有限预算下的LLM红队攻击调度

基于摘要分析。本文研究 LLM 红队测试中如何在有限尝试预算下安排固定攻击库中的越狱攻击，以降低逐一穷举攻击的 token 与资金成本。作者将其形式化为预算约束攻击调度问题，围绕静态历史攻击成功率（ASR）先验、LLM 语义引导及早期查询的在线反馈设计四种调度策略，研究三类信号的互补作用。 其主要研究对象是 LLM 在不同受测模型与防御配置下的越狱鲁棒性，而非 EEG 或 BCI 解码。调度是在固定的受测模型—防御条件下进行，核心挑战是攻击效果对条件敏感：历史上有效的攻击未必在新防御配置下继续有效。摘要称评估涉及三个受测模型，以及 GPT-5.2 上的三种防御设置；各模型与防御设置如何组合、预算如何分配及四种策略的具体实现尚未验证。 作者报告，在上述评估范围内，历史 ASR 能提供较强的初始化，但其可靠性会随防御引发的分布偏移而下降；在冷启动阶段，语义引导的表现持续优于或持平于基于静态先验的调度；当迁移来的先验过时时，在线反馈尤其有价值。作者还报告，语义引导与在线反馈可部分补偿历史先验缺失。摘要未提供具体提升数值，不能据此量化成本节约或不同策略的优势幅度。 复现时需核对固定攻击库的构成、历史 ASR 的来源与迁移条件、语义引导所用信息、在线反馈的更新规则，以及尝试预算与 token、资金成本的对应关系。实验协议、消融及统计信息尚未验证。本文结果不能直接视为 EEG/BCI 域适应或测试时自适应的有效性证据，摘要也未提供足以支持具体迁移方案的对应机制。