这项由复旦大学和上海人工智能实验室联合进行的重要研究于2025年11月发表在arXiv预印本平台上，论文编号为arXiv:2511.12710v1。研究团队由复旦大学的陈云昊、王鑫、李君辰、王艺旭和马新军教授，以及上海人工智能实验室的李杰、滕岩和王迎春共同完成。这项研究在AI安全领域取得了突破性进展，感兴趣的读者可以通过arXiv平台查询完整论文。
近年来，随着ChatGPT、Claude等大型语言模型在日常生活中的广泛应用，一个令人担忧的现象也随之出现：有人试图通过各种巧妙的方法绕过这些AI系统的安全限制，让它们说出不该说的话、做出危险的建议。这就像试图欺骗一个严格的门卫，让他放行本不应该进入的人。在AI安全领域，我们把这种行为称为"越狱攻击"。
然而，传统的AI越狱攻击就像是拿着一把固定形状的钥匙去开各种不同的锁，成功率并不高。研究人员通常只能不断调整攻击文本的措辞，或者组合已知的攻击策略，就像厨师只能用现有的食材和菜谱来烹饪，无法创造出全新的菜式。这种局限性让AI防御系统逐渐学会了应对这些常规攻击。
复旦大学的研究团队意识到，要想真正突破AI的安全防线，就需要换一个全新的思路。他们不再局限于调整攻击文本，而是让AI系统自己学会编写攻击程序。这就像是教会锁匠不仅要知道如何使用现有的钥匙，还要学会如何为每一把不同的锁量身定制专用钥匙。
一、革命性的攻击思路：从调整策略到进化程序
传统的AI越狱攻击方法就像是在跟AI玩"猜谜游戏"。攻击者需要不断尝试不同的说话方式，比如假装自己是在写小说、进行学术研究，或者让AI扮演某个特定角色，希望能够绕过安全检查。这种方法的问题在于，它只是在已有的攻击策略中挑选和组合，就像是在一个有限的工具箱里翻找工具，找到合适工具的概率随着AI防御能力的提升而不断下降。
研究团队提出的EvoSynth系统采用了一个全新的攻击哲学：不再试图改进攻击的"话术"，而是教会系统自己编写攻击"程序"。这就像是从"使用现成工具"升级到"自己制造工具"的巨大跨越。在这个系统中，AI不仅要理解如何攻击，还要学会如何根据具体情况创造全新的攻击方法。
EvoSynth的工作方式可以用一个智能工匠的故事来理解。当这个工匠遇到一把从未见过的锁时，他不会盲目尝试手头的钥匙，而是先仔细观察锁的结构，分析它的弱点，然后设计并制造出专门针对这把锁的钥匙。更神奇的是，如果第一次制造的钥匙不够完美，这个工匠还能根据尝试的结果不断改进自己的设计，直到成功开锁为止。
这个系统的核心创新在于它不是简单地生成一段攻击文本，而是生成一个完整的、可执行的Python程序。这个程序就像是一个专门的攻击机器，它能够根据不同的输入自动调整自己的行为，生成最适合当前情况的攻击内容。更重要的是，当一个攻击程序失败时，系统能够自动分析失败的原因，然后重写程序的代码，创造出更强大的新版本。
二、多智能体协作：四个专业角色的完美配合
EvoSynth系统就像是一个由四个专业角色组成的攻击小组，每个角色都有自己独特的专长和职责。这种分工合作的方式让整个系统能够从多个角度全面分析目标，制定出更加精准有效的攻击策略。
侦察特工扮演着"情报收集员"的角色。当系统接到一个攻击任务时，侦察特工首先出马，就像一个经验丰富的侦探一样开始收集信息。它会分析目标AI系统的特点，回顾以往类似攻击的成功和失败案例，然后制定出一个高层次的攻击策略。比如，如果要攻击一个对角色扮演比较敏感的AI系统，侦察特工可能会建议采用"学术研究"的伪装策略，而不是"小说创作"的方式。
程序创造者是整个团队的"技术核心"。它接收侦察特工提供的策略建议，然后开始编写具体的攻击程序。这个过程就像是一个程序员根据需求文档编写软件一样，但更加复杂，因为它需要创造的是一个能够欺骗AI系统的智能程序。程序创造者不仅要编写初始版本，还要在程序失败时进行迭代改进，这个过程可能要重复多次，直到创造出一个真正有效的攻击程序。
执行专家负责"实战操作"。它拿到程序创造者编写的攻击程序后，会智能地选择最合适的程序来执行攻击。这个选择过程采用了一种叫做"玻尔兹曼采样"的数学方法，简单来说就是既要倾向于选择以往表现良好的程序，也要给新程序一些尝试的机会。执行专家还负责进行多轮对话攻击，就像一个熟练的谈判专家一样，能够根据对方的反应随时调整策略。
