AutoDAN-Turbo: A Lifelong Agent for Strategy Self-Exploration to Jailbreak LLMs

In this paper, we propose AutoDAN-Turbo, a black-box jailbreak method that can automatically discover as many jailbreak strategies as possible from scratch, without any human intervention or predefined scopes (e.g., specified candidate strategies), and use them for red-teaming. As a result, AutoDAN-Turbo can significantly outperform baseline methods, achieving a 74.3% higher average attack success rate on public benchmarks. Notably, AutoDAN-Turbo achieves an 88.5 attack success rate on GPT-4-1106-turbo. In addition, AutoDAN-Turbo is a unified framework that can incorporate existing human-designed jailbreak strategies in a plug-and-play manner. By integrating human-designed strategies, AutoDAN-Turbo can even achieve a higher attack success rate of 93.4 on GPT-4-1106-turbo.

한 줄 요약

AutoDAN-Turbo는 인간 개입 없이 자동으로 범죄적 프롬프트 전략을 탐색하고, GPT-4-1106-turbo에서 93.4%의 공격 성공률을 달성한 블랙박스 제이블레이크 프레임워크이다.

핵심 기여도

**자동 전략 탐색**: 인간 개입 없이 새로운 제이블레이크 전략을 자동으로 탐색하고 저장.
**외부 전략 호환성**: 기존 인공 설계 전략(예: 암호, ASCII 기반 기법)을 플러그 앤 플레이 방식으로 통합 가능.
**높은 공격 성공률**: GPT-4-1106-turbo에서 93.4%의 공격 성공률 달성 (기존 베이스라인 대비 +74.3%).
**전이성**: 다양한 타겟 모델과 데이터셋에서 높은 성능 유지.

핵심 아이디어

AutoDAN-Turbo는 **lifelong learning agents**를 활용하여, 제이블레이크 공격을 위한 전략을 **자동으로 탐색·조합·재사용**하는 프레임워크이다. 기존 연구는 인간이 직접 전략을 설계하거나 단일 전략만 사용하는 한계가 있었으나, AutoDAN-Turbo는 **전략 라이브러리**를 구축하고 이를 기반으로 새로운 공격을 생성한다. 이는 **Harmbench 데이터셋**과 같은 실제 위험 시나리오에서도 높은 공격 성공률을 보장한다. 또한, **Gemma-1.1-7B-it**를 사용한 평가 시스템을 통해 공격의 질을 정량적으로 측정하며, **StrongREJECT Score**를 기준으로 기존 방법 대비 92.3% 더 높은 성능을 보인다.

기술적 접근법

**자동 전략 탐색**: 50개의 초기 악의적 요청 데이터셋을 150회 탐색하여 초기 전략 라이브러리 구축.
**공격 라운드**: Harmbench 데이터셋의 각 요청에 대해 5회 공격 라운드 수행 (총 150개의 데이터, T=150, S_T=8.5).
**블랙박스 방식**: 모델의 텍스트 출력만 필요하며, 입력에 대한 내부 구조 접근 불필요.
**전략 통합**: 7개의 학술 논문에서 제안된 인공 전략을 AutoDAN-Turbo의 라이브러리에 통합하여 성능 향상.

주요 결과

**Harmbench 데이터셋**: AutoDAN-Turbo는 평균적으로 기존 베이스라인 대비 **+74.3%**의 공격 성공률을 달성.
**GPT-4-1106-turbo**: 88.5%의 공격 성공률, 외부 전략 통합 후 **93.4%**로 상승.
**StrongREJECT Score**: 기존 베이스라인 대비 **+92.3%** 상승.
**전이성**: 다양한 오픈소스 및 클로즈드소스 LLM(예: Llama-2-70B-chat, Gemini Pro)에서 높은 성능 유지.

의의 및 한계

AutoDAN-Turbo는 제이블레이크 공격 분야에서 **자동화와 전략 다양성**을 동시에 달성한 첫 번째 프레임워크로, LLM의 안전 정렬을 평가하는 데 중요한 도구로 활용될 수 있다. 특히, **인간 개입 없이 전략을 탐색하고 조합**하는 점에서 기존 연구와 차별화된다. 그러나, **악의적 텍스트 생성**이라는 본질적인 문제로 인해, 이 기술이 악용될 가능성도 존재한다. 또한, **전략 라이브러리의 초기 구성**이 공격 성능에 큰 영향을 미치므로, 초기 탐색 단계의 질이 중요하다는 한계점도 존재한다.

실용적 활용

AutoDAN-Turbo는 **LLM의 안전성 테스트**, **레드팀 테스팅**, **보안 연구** 등에서 활용 가능하다. 특히, **GPT-4-1106-turbo**와 같은 고성능 모델의 취약점을 자동으로 탐색할 수 있어, **보안 업계와 연구소**에서 실용적 도구로 채택될 수 있다.