越狱（Jailbreak）

越狱（Jailbreak）指攻击者通过精心设计的提示词，绕过模型内置的安全对齐限制，诱导其输出本应被拒绝的内容，例如违法信息、有害建议或规避审核的方法。这个词借用了手机解锁的比喻，指打破厂商设定的边界。它之所以值得重视，是因为面向公众的AI应用默认具备明确的行为约束，而这些约束一旦被绕过，风险会直接落到真实用户身上。

常见的手法类型

• 角色扮演：要求模型扮演不受约束的角色，借此把违规请求包装成剧情需要。
• 假设场景：以虚构写作、学术研究等名义提出请求，试图绕开内容边界。
• 编码混淆：用变形、替换符号或非自然语言表达意图，让审核规则难以识别。
• 情感施压：编造紧迫或悲情的处境，诱导模型出于同情放弃既有约束。
• 多轮铺垫：先建立看似无害的上下文，再逐步把话题引向敏感方向。

与提示词注入的区别

提示词注入（Prompt Injection）是让模型执行违背设计意图的指令，例如忽略系统提示、泄露内部配置或调用不该调用的工具，攻击目标偏向系统行为；越狱的目标是让模型突破安全策略，直接输出违规内容，攻击目标偏向内容边界。两者常被合并讨论，因为手法高度重合，且经常串联使用——先用注入夺取指令主导权，再用越狱诱导产出。对应用方而言，两者的后果不同：前者可能导致数据泄露与工具滥用，后者可能导致内容风险与合规问题。

防御与实践要点

• 分层防御：模型侧的安全训练、系统提示加固、输入输出过滤缺一不可。
• 持续红队测试：定期用新手法探测自身防线，把发现的案例沉淀为回归用例。
• 关键操作二次确认：涉及支付、删除与外发的动作不应仅凭模型判断执行。
• 最小权限：限制模型可调用的工具与数据范围，即使被绕过损失也可控。
• 可审计日志：记录被拦截与判定的请求，既能追踪攻击面也能定位误拦截。

常见误区

• 以为一劳永逸：加固提示只能抬高门槛，攻防是持续演进的对抗过程。
• 只防越狱：忽视提示词注入，可能面临更直接的配置泄露与工具滥用风险。
• 过度拦截：把正常请求也一律拒绝，会明显伤害可用性与用户信任。
• 全推给模型：应用层不做校验，等于把最终把关权完全交给可能被绕过的模型。
• 测试一次就收工：手法在不断变化，缺少常态化的对抗测试等于没有防线。