Les grands modèles de langage restent exposés à des attaques conversationnelles progressives, capables de contourner leurs garde-fous au fil de plusieurs échanges. Dans ce contexte, l’article « M³: A Multi-LLM System for Multi-Turn Jailbreaking as a Markov Decision Process » propose une nouvelle méthode de red teaming automatisé, pensée pour des environnements entièrement black box où l’attaquant ne dispose pas d’accès interne au modèle ciblé.
Le cadre M³ formalise le jailbreaking multi-tour comme un processus de décision de Markov (MDP) à horizon fini. Concrètement, un LLM attaquant interagit avec un LLM cible, tandis qu’un troisième modèle produit un état interne compact servant à guider la stratégie d’attaque. Les auteurs cherchent ainsi à dépasser les approches existantes, souvent fondées sur des heuristiques ou sur des hypothèses jugées trop restrictives pour des tests de sécurité réalistes.
D’après le résumé arXiv, M³ obtient de meilleurs résultats que les méthodes de référence sur deux benchmarks et six modèles cibles. Les gains annoncés atteignent 53 % sur l’indicateur ASR@5. Les auteurs indiquent aussi que même avec un attaquant plus léger, le système conserve un avantage, avec jusqu’à 26 % d’amélioration en ASR@1 et 34 % en ASR@5 par rapport à des baselines reposant sur des attaquants de plus grande capacité.
Au-delà du taux de succès, l’étude met en avant une escalade du risque plus marquée au fil des tours de conversation et une performance plus homogène entre catégories de risque, avec une amélioration pouvant aller jusqu’à 4,82 sur l’indice de Gini. Ces résultats restent à apprécier à la lumière d’un préprint arXiv, donc sans validation éditoriale mentionnée à ce stade, mais ils soulignent un point clé : l’évaluation de la sûreté des LLM devra probablement mieux intégrer la dynamique des attaques multi-tour.