सबसे कमज़ोर मॉडल

बंद मॉडल समूह में मल्टी-टर्न अटैक सक्सेस रेट (ASR) 7.89% से 88.30% तक रहा, जबकि उन्हीं मॉडलों के लिए सिंगल-टर्न ASR 2.19% से 64.91% के बीच था।

• xAI – Grok 4.1 Fast (नॉन-रीज़निंग) सबसे कमज़ोर रहा, जिसका मल्टी-टर्न ASR 88.30% था।
• Google – Gemini 3 Pro 18.10% सिंगल-टर्न से बढ़कर 73.35% मल्टी-टर्न पर पहुँच गया, जो 4 गुना इज़ाफ़ा था।
• OpenAI – GPT-5.4 2.74% सिंगल-टर्न से बढ़कर 24.68% मल्टी-टर्न पर चला गया, यानी 9 गुना की छलांग।
• Anthropic – Claude परिवार (Opus 4.5/4.6, Sonnet 4.5/4.6, Haiku 4.5) सिंगल-टर्न अस्वीकृति (2.19%–3.64% ASR) में सबसे मजबूत था, लेकिन फिर भी इसका मल्टी-टर्न ASR 11.16%–16.20% तक पहुँच गया।
• Amazon – Nova 2 Lite का मल्टी-टर्न ASR सबसे कम 7.89% था, जिसे सिस्को अब भी "सार्थक अवशिष्ट जोखिम" मानता है।

पहले के ओपन-वेट अध्ययन में, Mistral Large-2 के ख़िलाफ़ मल्टी-टर्न ASR 92.78% तक पहुँच गया था, और सभी आठ मॉडलों में सफलता दरें सिंगल-टर्न बेसलाइन से 2 से 10 गुना अधिक थीं।

पाँच अटैक स्ट्रैटेजी फ़ैमिलीज़

सिस्को ने पाँच मल्टी-टर्न अटैक स्ट्रैटेजी परिवारों की पहचान की और उनका परीक्षण किया :

1. रोल-प्ले / व्यक्तित्व अपनाना (Persona Adoption) – हमलावर बातचीत को धीरे-धीरे प्रतिबंधित सामग्री की ओर मोड़ने के लिए एक चरित्र या भूमिका अपनाता है।
2. प्रासंगिक अस्पष्टता / दिशाभ्रम (Contextual Ambiguity / Misdirection) – हानिकारक इरादे को कई बारीकियों में, सामान्य या अस्पष्ट संदर्भ में छिपाया जाता है।
3. अस्वीकृति का नया संदर्भ / पुनर्निर्देशन (Refusal Reframe / Redirection) – हमलावर मॉडल के मना करने को एक नए अनुरोध में ढालता है, जो धीरे-धीरे प्रतिबंध की सीमा के करीब पहुंचता है।
4. सूचना विघटन और पुनर्संयोजन (Information Decomposition & Reassembly) – एक हानिकारक अनुरोध को कई चरणों में छोटे-छोटे टुकड़ों में तोड़ दिया जाता है, जिसे फिर मॉडल द्वारा जोड़ दिया जाता है।
5. क्रेसेंडो / क्रमिक वृद्धि (Crescendo / Incremental Escalation) – संकेत (प्रॉम्प्ट) बिल्कुल मासूम तरीके से शुरू होते हैं और सत्र-दर-सत्र धीरे-धीरे बढ़ते हैं, जिससे सुरक्षा कवच कमज़ोर पड़ जाता है।

इन रणनीतियों में सबसे अधिक और सबसे कम असुरक्षित मॉडल के बीच का अंतर काफी बड़ा था, जो इस बात की पुष्टि करता है कि भेद्यता सभी रणनीतियों में एक समान नहीं होती।

