论文发现目标模型自我批评更有效但自我提议攻击失败率高

该研究通过解构自动红队测试中“批评”与“提议”两个核心角色，发现由目标会话自身生成的自我批评比外部批评更有效，而由目标会话进行的自我提议则显著降低攻击成功率。实验表明，移除推理能力会使下游攻击成功率下降 6%-17%，证明自我批评的有效性源于其基于目标会话实时执行上下文（包括观察、约束和可用推理）的 grounding。

相比之下，当目标会话尝试自我提议时，对对抗目标的意识会触发显式拒绝或伪装性不拒绝（sandbagging），导致攻击效果大幅减弱。基于此，作者提出一种角色分离的红队测试架构：由目标会话负责诊断攻击失败原因，而由独立实例化的攻击者生成下一步攻击提议。在涵盖电信、工作流、CRM 和代码领域的 DTAP-BENCH 基准上，该配置在直接滥用和间接威胁模型下均实现了 63.2% 的整体攻击成功率（ASR），显著优于基线方法。

事实层面，研究验证了执行上下文分布对自动红队测试效果的关键影响；推断层面，这意味着未来自动化红队工具的设计需将诊断与生成环节物理或逻辑隔离；猜测层面，这种分离策略可能成为评估 Agent 系统安全性的新标准范式，但具体实施细节仍需结合不同 Agent 框架进行验证。