本文是一篇关于多轮大语言模型（LLM）越狱攻击的系统性综述（SoK）。随着LLM在交互式场景中的广泛部署，用户意图通常通过多轮对话逐步展开。多轮越狱攻击正是利用这一交互模式，将有害意图分散到多个对话轮次中，使得任何单个消息都不暴露完整目标，从而绕过传统的单轮安全审查。然而，现有研究往往将这些攻击视为一组孤立的提示模式，缺乏对攻击者如何跨轮组织和推进有害意图的系统性分析。为此，作者提出了一种面向意图的四部分分类法，依据对抗性意图的结构对多轮越狱进行系统化组织。通过受控消融实验，研究发现攻击的有效性主要由意图跨轮组织的精心程度决定，而非上下文长度或查询数量。进一步分析表明，意图的组织方式直接决定了其可被检测的层级——从轮级（turn-level）提升到会话级（session-level）乃至跨会话级（cross-session level）。这一发现说明，仅依赖单轮局部的安全机制在结构上是不充分的，而基于单点输入的评估方式也会忽略意图的组织特性。因此，作者呼吁评估协议应当与有害意图变得可观测的层级相对齐。本文的核心贡献包括：首次对多轮越狱进行面向意图的系统化分类；通过实验揭示了意图组织与检测层级之间的内在联系；为未来的安全评估和防御机制设计提供了理论指导。文中代码已开源（https://github.com/SiyuanLi00/INTACT）。