LLM को सुरक्षित रूप से आंकने और तैनात करने के लिए सिस्को की सिफ़ारिशें

• सिंगल-टर्न ASR को पैमाना मानना बंद करें। सिर्फ़ सिंगल-टर्न बेंचमार्क मॉडलों की गलत रैंकिंग करते हैं और गंभीर जोखिमों को छिपाते हैं। वास्तविक विरोधी व्यवहार को दर्शाने के लिए मूल्यांकन में मल्टी-टर्न, अनुकूली आक्रमण परीक्षण शामिल होना चाहिए।
• मल्टी-टर्न मूल्यांकन को एक मानक अभ्यास बनाएँ। खरीदारों और नियामकों को खरीद या तैनाती से पहले यह सवाल पूछना चाहिए: "यह मॉडल मल्टी-टर्न, अनुकूली हमलों के आगे कैसे टिकता है?"
• संदर्भ-सचेत गार्ड रेल और रनटाइम निगरानी तैनात करें। केवल स्थैतिक मॉडल सुरक्षा पर्याप्त नहीं है। संगठनों को असामान्य संवाद पैटर्न और सीमा-परीक्षण व्यवहार की वास्तविक समय पर पहचान की आवश्यकता है।
• नियमित रेड-टीमिंग अभ्यास करें जो विशेष रूप से लंबी बातचीत वाले हमलों का अनुकरण करें – न कि केवल सिंगल-शॉट जेलब्रेक प्रयासों का।
• प्रतिकूल प्रशिक्षण (Adversarial training) लागू करें ताकि मॉडल की मजबूती में सुधार हो, और पहले प्रॉम्प्ट के बजाय कई चरणों में सुरक्षा बनाए रखने पर ध्यान दें।
• स्तरित सुरक्षा का उपयोग करें: कोई एक गार्डरेल पर्याप्त नहीं है। मॉडल-स्तरीय संरेखण, इनपुट/आउटपुट फ़िल्टरिंग, व्यवहार निगरानी और मानव-नियंत्रित निरीक्षण को मिलाएँ।
• लैब के संरेखण दर्शन को समझें। जो लैब सार्वजनिक रूप से सुरक्षा पर ज़ोर देती हैं (जैसे, गूगल का Gemma परिवार), उनके मॉडलों में सिंगल-से-मल्टी-टर्न अंतर संकरा था, जबकि क्षमता-प्रथम मॉडलों (जैसे, Meta का Llama, xAI का Grok) में यह अंतर व्यापक था। सिस्को सलाह देता है कि संगठन मॉडल चयन में इस कारक पर ग़ौर करें।
• संरचित मूल्यांकन उपकरणों का उपयोग करें जैसे सिस्को का AI Validation प्लेटफ़ॉर्म (अब LLM सुरक्षा लीडरबोर्ड का हिस्सा) ताकि तैनाती से पहले तुलनीय, पुनरुत्पादनीय मल्टी-टर्न जोखिम स्कोर तैयार किए जा सकें।

सबसे कमज़ोर मॉडल

बंद मॉडल समूह में मल्टी-टर्न अटैक सक्सेस रेट (ASR) 7.89% से 88.30% तक रहा, जबकि उन्हीं मॉडलों के लिए सिंगल-टर्न ASR 2.19% से 64.91% के बीच था।

• xAI – Grok 4.1 Fast (नॉन-रीज़निंग) सबसे कमज़ोर रहा, जिसका मल्टी-टर्न ASR 88.30% था।
• Google – Gemini 3 Pro 18.10% सिंगल-टर्न से बढ़कर 73.35% मल्टी-टर्न पर पहुँच गया, जो 4 गुना इज़ाफ़ा था।
• OpenAI – GPT-5.4 2.74% सिंगल-टर्न से बढ़कर 24.68% मल्टी-टर्न पर चला गया, यानी 9 गुना की छलांग।
• Anthropic – Claude परिवार (Opus 4.5/4.6, Sonnet 4.5/4.6, Haiku 4.5) सिंगल-टर्न अस्वीकृति (2.19%–3.64% ASR) में सबसे मजबूत था, लेकिन फिर भी इसका मल्टी-टर्न ASR 11.16%–16.20% तक पहुँच गया।
• Amazon – Nova 2 Lite का मल्टी-टर्न ASR सबसे कम 7.89% था, जिसे सिस्को अब भी "सार्थक अवशिष्ट जोखिम" मानता है।

पहले के ओपन-वेट अध्ययन में, Mistral Large-2 के ख़िलाफ़ मल्टी-टर्न ASR 92.78% तक पहुँच गया था, और सभी आठ मॉडलों में सफलता दरें सिंगल-टर्न बेसलाइन से 2 से 10 गुना अधिक थीं।

पाँच अटैक स्ट्रैटेजी फ़ैमिलीज़

सिस्को ने पाँच मल्टी-टर्न अटैक स्ट्रैटेजी परिवारों की पहचान की और उनका परीक्षण किया :

