PsychJail: Exploring Psychological Jailbreaks via Multi-Turn Persuasion of LLM Policies

📄 arXiv: 2608.23028v1 📥 PDF

作者: Zeyu Feng, Qingyu Wu, Yuzhe Luo, Hua Cheng

分类: cs.AI

发布日期: 2026-08-24

💡 一句话要点

提出PsychJail框架以解决多轮心理劫持问题

🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 心理劫持 多轮劝说 大型语言模型 红队测试 社会心理学 强化学习 攻击策略

📋 核心要点

  1. 现有研究主要集中在单轮提示优化，未能充分探讨多轮心理劫持的脆弱性，导致安全隐患加剧。
  2. 本文提出PsychJail框架，通过心理学理论指导的多轮劝说实现对LLMs的红队测试，提升攻击效果。
  3. 实验结果显示，PsychJail在四个对齐模型上取得了87.3%的攻击成功率，显著优于现有方法，揭示了模型的劝说脆弱性特征。

📝 摘要（中文）

大型语言模型（LLMs）在教育、医疗和政策咨询等互动场景中的应用日益普及，然而，心理劫持作为一种新兴的安全威胁尚未得到充分研究。本文提出PsychJail，一个基于心理学的框架，通过多轮劝说技术对对齐的LLMs进行红队测试。PsychJail将社会心理学劝说技术映射为战术条件攻击策略，并通过强化学习优化该策略。实验结果表明，PsychJail在四个对齐模型上实现了87.3%的平均攻击成功率，超越了现有的单轮和多轮基线模型。研究还揭示了四种模型级指纹，帮助理解不同模型的劝说脆弱性。

🔬 方法详解

问题定义：本文旨在解决大型语言模型在多轮交互中可能遭遇的心理劫持问题。现有方法多集中于单轮攻击，未能有效应对多轮交互带来的复杂性和心理因素。

核心思路：PsychJail框架通过将社会心理学的劝说技术融入攻击策略，采用多轮劝说的方式进行红队测试，旨在提高对齐模型的攻击成功率。

技术框架：PsychJail的整体架构包括三个主要模块：意义变化分析、战术选择和可见消息生成。通过这些模块，攻击者能够系统地设计多轮劝说策略。

关键创新：本研究的创新点在于将心理学理论与多轮攻击策略结合，形成了一种新的攻击政策，并通过强化学习优化该政策，显著提高了攻击成功率。

关键设计：在设计中，采用了PKM（劝说知识模型）作为奖励机制，确保每轮都包含有效的意义变化分析，从而提升整体攻击效果。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

实验结果显示，PsychJail在四个对齐模型上实现了87.3%的平均攻击成功率，超越了所有现有的单轮和多轮基线模型。这一成果不仅展示了多轮劝说的有效性，还揭示了不同模型的劝说脆弱性特征，提供了未来研究的方向。

🎯 应用场景

该研究的潜在应用领域包括教育、医疗和政策咨询等需要与用户进行长期互动的场景。通过理解和利用心理劫持的机制，能够更好地保护大型语言模型免受恶意攻击，提升其安全性和可靠性。未来，PsychJail框架可能为其他领域的安全研究提供新的思路和方法。

📄 摘要（原文）

Large language models (LLMs) are increasingly deployed in education, healthcare, policy advising, and other interactive settings, where users engage them as sustained social interlocutors rather than one-shot query engines. This shift makes jailbreaks a growing safety threat, yet most research emphasizes single-turn prompt optimization or iterative attack refinement, leaving psychologically grounded multi-turn vulnerabilities underexplored. We present PsychJail, a psychology-guided framework for red teaming aligned LLMs through theory-grounded, multi-turn persuasion. PsychJail maps established social-psychological persuasion techniques into a tactic-conditioned attack policy. It factorizes each attacker action into a Change-of-Meaning analysis, tactic selection, and victim-visible message, operationalizing the Persuasion Knowledge Model (PKM). The policy is refined with trajectory-level reinforcement learning using a PKM-gated reward that credits early jailbreak success only when every turn contains a well-formed Change-of-Meaning analysis. Across four aligned victim models, PsychJail achieves the highest average attack success rate (87.3%) and outperforms strong single-turn and multi-turn baselines on every model. We also measure susceptibility at the action that breaks each victim, revealing four distinct model-level fingerprints that identify which persuasion levers affect each model and how broadly. These fingerprints help explain cross-model transfer asymmetry. We interpret them as four candidate psychological profiles-rationalist, credibility-driven, narrative-monoculture, and broadly persuadable-while treating this interpretation as a conjecture requiring future validation. Our findings establish psychological jailbreaks as a distinct red-teaming frontier for increasingly interactive LLMs.