技術概要：進化するスキル構造化攻撃メモリが LLM のジャイルブレイクを強化する

問題定義

大規模言語モデル（LLM）は有害なリクエストを拒否するように整合性を取られているが、依然として禁止されたコンテンツを誘発するジャイルブレイク攻撃に対して脆弱である。自動化されたブラックボックス・ジャイルブレイク生成は安全性評価にとって重要であるが、既存の手法は効率性と有効性の面で重大な限界に直面している。現在の手法は一般的に 2 つのカテゴリに分類される：

1. サンプル単位のヒューリスティック探索：TAP などの手法は、単一の攻撃軌跡に対する即時的フィードバックに基づいてプロンプトを洗練させる。しかし、この経験は局所的で短命であり、得られた教訓は特定のサンプル軌跡と絡み合っているため、戦術の冗長な再発見を招き、異なる目標間での転用性が弱い。
2. 蓄積経験の再利用：GAP や AutoDAN-Turbo などの手法は、サンプル間で成功事例、突然変異の種、または戦略プールを再利用する。しかし、これらのプールはしばしば体系的な組織化を欠いている。構造化された管理がなければ、冗長で脆い、あるいは陳腐化したパターンが信頼できる戦略を駆逐し、有用な戦術と幸運な成功を区別すること、または変化した条件下で関連性を取り戻す戦略を再活性化することが困難になる。

核心的な課題は、モデル出力のみが観測可能なブラックボックス設定において、単純な蓄積を超え、再利用可能で進化可能、かつ統計的に追跡可能な知識を支援する、攻撃経験の体系的な組織化と管理へと移行することである。

手法：MemoAttack

著者は、攻撃経験を「スキル構造化メモリ」に変換するメモリ駆動型のブラックボックス・ジャイルブレイクフレームワークであるMemoAttackを提案する。このフレームワークは、ツリーレベルの分枝選択とメモリレベルのスキル選択を交互に行うランタイムループを通じて動作する。これは 3 つの主要な設計に基づいている：

1. スキル構造化メモリモデリング

成功した書き換えを孤立したプロンプトや軌跡として扱うのではなく、MemoAttack は攻撃パターンを再利用可能なスキル構造化メモリ単位に抽象化する。各単位は、以下の要素を含む命名された抽象化である：

• アイデンティティとガイダンス：メカニズムを説明する名前、テンプレート、および根拠。
• 検索フィールド：一致のためのセマンティック埋め込みと検索された例。
• 証拠と選択フィールド：部分的な進捗と最終的な成功を追跡する選択事後分布と直接証拠統計。
• 由来とライフサイクルフィールド：単位の起源と現在の状態を追跡するメタデータ。

重要なのは、攻撃者モデルはこれらの単位の「投影されたビュー」（名前、根拠、テンプレート、例）のみを受け取り、事後パラメータとライフサイクル状態はコントローラーにのみ非公開で保持される点である。この分離により、攻撃者を内部会計変数に絡み合わせることなく、システムが統計的な説明責任を追跡することが可能になる。

2. ライフサイクル駆動型メモリ進化

蓄積ベースの手法で見られるメモリプールの単調な成長を防ぐため、MemoAttack はメモリを制御されたライフサイクルシステムとして扱う。単位は蓄積された証拠に基づいて 4 つの状態を遷移する：

• 候補：新たに考案または突然変異した単位は試用期間に入る。これらは、直接証拠または最近の進捗を通じてアクティブ状態への昇進を獲得する必要があり、弱い候補は早期に拒否される。
• アクティブ：主な再利用可能なプール。単位は十分な検証後にここへ移動する。
• 引退：有用性が低下しているか、証拠が陳腐化している単位はここへ移動する。これらはプローブとして稀にのみサンプリングされる。肯定的な証拠はそれらを再活性化できるが、繰り返される不十分なパフォーマンスはそれらを排除状態へ移す。
• 排除：選択に参加しなくなった単位。

このライフサイクルにより、システムは新しい証拠下での回復の機会を維持しつつ、弱いか陳腐化した単位を（排除または物理的な退去を通じて）整理でき、メモリプールが有界で適応的であることを保証する。

3. 探索と活用をバランスさせたメモリ選択

MemoAttack は、信頼できる再利用と不確実性駆動の探索をバランスさせるために文脈型トンプソンサンプリングを用いてメモリ単位を選択する。選択効用は以下の要素を組み合わせる：