协调管理者是整个团队的"指挥官"。它负责统筹整个攻击过程，决定什么时候该收集更多信息，什么时候该编写新程序，什么时候该执行攻击。更重要的是，当攻击失败时，协调管理者会分析失败的原因，然后决定是需要重新收集情报、改进程序，还是调整执行策略。这种智能的失败分析和策略调整机制，让系统能够从每次失败中学习，不断进化自己的攻击能力。
三、技术核心：让AI学会自我进化的攻击算法
EvoSynth系统的最大技术突破在于它的"代码级自我纠错循环"机制。这个机制就像是给攻击程序安装了一个"自我学习"的大脑，让它能够根据攻击结果自动改进自己的代码。
当程序创造者接到任务时，它首先会编写一个初始版本的攻击程序。这个程序通常包含复杂的逻辑结构，比如条件判断、循环执行、随机选择等编程元素。程序运行后，系统会用专门的评判模型给攻击结果打分，就像考试一样，分数从1到5，其中5分表示攻击完全成功。
如果程序的得分不够理想，系统就会启动"进化机制"。这个过程非常像生物进化，但速度要快得多。系统会分析当前程序的弱点，然后重写部分代码来改进性能。比如，如果发现攻击文本太过直接容易被识别，系统可能会添加更多的混淆和伪装逻辑。如果发现攻击方式过于单一，系统可能会增加随机变化的机制，让每次攻击都有所不同。
这种进化过程会持续进行，直到程序的表现达到预设的标准。研究显示，大约90%的攻击任务在经过6次迭代后就能找到有效的攻击方法，这个速度比传统方法快了很多。
系统还有一个"程序库管理"功能，就像是维护一个不断增长的武器库。每当创造出一个成功的攻击程序，系统就会将其保存起来，并记录它在不同情况下的表现。随着时间推移，这个程序库会变得越来越丰富和强大。执行专家在选择攻击程序时，会综合考虑程序的历史表现和当前任务的特点，选择最有可能成功的程序来执行攻击。
四、实验验证：超越所有现有方法的惊人表现
为了验证EvoSynth系统的有效性，研究团队进行了大规模的对比实验。他们选择了11个目前最先进的AI攻击方法作为对照组，包括PAIR、AutoDAN、X-Teaming等知名系统。测试目标包括了当前最强大的AI模型，如GPT-5、Claude-4.5、以及各种版本的Llama模型。
实验结果令人震惊。EvoSynth在所有测试中都取得了最高的攻击成功率，平均达到95.9%，这意味着几乎每次攻击都能成功绕过AI的安全防护。相比之下，表现最好的传统方法X-Teaming的成功率为85.7%，其他方法的成功率大多在20%到60%之间。
更令人印象深刻的是，EvoSynth在攻击最难突破的模型时表现尤为出色。比如，在攻击Claude-4.5这个以安全性著称的模型时，EvoSynth的成功率达到85.5%，而大多数传统方法的成功率都不到10%，有些甚至完全无效。这就像是在最坚固的堡垒面前，传统攻击方法只能在城墙上留下一些划痕，而EvoSynth却能直接打开城门。
研究团队还发现了一个有趣的现象：EvoSynth生成的攻击内容比传统方法更加多样化。通过分析攻击文本的语义相似性，他们发现EvoSynth生成的攻击内容之间的差异度明显更高，中位数相似度为0.82，而传统方法的中位数相似度只有0.63。这说明EvoSynth不仅攻击成功率更高，而且能够创造出更多样化的攻击方式，不容易被AI系统识别和防范。
五、攻击复杂度分析：程序化攻击的独特优势
研究团队深入分析了为什么EvoSynth的攻击效果如此出众，他们发现关键在于攻击的"复杂度"特征。他们将攻击复杂度分为三个维度来衡量：结构复杂度、动态复杂度，以及语义逻辑复杂度。
结构复杂度主要看攻击程序的代码有多复杂。研究发现，成功的攻击程序往往包含更多的抽象语法树节点，这意味着程序的逻辑结构更加精密。这就像是制造一把精密的钥匙，需要更多复杂的齿轮和机关才能打开复杂的锁。
动态复杂度衡量的是攻击程序在执行过程中的交互次数。EvoSynth生成的攻击程序经常需要多次调用AI模型，进行多轮复杂的对话交互。这种动态性让攻击更加灵活，能够根据目标AI的反应随时调整策略，就像是一个经验丰富的谈判专家能够根据对方的表情和语气随时调整自己的说话策略。
