기존의 jailbreak 공격자들은 두 가지 클래스로 나뉩니다: 정적 플래너(static planners)는 단일 또는 다중 턴의 적대적 계획을 사전에 고정하여 간단하지만, 피해자의 답변을 놓치고 턴을 낭비하며 전이 가능성(transferability)을 제한합니다. 반면, 상호작용 생성기(interactive generators)는 각 피해자 답변을 읽어 다음 턴 공격을 생성하지만, 성공 신호나 힌트를 위해 루프 내 평가자(in-loop evaluators)를 필요로 하여 상당한 비용과 과장된 성능을 초래합니다. 이러한 격차를 해소하기 위해, 우리는 자율성을 갖춘 시각적이고 효율적인 다중 턴 공격자인 SEMA-Auto를 제안합니다. SEMA-Auto는 피해자 모델과 상호작용하며 성공 시 스스로 세션을 종료합니다.
SEMA-Auto의 행동을 안정화하고 능력을 향상시키기 위해, 두 단계로 훈련됩니다. 합성 부트스트랩 튜닝(Synthetic bootstrap tuning)은 부트스트랩된 궤적(bootstrapped trajectories)으로 기본 모델을 미세 조정하여 공격 목표와 순응하는 결정의 개념을 설치합니다. 이후 결정 감독 강화학습(Decision-supervised reinforcement learning)은 두 가지 목적 함수를 공동으로, 그러나 개별적으로 최적화하여, 더 높은 jailbreak 보상으로 공격을 강화하는 동시에 각 턴에서의 결정을 절대 목표(absolute target)에 대해 감독합니다.
저희 방법은 여러 데이터셋, 피해자, 심사위원에 걸쳐 최첨단(SOTA) 공격 성공률(ASR)을 달성하며, 가장 적은 턴 내에서 모든 정적 및 상호작용 기준선(baselines)을 능가하여 효과성과 효율성을 모두 입증합니다. 예를 들어, SEMA-Auto는 AdvBench에서 DeepSeek-V4-Flash를 대상으로 평균 3.0턴 내에 76.0%의 ASR@1을 수행한 반면, 최고의 정적 기준선은 고정된 7턴으로 54.8%이고 최고의 상호작용 기준선은 3.7턴에서 43.8%입니다. 안전 강화된 최전선 모델인 GPT-oss-120B, GPT-5.4, Claude-Haiku-4.5, 그리고 GPT-6-Astra를 상대로, 저희의 역훈련된 공격자는 HarmBench에서 평균 59.6%의 ASR@1을 달성하여 이전 SOTA보다 13.8% 높습니다.
저희 코드는 다음에서 이용 가능합니다: https://github.com/microsoft/SEMA