自适应对抗：面向LLM Agent安全的多轮多LLM基准

该研究提出了一个包含21个场景的自适应多轮攻击基准，用于评估无记忆LLM防御者。固定攻击回合下攻击成功率(ASR)为0-1%，允许15轮自适应攻击后ASR升至5.4-14.0%。合并三个前沿攻击者LLM可发现1.4-2.2倍于单一攻击者的独特成功攻击，且生成攻击与现有基准攻击的余弦相似度仅0.02-0.14。Claude Opus 4.6和GPT-5.4总体ASR相同(各5.4%)，但在特定场景下Claude Opus 4.6 ASR达60%而GPT-5.4和Gemini仅7%。13个场景能区分至少一对防御者，但不同场景排名不一致。

此前安全基准多使用固定攻击池进行单轮或预设多轮评估，无法模拟攻击者根据防御者回应动态调整策略的实际情况。该基准通过允许攻击者观察并自适应地选择攻击方法，揭示了多轮交互下防御者漏洞显著增加（ASR从0-1%升至5.4-14.0%），且不同模型弱点的分布差异巨大，表明单次静态评估可能严重低估风险。

攻击者作为自主LLM，在每一轮观察防御者的输出后，可以改变攻击策略（如提示注入、多轮操纵），逐步探测防御者的薄弱环节。由于防御者是无记忆的（每轮视为全新交互），攻击者可以利用不同轮次的独立回应来绕过限制。多攻击者联合可覆盖更广的攻击空间，因为单个攻击者可能存在盲点。不同LLM防御者的安全能力在不同场景下表现迥异，说明安全评估需要覆盖多样化场景和自适应攻击。

对于构建LLM Agent产品的团队，依赖单轮安全测试或固定攻击库可能遗漏严重漏洞，需要引入多轮自适应攻击测试流程。不同LLM防御模型（如Claude Opus 4.6、GPT-5.4、Gemini）在特定场景下的脆弱性差异巨大，意味着选择基础模型时需结合目标场景进行针对性安全评估。产品上线前应模拟攻击者多次尝试的场景，而非仅检查单次输入安全性。

• 开发基于多轮自适应攻击的LLM Agent安全评估工具，作为产品上线前的自动化测试环节。
• 为企业提供LLM Agent安全加固咨询服务，利用该基准识别特定场景下的防御薄弱点并给出改进方案。
• 构建持续安全监控平台，实时模拟攻击者自适应策略，在运行中发现并预警Agent的安全异常。
• 将多攻击者协同策略集成到红队测试框架中，提升攻击覆盖率，更全面评估Agent产品的鲁棒性。

• 该基准在更多真实业务场景（如客服、代码生成）中的表现如何？21个场景是否足以代表广泛威胁？
• 自适应攻击在具有记忆能力的LLM Agent上效果如何？无记忆假设是否过于简化？
• 攻击成功率（ASR）的5.4-14.0%区间对产品风险的实际影响是什么？不同安全阈值应如何设定？
• 多攻击者协作的边际效益是否随攻击者数量增加而递减？最优攻击者组合如何确定？