最有趣的发现是，不同复杂度的攻击对不同水平的AI模型有不同的效果。对于相对简单的AI模型，比如Llama-3.1-8B，增加攻击文本的长度和语义复杂度就能显著提高攻击成功率。但是对于最先进的模型，比如Claude-4.5和GPT-5，简单的文本长度增加根本没有效果。真正有效的是同时增加结构复杂度和动态复杂度，也就是既要有精密的程序逻辑，又要能进行复杂的多轮交互。
这个发现揭示了AI安全防护的一个重要特点：最先进的AI模型已经学会了应对简单的文本攻击，但对于复杂的程序化攻击仍然脆弱。这就像是现代的安全系统已经能够很好地防范传统的撬锁技术，但面对高科技的电子破解设备仍然力不从心。
六、防御突破能力：让最强安全系统也束手无策
为了进一步验证EvoSynth的突破能力，研究团队还测试了它对抗当前最先进AI安全防护系统的效果。他们选择了Meta公司的Llama Guard作为测试对象，这是目前最知名的AI安全检测系统之一，被广泛用于识别和阻止恶意攻击。
测试结果显示，Llama Guard对传统攻击方法还有一定的防护效果，能够检测出X-Teaming生成攻击的42%-63%。但面对EvoSynth生成的攻击，即使是最新版本的Llama Guard也只能检测出大约10%，这意味着90%的EvoSynth攻击都能成功绕过检测。
这种巨大的差距说明了程序化攻击的独特优势。传统的基于文本的攻击方法容易被模式识别技术发现，因为它们通常包含一些固定的语言特征或攻击模板。而EvoSynth生成的攻击程序每次都能产生截然不同的攻击文本，就像是每次都换一套全新的伪装，让安全系统很难建立有效的识别模式。
更重要的是，EvoSynth的攻击程序具有很强的适应性。当它发现某种攻击方式被检测到时，能够立即调整策略，生成完全不同风格的攻击内容。这种动态适应能力让传统的基于规则或模式匹配的防护系统显得力不从心。
七、学习效率分析：快速收敛的智能优化
EvoSynth系统的另一个令人印象深刻的特点是它的学习速度。研究团队详细记录了系统在攻击过程中的学习轨迹，发现它能够以惊人的速度找到有效的攻击方法。
在大多数攻击任务中，EvoSynth能够在6次迭代内找到成功的攻击策略，约90%的攻击任务都能在这个时间范围内完成。这个速度远远超过了传统方法，后者往往需要数十次甚至数百次尝试才能找到有效的攻击方式。
系统的快速学习能力来源于它的智能失败分析机制。每当一次攻击失败时，系统不会盲目地尝试新的方法，而是会仔细分析失败的具体原因。比如，如果攻击被识别为角色扮演类型而被拒绝，系统会自动调整策略，在下一次迭代中避免使用明显的角色扮演语言。如果攻击因为过于直接而失败，系统会增加更多的混淆和间接引导。
这种有针对性的改进让系统能够避免重复同样的错误，每次迭代都在朝着正确的方向前进。研究团队发现，约74%的攻击任务在12次智能体操作内就能达到最佳效果，这种高效率让EvoSynth在实际应用中具有很大的优势。
八、攻击多样性与可转移性：创造力的体现
EvoSynth不仅在攻击成功率上表现出色，在攻击的创新性和适应性方面也展现出了独特的优势。研究团队通过分析系统生成的攻击程序发现了一些非常有趣的特征。
系统展现出了强大的"程序创造力"。它能够自动发明全新的攻击类别，比如"程序化叙述图"攻击方式。这种攻击方式将攻击逻辑构建成一个复杂的图状结构，包含多个叙述节点（如"设置"、"授权"、"载荷"等），然后通过随机遍历这个图结构来动态组装攻击内容。每次执行时，系统都会选择不同的路径，生成具有多层随机混淆的独特攻击文本。
攻击程序的可转移性也很强。研究发现，约20%的EvoSynth生成的攻击程序是"通用型"的，能够成功攻击80%以上的不同查询。这意味着一旦系统找到了一个特别有效的攻击策略，这个策略很可能在面对不同类型的目标时也能发挥作用。
同时，系统还表现出了良好的专业化能力。对于一些特定类型的攻击目标，系统会开发出专门化的攻击程序，这些程序虽然适用范围较窄，但在特定领域内的攻击效果极佳。这种通用性和专业性的平衡让EvoSynth能够应对各种不同的攻击场景。
九、实际攻击案例：理论到实践的完美展示
为了更直观地展示EvoSynth的攻击能力，研究团队公开了一些具体的攻击案例。这些案例展示了系统是如何巧妙地绕过AI安全防护的。