1. रोल-प्ले / व्यक्तित्व अपनाना (Persona Adoption) – हमलावर बातचीत को धीरे-धीरे प्रतिबंधित सामग्री की ओर मोड़ने के लिए एक चरित्र या भूमिका अपनाता है।
2. प्रासंगिक अस्पष्टता / दिशाभ्रम (Contextual Ambiguity / Misdirection) – हानिकारक इरादे को कई बारीकियों में, सामान्य या अस्पष्ट संदर्भ में छिपाया जाता है।
3. अस्वीकृति का नया संदर्भ / पुनर्निर्देशन (Refusal Reframe / Redirection) – हमलावर मॉडल के मना करने को एक नए अनुरोध में ढालता है, जो धीरे-धीरे प्रतिबंध की सीमा के करीब पहुंचता है।
4. सूचना विघटन और पुनर्संयोजन (Information Decomposition & Reassembly) – एक हानिकारक अनुरोध को कई चरणों में छोटे-छोटे टुकड़ों में तोड़ दिया जाता है, जिसे फिर मॉडल द्वारा जोड़ दिया जाता है।
5. क्रेसेंडो / क्रमिक वृद्धि (Crescendo / Incremental Escalation) – संकेत (प्रॉम्प्ट) बिल्कुल मासूम तरीके से शुरू होते हैं और सत्र-दर-सत्र धीरे-धीरे बढ़ते हैं, जिससे सुरक्षा कवच कमज़ोर पड़ जाता है।

इन रणनीतियों में सबसे अधिक और सबसे कम असुरक्षित मॉडल के बीच का अंतर काफी बड़ा था, जो इस बात की पुष्टि करता है कि भेद्यता सभी रणनीतियों में एक समान नहीं होती।

LLM को सुरक्षित रूप से आंकने और तैनात करने के लिए सिस्को की सिफ़ारिशें

• सिंगल-टर्न ASR को पैमाना मानना बंद करें। सिर्फ़ सिंगल-टर्न बेंचमार्क मॉडलों की गलत रैंकिंग करते हैं और गंभीर जोखिमों को छिपाते हैं। वास्तविक विरोधी व्यवहार को दर्शाने के लिए मूल्यांकन में मल्टी-टर्न, अनुकूली आक्रमण परीक्षण शामिल होना चाहिए।
• मल्टी-टर्न मूल्यांकन को एक मानक अभ्यास बनाएँ। खरीदारों और नियामकों को खरीद या तैनाती से पहले यह सवाल पूछना चाहिए: "यह मॉडल मल्टी-टर्न, अनुकूली हमलों के आगे कैसे टिकता है?"
• संदर्भ-सचेत गार्ड रेल और रनटाइम निगरानी तैनात करें। केवल स्थैतिक मॉडल सुरक्षा पर्याप्त नहीं है। संगठनों को असामान्य संवाद पैटर्न और सीमा-परीक्षण व्यवहार की वास्तविक समय पर पहचान की आवश्यकता है।
• नियमित रेड-टीमिंग अभ्यास करें जो विशेष रूप से लंबी बातचीत वाले हमलों का अनुकरण करें – न कि केवल सिंगल-शॉट जेलब्रेक प्रयासों का।
• प्रतिकूल प्रशिक्षण (Adversarial training) लागू करें ताकि मॉडल की मजबूती में सुधार हो, और पहले प्रॉम्प्ट के बजाय कई चरणों में सुरक्षा बनाए रखने पर ध्यान दें।
• स्तरित सुरक्षा का उपयोग करें: कोई एक गार्डरेल पर्याप्त नहीं है। मॉडल-स्तरीय संरेखण, इनपुट/आउटपुट फ़िल्टरिंग, व्यवहार निगरानी और मानव-नियंत्रित निरीक्षण को मिलाएँ।
• लैब के संरेखण दर्शन को समझें। जो लैब सार्वजनिक रूप से सुरक्षा पर ज़ोर देती हैं (जैसे, गूगल का Gemma परिवार), उनके मॉडलों में सिंगल-से-मल्टी-टर्न अंतर संकरा था, जबकि क्षमता-प्रथम मॉडलों (जैसे, Meta का Llama, xAI का Grok) में यह अंतर व्यापक था। सिस्को सलाह देता है कि संगठन मॉडल चयन में इस कारक पर ग़ौर करें।
• संरचित मूल्यांकन उपकरणों का उपयोग करें जैसे सिस्को का AI Validation प्लेटफ़ॉर्म (अब LLM सुरक्षा लीडरबोर्ड का हिस्सा) ताकि तैनाती से पहले तुलनीय, पुनरुत्पादनीय मल्टी-टर्न जोखिम स्कोर तैयार किए जा सकें।