最后更新：2026-10-22 AI大模型破甲是中文网络对“大模型越狱”（Jailbreak）的俗称：攻击者用特殊构造的输入，让模型绕过开发方设定的安全限制，输出本不该输出的内容。它与提示词注入（Prompt Injection）关系密切——OWASP 在《大语言模型应用十大风险（2025）》中把提示词注入列为第一位（LLM01），并把越狱视为提示词注入的一种形式（OWASP LLM01:2025 Prompt Injection）。结论先说：提示词注入目前没有一劳永逸的解法，英国国家网络安全中心（NCSC）也指出它是当前大模型最广为报道的安全弱点之一（NCSC）；出海 AI 企业能做的是分层防护——输入输出过滤、系统提示词隔离、工具最小权限、高影响动作人工确认、红队测试与日志监控。本文只做科普与防护，不提供任何可用的攻击提示词。 相关阅读：AI 智能体怎么选见2026 AI 智能体对比，常见术语见出海广告与 AI 术语表。 一、什么是AI大模型破甲（大模型越狱）？ 1.1 破甲、越狱、提示词注入三个词的区别 名词含义典型后果权威出处大模型破甲（中文俗称）让模型突破安全护栏的行为统称输出有害、违规或不当内容中文社区用语，对应 Jailbreak越狱（Jailbreak）直接通过输入让模型忽略安全规则绕过内容安全策略OWASP LLM01；MITRE ATLAS 收录“LLM Jailbreak”技术提示词注入（Prompt Injection）输入改变了模型原本的行为或输出，可直接或间接发生泄露数据、执行越权操作、输出被操控OWASP LLM01:2025间接提示词注入恶意指令藏在模型读取的网页、文件、邮件等外部内容里智能体被“遥控”OWASP LLM01；Microsoft 称为 document attack 1.2 为什么大模型容易被“破甲” 根本原因是大模型把指令和数据放在同一段文本里处理，很难像传统软件那样严格区分“代码”和“输入”。NCSC 将提示词注入描述为“用户构造输入，使模型以非预期方式运行”，并提到已有数百个公开案例（NCSC：Thinking about the security of AI systems）。美国 NIST 在《生成式 AI 风险画像》（NIST AI 600-1，2024 年 7 月）中也把直接与间接提示词注入列为信息安全风险（NIST AI 600-1）。 二、5类常见攻击类型（概念层面） 以下只说明原理和风险，不给出任何可复制的攻击语句。 2.1 直接越狱用户在对话框里直接要求模型无视规则，或用多轮对话逐步诱导。风险是模型输出违反平台政策的内容，给品牌带来合规与声誉问题。 2.2 角色扮演与虚构包装把违规请求包装成“故事”“游戏”“假设场景”，让模型误以为不受安全规则约束。这是越狱最常见的思路之一。 2.3 间接提示词注入（网页、文档、RAG）恶意指令不来自用户，而是藏在模型读取的网页、PDF、邮件或知识库（RAG）里。OWASP 指出外部内容中的指令即使人看不见，模型也可能执行（OWASP）。对会联网、会读文档的客服机器人和智能体，这是最需要重视的一类。 2.4 数据外泄与系统提示词泄露诱导模型吐出系统提示词、对话中的个人信息或知识库里的内部资料。OWASP 2025 版把“敏感信息泄露”（LLM02）和“系统提示词泄露”（LLM07）单独列出（OWASP Top 10 for LLM Applications 2025）。 2.5 工具与智能体滥用模型能调用发邮件、下单、改数据库等工具时，注入攻击可能让它执行越权操作。OWASP 称之为“过度代理”（Excessive Agency，LLM06）。智能体权限越大，后果越严重。 三、权威机构怎么说：数据与框架 机构/资料核心观点对出海企业的意义OWASP LLM01:2025提示词注入排第一；因模型的随机性，是否存在万无一失的防护尚不清楚不要期待“一次配置永久安全”，要分层防护NIST AI 600-1生成式 AI 专属风险画像，含直接/间接提示词注入可作为风险评估清单，配合 NIST AI RMFMITRE ATLASAI 系统对抗战术与技术知识库，收录提示词注入与越狱红队测试时用来对照攻击面英国 NCSC提示词注入是被广泛报道的弱点，已有数百个公开案例把模型输出当作不可信输入处理Anthropic Constitutional Classifiers实验中无防护时高级越狱成功率 86%，加分类器后降到...