• 二重事後効用：各単位に対して 2 つのベータ分布が維持される。1 つは部分的な進捗のため、もう 1 つは最終的な成功のためである。これにより、拒否を回避する単位と有害な服従を誘発する単位を区別する。
• 文脈ボーナス：セマンティック一致、スコアギャップ、最近の進捗/成功、反復ペナルティ、および試用期間ステータスを含む特徴の重み付き和。

コントローラーは $U(m | x_u) = UTS(m) + B(x_u, m) - \lambda_{ret}I_{ret}(m)$ によって単位をランク付けし、攻撃者のプロンプト洗練を導くために上位 k 個の単位を選択する。

主要な貢献

本論文は 3 つの主要な貢献を主張する：

1. スキル構造化メモリモデリング：テンプレート、根拠、およびライフサイクル状態を備えた構造化スキル単位として攻撃知識を表現し、個々の攻撃行動に対処可能かつ統計的に追跡可能にする。
2. ライフサイクル駆動型メモリ進化：単調なメモリ成長を回避し、有用な戦略の再活性化を可能にする状態遷移システム（候補、アクティブ、引退、排除）を実装する。
3. 探索と活用をバランスさせたメモリ選択：事後証拠と文脈型トンプソンサンプリングを活用して不確実性認識型の再利用を可能にし、信頼できる単位を活用しながら未探索の単位に制御された露出を与える。

実験結果

著者は、統合されたブラックボックス設定において、3 つのターゲットモデル（kimi-k2.5、minimax-M2.5、qwen3.5-397B-A17B）に対して、最先端のベースライン（TAP、GAP、AutoDAN-Turbo）に対する AdvBench 上で MemoAttack を評価した。

• 攻撃成功率（ASR）：MemoAttack は平均 ASR 98.00%（150 目標中 147）を達成し、最強のベースライン（GAP、81.33%）を16.67 パーセントポイント上回った。
• クエリ効率：MemoAttack は、最強のベースラインと比較して、成功した実行の平均リクエスト数を45.9%（13.66 から 7.39 リクエストへ）削減した。
• アブレーション研究：メモリ機構の除去（A1）は最大の ASR 低下（-16.67 ポイント）を引き起こし、次に事後ランキングをランダム選択に置き換えること（A2、-13.89 ポイント）が続いた。ライフサイクル制御（A4）と突然変異/考案（A3）を無効化することも、著しい性能低下をもたらした。これにより、3 つのコンポーネントすべてが相補的であることが確認された。
• メモリダイナミクス：診断結果は、継続的な提案にもかかわらず、常駐メモリプールが有界に保たれていること（約 128 単位で安定化）を示しており、高証拠のアンカーは再利用可能でありながら、特殊な派生体がより狭いニッチを占めるという長尾分布の使用方法を示した。

意義と限界

意義：
本論文は、再利用可能な攻撃知識を明示的、選択可能、かつ進化可能にすることが、ブラックボックス・ジャイルブレイク探索における最終変換率と成功コストの両方を大幅に改善することを MemoAttack が実証していると主張している。攻撃経験を事後ガイドされ、ライフサイクルで進化させるスキルメモリに変換することで、このフレームワークは単純な蓄積を超え、敵対的知識の効果的な管理へと移行する。

限界：
著者はいくつかの限界を認めている：

• 評価範囲：実験はテキストのみ入力および 3 つの特定のターゲットモデルを用いた AdvBench 上で実施された。このアプローチは、マルチモーダル入力、マルチターン対話、ツール使用エージェント、または動的な安全性ポリシーを持つモデルではテストされていない。
• 防御評価：この研究には防御側の実験は含まれていない。持続的なメモリを持つ適応型攻撃者に対するセーフガードを評価するためには、将来の研究が必要である。
• 複雑性：MemoAttack は、構造化メモリ単位、事後台帳、およびライフサイクル遷移の維持により、単純なツリー探索ベースラインと比較して追加のシステム複雑性を導入する。

倫理的考慮事項：
著者は、MemoAttack は反復する失敗モードを特定し、回帰テストを構築するための制御されたレッドチームングと安全性評価を目的としていることを強調している。彼らは明確に、運用アーティファクト（プロンプト、ログ、メモリ記録）のリリースは、展開されたシステムに対する敵対的プロンプティングの誤用を防ぐために、浄化され、アクセス制御されるべきであると述べている。