89 points). La désactivation du contrôle du cycle de vie (A4) et de la mutation/invention (A3) a également entraîné une dégradation significative des performances, confirmant que les trois composants sont complémentaires.
• Dynamique de la mémoire : Les diagnostics ont montré que le pool de mémoire résident reste borné (se stabilisant près de 128 unités) malgré des propositions continues, avec une distribution à longue traîne de l'utilisation où les ancres à haute preuve restent réutilisables tandis que les descendants spécialisés occupent des niches plus étroites.

Signification et limites

Signification :
L'article soutient que MemoAttack démontre que rendre les connaissances d'attaque réutilisables explicites, sélectionnables et évolutives améliore considérablement à la fois le taux de conversion final et le coût du succès dans la recherche de jailbreak en boîte noire. En transformant l'expérience d'attaque en une mémoire de compétences guidée par le postérieur et évoluant par cycle de vie, le cadre dépasse la simple accumulation pour parvenir à une gestion efficace des connaissances adverses.

Limites :
Les auteurs reconnaissent plusieurs limites :

• Portée de l'évaluation : Les expériences ont été menées sur AdvBench avec des entrées uniquement textuelles et trois modèles cibles spécifiques. L'approche n'a pas été testée sur des entrées multimodales, des interactions multi-tours, des agents d'utilisation d'outils ou des modèles avec des politiques de sécurité dynamiques.
• Évaluation de la défense : Le travail ne comprend pas d'expériences du côté de la défense. Des travaux futurs sont nécessaires pour évaluer les protections contre des attaquants adaptatifs disposant d'une mémoire persistante.
• Complexité : MemoAttack introduit une complexité système supplémentaire par rapport aux bases de référence de recherche d'arbres plus simples en raison de la maintenance d'unités de mémoire structurées, de registres postérieurs et de transitions de cycle de vie.

Considérations éthiques :
Les auteurs soulignent que MemoAttack est destiné au red-teaming contrôlé et à l'évaluation de la sécurité pour identifier les modes d'échec récurrents et construire des tests de régression. Ils déclarent explicitement que la publication des artefacts opérationnels (invites, journaux, enregistrements de mémoire) doit être assainie et contrôlée en termes d'accès pour prévenir toute mauvaise utilisation dans le cadre d'invites adverses contre des systèmes déployés.