ICON: 효율적인 다중 턴 탈취 공격을 위한 의도-컨텍스트 결합

ICON: Intent-Context Coupling for Efficient Multi-Turn Jailbreak Attack

다중 턴 탈취 공격은 대규모 언어 모델(LLM)에 대한 중요한 위협으로 부상했으며, 이는 안전 장치를 우회하기 위해 처음부터 적대적인 컨텍스트를 점진적으로 구성하고 프롬프트를 단계적으로 개선하는 방식으로 작동합니다. 그러나 기존 방법은 단계별 LLM 상호 작용을 필요로 하는 점진적인 컨텍스트 구성의 비효율성으로 인해 어려움을 겪으며, 종종 표면적인 최적화로 인해 최적의 영역에서 벗어납니다. 본 논문에서는 의도-컨텍스트 결합 현상을 분석하여, 악의적인 의도가 의미적으로 일관된 컨텍스트 패턴과 결합될 때 LLM의 안전 제약이 크게 완화되는 것을 밝힙니다. 이러한 통찰력을 바탕으로, 사전 지식을 활용하여 권위적인 스타일의 컨텍스트를 효율적으로 구축하는 자동화된 다중 턴 탈취 프레임워크인 ICON을 제안합니다. 구체적으로, ICON은 먼저 악의적인 의도를 일관된 컨텍스트 패턴(예: 과학 연구)으로 연결하고 이를 공격 프롬프트 시퀀스로 구현합니다. 이 시퀀스는 점진적으로 권위적인 스타일의 컨텍스트를 구축하고 궁극적으로 금지된 콘텐츠를 유도합니다. 또한, ICON은 계층적 최적화 전략을 통합하여, 로컬 프롬프트 개선과 글로벌 컨텍스트 전환을 결합하여 공격이 비효율적인 컨텍스트에서 정체되는 것을 방지합니다. 8개의 최첨단 LLM에 대한 실험 결과는 ICON의 효과성을 입증하며, 최고 수준의 평균 공격 성공률(ASR)인 97.1%를 달성했습니다. 코드는 https://github.com/xwlin-roy/ICON에서 확인할 수 있습니다.

Multi-turn jailbreak attacks have emerged as a critical threat to Large Language Models (LLMs), bypassing safety mechanisms by progressively constructing adversarial contexts from scratch and incrementally refining prompts. However, existing methods suffer from the inefficiency of incremental context construction that requires step-by-step LLM interaction, and often stagnate in suboptimal regions due to surface-level optimization. In this paper, we characterize the Intent-Context Coupling phenomenon, revealing that LLM safety constraints are significantly relaxed when a malicious intent is coupled with a semantically congruent context pattern. Driven by this insight, we propose ICON, an automated multi-turn jailbreak framework that efficiently constructs an authoritative-style context via prior-guided semantic routing. Specifically, ICON first routes the malicious intent to a congruent context pattern (e.g., Scientific Research) and instantiates it into an attack prompt sequence. This sequence progressively builds the authoritative-style context and ultimately elicits prohibited content. In addition, ICON incorporates a Hierarchical Optimization Strategy that combines local prompt refinement with global context switching, preventing the attack from stagnating in ineffective contexts. Experimental results across eight SOTA LLMs demonstrate the effectiveness of ICON, achieving a state-of-the-art average Attack Success Rate (ASR) of 97.1\%. Code is available at https://github.com/xwlin-roy/ICON.