Beyond the Prompt: Jailbreaking Function-Calling LLMs via Simulated Moderation Traces

这篇把 function-calling LLM 的风险定位到 stateful schema、structured arguments 和 untrusted tool outputs 被混入同一上下文的结构性漏洞。SMT 是黑盒攻击框架，它构造类似 moderation-auditing 的多轮轨迹，再把安全拒答当作执行失败反馈，逐步诱导模型放松安全约束。五家商业 LLM provider、两个标准化安全基准上的实验显示 SMT 拿到最高平均 attack success rate 和 HarmScore，且查询数接近最小；结论是 prompt-level sanitization 无法覆盖工具调用环境的完整攻击面。