在一个针对GPT-5的攻击案例中，EvoSynth采用了"渐进式情节升级"策略。系统首先以"协助小说创作"为借口提出了一个敏感请求，当AI模型礼貌拒绝但提供了一些安全的替代建议时，系统敏锐地抓住了这个合作的开口。在接下来的三轮对话中，系统逐步将讨论从抽象的"叙述真实性"概念引导到具体的环境因素，最终诱导AI提供了详细的、可操作的危险信息。
整个攻击过程就像是一个高明的推销员，先建立信任关系，然后逐步引导客户走向预定的目标。AI模型在每一步都觉得自己的回应是合理和安全的，直到最后才意识到自己已经越过了安全边界。
在另一个针对Claude-4.5的攻击案例中，EvoSynth使用了"商业伪装"策略。系统将一个明显的恶意请求包装成一个看似合理的企业级"高保真压力测试"需求，使用了大量专业的商业术语和技术概念。通过营造一个紧急的商业场景（为重大媒体事件做准备），系统成功说服AI模型提供了详细的技术实现方案，而这个方案实际上可以直接用于恶意攻击。
这些案例展示了EvoSynth攻击的几个关键特征：高度的情境适应性、精密的心理操控技巧，以及对AI模型安全机制弱点的准确把握。
十、技术影响与未来展望：改变AI安全游戏规则
EvoSynth的出现标志着AI安全攻防博弈进入了一个新的阶段。传统的基于规则和模式匹配的防护方法面对这种程序化、自适应的攻击显得力不从心。这就像是战争从冷兵器时代进入了热武器时代，防护策略需要彻底重新思考。
这项研究对AI安全领域的启示是深远的。它表明，未来的AI安全防护不能再仅仅依赖于识别特定的攻击模式或关键词，而需要发展出更加智能、动态的防护机制。防护系统需要学会识别攻击的"意图"而不仅仅是"形式"，需要能够应对不断进化的攻击策略。
从技术发展角度看，EvoSynth代表了AI对抗技术的一个重要里程碑。它展示了如何将进化算法、多智能体系统和强化学习等先进技术有机结合，创造出具有自主学习和创新能力的智能系统。这种技术范式的转变不仅适用于安全攻击，也可能在其他需要智能优化和自适应的领域发挥作用。
研究团队已经将EvoSynth的完整代码开源，希望能够推动整个AI安全社区的发展。他们认为，只有让更多的研究者了解和研究这种新型攻击方法，才能更快地开发出有效的防护措施。这种开放的研究态度体现了负责任的AI研究精神，即通过公开潜在威胁来促进整个领域的安全进步。
从实际应用角度考虑，EvoSynth技术也具有正面的应用价值。企业和组织可以使用这种技术来测试自己AI系统的安全性，就像网络安全领域的"渗透测试"一样。通过模拟最先进的攻击方法，企业能够提前发现和修复安全漏洞，提高系统的整体安全水平。
说到底，EvoSynth的出现提醒我们，AI安全是一个永续的挑战，需要攻防双方的持续创新和进步。正如研究团队在论文中所说，这不是为了制造威胁，而是为了更好地理解威胁，从而建立更强大的防护体系。归根结底，只有在充分了解攻击方法的基础上，我们才能开发出真正有效的防护技术，确保AI技术能够安全地为人类服务。
这项研究也让我们思考一个更深层的问题：随着AI系统变得越来越智能，它们的安全挑战也会变得越来越复杂。我们需要在享受AI技术带来便利的同时，始终保持对潜在风险的警惕，持续投入资源开发更先进的安全技术。EvoSynth就像是给我们敲响的一记警钟，提醒我们在AI发展的道路上，安全永远应该是第一位的考虑。
Q&A
Q1：EvoSynth系统和传统的AI越狱攻击方法有什么不同？
A：传统方法只是调整攻击文本的措辞或组合已知策略，就像用固定钥匙开锁。而EvoSynth让AI自己编写攻击程序，能够为每个目标量身定制专用的攻击方法，还能根据失败结果自动改进代码，就像智能工匠为每把锁制造专用钥匙。
Q2：EvoSynth的攻击成功率真的有那么高吗？
A：实验显示EvoSynth的平均攻击成功率达到95.9%，远超传统最好方法的85.7%。特别是在攻击最难突破的Claude-4.5模型时，成功率达到85.5%，而大多数传统方法成功率都不到10%，充分证明了程序化攻击的优势。
Q3：普通人需要担心EvoSynth技术被滥用吗？
A：研究团队已经将技术开源是为了让更多研究者开发防护措施，这遵循了网络安全领域"通过公开威胁来促进安全"的原则。同时企业可以用这种技术测试自己AI系统的安全性，提前发现漏洞，最终目的是让AI技术更安全地为人类服务。
)
