arXiv 论文提出用连续风险景观替代二元越狱评测指标

arXiv:2610.38595 论文提出用连续、上下文条件化的风险景观替代二元攻击成功率（ASR）来评估 LLM 越狱，通过固定候选首 token 开头并反复采样其续写来估计首 token 分支上的风险分布。该视角区分了当前解码器暴露度与安全改道能力两个互补属性，揭示了看似安全输出下隐藏的高风险分支，并发现针对已知自适应防御最强的攻击在防御生效后不一定仍是最强的。