以下内容时间均为截止到2026-11-02 10:23:37

未尽事宜

早期核验RA原文32b和带安全对齐的Qwen3.8-flash间作为Attacker的攻击效果差异，结论：50道题中不明显；未进一步扩展到100-200题、不同victim model来验证这个差异 未更换固定"yes"未动态内容；未引入双策略按轮次交互执行；未增加数据集、未增加数据条数到100； 未对坚决拒绝类型题目应用专用改进；采用劝说风格的提示词来使带有安全对齐的Attacker Model 输出攻击所需内容；

一些结论——50题得出

初始策略权重在跨victim model上效果极差；top-k，k=5，策略池大小为6时，有无先验权重，区别不大；策略权重可以跨数据集，不会带来负面效果。 借助COT结构化后缀优化"yes"失败

目前无法做反馈优化的jailbreak，具体有以下几点：judge的二元信号不适合，非精细结构化的提示词生成模版不适合朝指定方向微调，强安全对齐的现代LLM不宜作为Attacker驱动；以SEMA为代表的研究使用训练的Attacker，加持GRPO强化学习来做Attacker Model 参数更新