递归安全改进能让 AI 模型抵御并适应攻击吗？

抵御与适应是两种不同的衡量

论文区分了两个容易混淆的性质。抵御指防住已经见过的威胁，例如用于构建训练数据的攻击模式；适应指泛化到尚未暴露的风险，例如训练中未出现的攻击策略。模型可能在第一项上进步，却没有获得第二项，因此两者需要各自的证据。

ReSI 的做法是让安全对齐本身递归进行。它不对模型做一次性对齐，而是把每一轮的当前检查点当作目标：红队测试找出其漏洞，候选训练配方被开发并测试，一个通过验证的更新成为下一轮的起点。作者认为，从日益多样的攻击中学习可能强化模型对共同安全原则的理解，这是从抵御走向适应的设想路径。该机制属于作者的解释，实测支持来自留出的攻击基准。

帕累托门控决定哪个更新留下

每一轮都会产生候选配方，它们在攻击数据来源、对齐方法、数据混合和训练配置上各不相同。配方不能只凭安全增益被接受，还必须通过一道门控：安全性要优于当前模型，同时良性合规和指令遵循相对第一轮之前的原始模型须保持在容差之内。通过门控的配方再按安全增益从高到低排序。

这道门控让递归成为安全流程，而不是一味追求拒答。良性合规在 XS-Test 请求上测量，指标是被判为完全合规的回复比例；指令遵循使用 IFEval 的宽松指令级准确率。在参考验证配置中，两者相对初始模型最多只能下降三个百分点。靠拒绝良性请求或无视指令换来安全性的配方会被筛掉，而不是被提升。

有效配方取决于模型和攻击

ReSI 不套用单一固定的对齐配方。试点筛选在小预算下把每个合格攻击来源与受支持的对齐方法配对，然后最多选出两个不同的来源—方法配方进入全规模改进。改进技能根据门控反馈作出响应：加入有前景的攻击来源、为有害提示生成良性对应样本、加入通用任务数据或调整学习率，以及从合格的 SFT 检查点继续做安全 GRPO。

论文中的 Qwen 案例说明了反馈为何重要。试点筛选偏向 JailbreakSkill 攻击数据配评论者 SFT，该组合达到 0% 的 WildJailbreak 攻击成功率和 16% 的 H-CoT 攻击成功率。扩展到 4,092 个样本后，H-CoT 攻击成功率升至 26%，该检查点的 IFEval 得分 92%，比原始主干参考低六个百分点，因此扩展后的 SFT 检查点不合格。安全 GRPO 从该检查点继续，第 20 步检查点达到 0% WildJailbreak 和 4% H-CoT 攻击成功率，良性合规 98%、IFEval 96%，最终被选中。失败的 SFT 检查点本身没有进入最终候选池。

未见过的多轮攻击差距最大

最关键的适应结果来自 X-Teaming，这是一个未用于构建训练配方的多轮攻击基准。在四个目标模型上取平均，ReSI 把攻击成功率从 86.01% 降到 31.45%。论文报告同一评估上领先的前沿结果为 56.69%，来自 GPT-5.6-Luna，因此 ReSI 的均值明显低于最好的前沿对照。

这个数字最影响对结果的解读。在训练用过的攻击上下降，说明的是抵御；在 X-Teaming 上下降，才是论文为适应提供的证据，论文将其描述为训练中留出的自适应攻击。该比较是四个模型的均值对单个前沿模型的结果，因此支持的是关于 ReSI 均值的判断，而不是逐模型的排名。

安全增益跨基准成立，但有能力代价

除 X-Teaming 外，ReSI 在分布内和分布外安全基准上达到或超过所评估的前沿模型，并在几乎所有安全评估上优于对齐基线。最终评估面板包括用于分布内安全的 WildJailbreak、用于检验既有防御保留情况的 HarmBench、用于高难度攻击的 H-CoT，以及用于自适应攻击的 X-Teaming。

通用能力用 GPQA-Diamond 推理、MMLU-Pro 知识和 IFEval 指令遵循来检查，论文称这些能力基本得到保留，而非完全未受影响。对照有两个基线：A3 覆盖全部四个目标模型，MAGIC 覆盖 Qwen、Ministral 和 DeepSeek，Safin 因后端缺少所需的强化学习支持而被排除。这一排除意味着基线比较并非在四个模型上完全一致。

单次运行与重叠面板限制精度

若干评估细节限定了这些数字能被读得多确定。论文指出，单次运行比较不能确立统计显著性，因此 X-Teaming 差距的大小比“已证明的领先幅度”这一说法更有信息量。H-CoT 以及 XS-Test/IFEval 验证子集与最终评估重叠，并参与了选择，因此这些结果不是独立的留出证据。

范围也有限。实验覆盖四个模型和有限配置，更新轮数有限，四个模型都在没有下一轮候选通过帕累托门控时停止了循环。ReSI 只更新目标模型，其改进技能在各轮之间保持不变。要检验增益能否在模型和攻击同时演化时持续，需要更长的运行。

没有更新能过门控时递归停止

ReSI 最影响决策的特征不是它会持续训练，而是它会停下。四个模型都在没有下一轮候选通过帕累托门控时结束循环，并保留最后被接受的模型。因此安全改进受制于一项要求：在验证面板上，良性合规和指令遵循相对原始模型的下降不得超过三个百分点。

这个阈值就是需要关注的现实权衡。安全增益很大但能力或合规代价更高的配方会被拒绝，流程会终止而不是接受它。读者把 ReSI 与固定对齐基线比较时，应追问每个模型最后一轮受哪项约束限制，并把 X-Teaming 从 86.01% 到 31.45% 的下降看作一次门控搜索的结果——它在无法在不引入这些退步的情况下继续换取安全增益的地方停下。

本文引用的文献