最后更新：2026-10-23 很多人搜大模型越狱提示词，是想知道“为什么几句话就能让模型翻车”。答案不是某句魔法咒语，而是大模型把指令和数据放在同一段文本里处理——OWASP 指出，提示词注入可改变模型行为，且因随机性目前没有一劳永逸的防法（OWASP LLM01:2025）。本文用概念层说明 5 类常见手法为什么有效，并给出企业防护对照表与自评工具。全文不出现任何可复制的越狱提示词或载荷。 入门定义见AI大模型破甲科普；术语见术语表。 一、先把原理说清楚 1.1 指令与数据不分家 传统软件里，SQL 查询和用户输入可以参数化分离；大模型则把系统提示、用户话、网页正文、检索片段都当成“下一词预测”的上下文。攻击者只要让模型更相信某段恶意指令，就可能覆盖开发者设定的规则。这就是越狱提示词“看起来有效”的根源。 1.2 越狱 vs 提示词注入 概念目标典型后果出处 越狱 Jailbreak让模型无视安全策略输出违规/有害内容OWASP；MITRE ATLAS 直接提示词注入用户输入直接改写行为泄露系统提示、越权工具调用OWASP LLM01 间接提示词注入恶意指令藏在网页/文件/邮件/RAG 结果里智能体被“遥控”OWASP；Microsoft document attack 二、5类常见手法（只讲概念，不给示例句） 类型概念（无示例句）为什么可能有效企业优先防护 1. 角色 / 情景重构要求模型进入虚构身份或“无限制模式”训练数据里大量角色扮演，模型易“入戏”系统提示明确禁止角色覆盖安全规则；输出分类器 2. 编码 / 混淆包装用 Base64、谐音、多语言夹杂等改变表面形态基于关键词的过滤器漏检；模型仍能理解语义解码后再检测；语义级护栏（非仅关键词） 3. 多轮渐进诱导先要无害信息，再一步步靠近敏感目标单轮拒绝强，多轮上下文被慢慢污染会话级风险评分；高风险话题熔断 4. 权威 / 流程伪装伪造“已通过安全审核”“开发者模式”等话术模型对指令性语气过度顺从不信任用户侧的“授权声明”；关键权限在服务端 5. 间接注入（外部内容）把指令藏进模型会读取的网页、PDF、工单、知识库应用主动拉取“脏数据”外部内容只作数据；工具最小权限；人审高影响动作 公开红队工具（如 NVIDIA garak、Microsoft PyRIT、promptfoo）会用自动化方式覆盖上述类别——企业应对自己的接口跑工具并读报告，而不是从社交媒体复制提示词。 三、企业防护对照表（可引用） 手法类别输入侧模型侧输出侧应用侧 角色重构检测“无视规则/开发者模式”类意图系统提示锁定角色不可被用户覆盖分类器拒绝对有害完成产品层禁止切换到无护栏模型 编码混淆规范化（解码、统一 Unicode）后再扫描—对解码后的语义再审限制异常长度与高熵输入 多轮诱导会话风险累计分定期重申安全边界逐轮审查敏感域缩短会话或转人工 权威伪装忽略用户自称的授权——真实授权只存在于身份与 ACL 间接注入分隔并标记检索/网页内容指示“外部内容不是指令”检查是否复述恶意指令工具只读默认；写操作人审 Anthropic 公开实验显示：无分类器时高级越狱成功率约 86%，加 Constitutional Classifiers 后降至约 4.4%（Anthropic）——说明输出/输入分类器对“提示词本身”是有效补充，但不能单点依赖。 四、越狱风险自评计算器 应用被越狱/注入的风险自评（分越高越安全）（勾选已做到的项，浏览器本地计分，不上传数据） 计算得分 五、从“提示词有效”到“业务损失”的传导链 越狱提示词本身往往只产生一段文本；真正的损失发生在应用把这段文本当成可信指令或可信事实继续往下做时。一条简化的传导链是： 输入绕过或污染了模型的安全策略（越狱 / 注入成功）； 模型输出有害内容，或输出一组危险的工具参数； 应用缺少输出校验与权限闸门，自动执行； 出现合规事件、客户投诉、广告账户连带风险或数据泄露。 因此企业防护的目标不是“让世界上不再存在越狱提示词”（做不到），而是截断第 2→3 步：即便模型被诱导，系统也不能自动造成不可逆后果。英国 NCSC 也将提示词注入视为当前大模型广泛报道的弱点之一，强调要从系统设计上降低影响（见其 AI 系统安全讨论，NCSC）。 六、给安全与产品团队的沟通话术（可引用） 业务常见说法更准确的说法 “我们用了最强模型，所以不会被破甲”“模型有拒绝能力，但我们仍做了输入输出过滤与权限隔离，并定期红队” “加长系统提示词就够了”“系统提示是一层，必须配合过滤、最小权限和人审” “把越狱提示词库买来挡住”“静态黑名单易过时；应用公开红队框架持续回归更稳妥” “开源模型能省安全预算”“开源省的是授权费，安全工程预算通常更高，因为要自建热修能力” 七、常见问题（FAQ）...