最先端AIモデルは「マルチターン攻撃」に無防備──Ciscoが警鐘を鳴らす脆弱性と5つの攻撃戦略

また、先行して実施されたオープンウェイトモデル（MistralやMetaのLlamaなど）の調査では、Mistral Large-2に対して92.78% というさらに高いマルチターンASRが記録されました。全8モデルで、攻撃成功率は単一ターンの2倍から10倍に跳ね上がっています。

🔍 5つの攻撃戦略ファミリー

Ciscoは、単なる「確率論的な突破」ではなく、人間の悪意ある対話を模倣した5つの系統的な攻撃戦略を特定し、その網をかけてテストしました。

1. ロールプレイ・ペルソナの採用
   攻撃者が医師や教師、友人などのキャラクターを演じ、徐々に会話の流れを禁止されたコンテンツへと誘導する手法。
2. 文脈の曖昧さとミスディレクション
   無害に見える曖昧な文脈に悪意ある指示を巧妙に紛れ込ませ、複数ターンかけて本来の目的を達成する。
3. 拒否の再構成とリダイレクト
   AIが一度拒否した内容を、「では、こういう聞き方ならどうか」と言い換えて、制限の境界を一歩ずつ侵食していく手法。
4. 情報の分解と再構築
   有害な依頼を細切れの情報として複数ターンに分割して送信し、AI自身にそれらを組み立てさせる、いわば「LEGOブロック方式」の攻撃。
5. クレッシェンド（漸進的エスカレーション）攻撃
   まったく問題のない会話からスタートし、セッションを重ねるごとに徐々に過激な方向へとアクセルを踏み込んでいき、AIの安全ガードレールを疲弊させる手法。「単一ターン・クレッシェンド攻撃（STCA）」という、1回のプロンプトでこれをシミュレートする高度な派生形の存在も確認されています。

これらの戦略ファミリーによって、モデル間の暴露格差は大きく変動しました。つまり、「どの攻撃手法にも強い万能モデルは存在しない」 ということです。

🛡️ LLMを安全に評価・導入するための提言

Ciscoは、この危機的な状況に対し、企業や開発者が今すぐ取るべき実践的な推奨事項をまとめています。

• 単一ターンASRを安全の代用指標とすることを拒否する
  単一ターンのベンチマークだけでモデルをランク付けすることは、実際のリスクを見誤り、「安全なモデル」と「危険なモデル」を取り違える 重大な誤判断につながります。評価には、現実の攻撃者のように適応してくる「マルチターンで適応的な攻撃テスト」を必ず含めるべきです。
• マルチターン評価を標準業務として採用する
  AI調達や導入を検討するバイヤーや規制当局は、「このモデルは反復的で適応的な攻撃にどこまで耐えられるのか？」を問うべきです。
• 文脈を理解するガードレールとリアルタイム監視を導入する
  静的なモデルの安全性に頼るだけでは不十分です。異常な会話パターンや、安全境界を探るような挙動をリアルタイムで検知する仕組みが不可欠です。
• 定期的で、会話の継続を前提としたレッドチーミングを実施する
  単発のジェイルブレイク（脱獄）試行だけでなく、人間同士の長い会話を模した反復的な攻撃演習を、社内または専門家と実施すべきです。
• 敵対的トレーニングの適用
  最初の1ターンだけでなく、会話が継続しても安全性を維持できるように、モデルの堅牢性を高める学習が有効です。
• 多層防御を構築する
  単一の防御策で十分な対策はできません。モデル自体のアライメント（価値観調整）、入出力フィルター、不審な挙動の監視、そして最終的な「人間の目による監視」を組み合わせる必要があります。
• 開発企業の「アライメント哲学」を見極める
  GoogleのGemmaのように安全性を公に重視するラボのモデルは、単一ターンとマルチターンのギャップが比較的狭い傾向がありました。一方、MetaのLlamaやxAIのGrokのように「能力優先」で設計されたモデルは、そのギャップが大きくなる傾向が見られました。モデル選定の際は、この開発思想を考慮する必要があるとCiscoはアドバイスしています。
• 構造化された評価ツールを活用する
  CiscoがLLM Security Leaderboardの一部として公開している「AI Validation プラットフォーム」のような専用ツールを使い、導入前にマルチターンのリスクスコアを比較可能な形で再現し、評価することが推奨されます。