什麼是AI越獄（ai越獄）？

拒答是一種習慣，越獄就是打破它的方法

模型裡並沒有一條寫著「不可以解釋怎麼開鎖」的規則。它有的是拒答的習慣，這個習慣是在後訓練階段被安裝進去的，也就是什麼是AI微調所描述的那個階段：人們把「拒絕有害請求」的評分打得比「照做」還高，直到拒答變成這類請求最可能出現的接續內容。是「可能」，不是「必然」。

越獄就是任何能改變這個機率的提示詞。把請求包進一個故事裡，最可能的接續就變成故事的下一句。把它拆成無害的碎片，就沒有任何一片會觸發拒答的習慣。用base64編碼，那套只看過標準英文的拒答訓練就認不出來。給模型看兩百個助理照做的範例，第兩百零一個請求就會被順著回答，Anthropic在2024年4月把這種手法命名為「多範例越獄（many-shot jailbreaking）」，而隨著上下文視窗越變越大，這種手法也越來越容易得逞。

這個機制，跟讓模型變得有用的機制其實是同一個：它會順著輸入的模式走。安全訓練讓某些模式變得很不可能出現，而越獄就是找到一個訓練沒覆蓋到的模式。這正是為什麼這個問題不是靠一條更好的規則就能解決,也是為什麼各家廠商是用一個比率來衡量它。

常見手法，以及每一種各自利用了什麼

從2022年12月起在Reddit上流傳的那些DAN提示詞，就是這種手法的民間版本，每一個版本都在幾週到幾個月內失效，因為OpenAI更新了模型，然後下一個版本又會出現。每一種被公開命名的手法都逃不出這個循環：先被公開，再被修補。Anthropic曾針對自己的分類器發出一筆有償懸賞，找出能通用的越獄方法，這也是現在最持久的攻防戰場。

有一點要分清楚。越獄是使用者對抗模型的政策。什麼是提示詞注入則是第三方透過模型讀到的內容,對抗使用者。兩者的手法有重疊,但受害的對象不一樣。

防護機制到底擋住了什麼，用數字說話

目前最好的公開數字來自Anthropic在2025年2月發表的「憲法式分類器（constitutional classifiers）」。團隊訓練了獨立的分類器模型，用來篩查Claude前後的輸入與輸出，接著用同一批自動化越獄攻擊，分別測試有沒有加上這層篩查的模型。

這個降幅背後的代價,是整件事的另一半。分類器讓每次查詢的運算量多了23.7%,也讓無害請求被誤拒的比例上升了0.38個百分點。在這場自動化測試之前,183人花了超過3,000小時參加一場漏洞懸賞,想找出一則能解開全部十個禁止問題的通用越獄提示詞,結果沒有人找到。後來一場公開挑戰在一週後找到了一則。這個比率不是零,重點在於它從「多數嘗試都成功」變成了「只有少數成功」。

這就是「防護機制」在實務上的意思:一疊機率。訓練出來的拒答習慣攔下大多數。分類器再攔下剩下的大多數。人工審查再攔下殘餘的一部分。每一層都要付出延遲、金錢或誤拒的代價,廠商就在這條曲線上挑一個落點。AI使用安全嗎談的就是這個落點對你真正會遇到的風險意味著什麼。

你想要的多半是換個問法,不是越獄

許多搜尋越獄方法的人,其實只是被拒答了一個合理的請求。一位醫生問劑量、一位小說家在寫反派角色、一位資安研究員在描述一次真實攻擊、一位歷史學家在引用一段真實文獻。前面提到那0.38個百分點的上升,只是分類器造成的那一部分;訓練出來的拒答習慣自己也會拒答,而這個比率沒有任何廠商公開過。

有兩件事有用,而且都不是越獄。第一是脈絡。拒答是模型對「這個請求是不是有害」的一個猜測,而一句說明你是誰、為什麼要問的話,會改變這個猜測:「我是藥師,正在核對一個兒科劑量」跟光問問題本身,是不一樣的輸入。第二是模型本身。各家廠商把界線畫在不同的地方,一個模型會拒答的請求,往往被另一個模型當成再普通不過的問題來回答。在一個多模型工作區裡,這只是換一個選單選項的成本,Whizi AI是1點數,Claude Sonnet 5是10點數,如何選擇AI模型談的就是拒答以外那些模型之間的差異。

有一件事沒用,而且Whizi也不會幫忙:專門設計來擊敗某家供應商政策的提示詞。Whizi上的每一個模型都是透過OpenRouter和被路由到的供應商提供服務,所以每一則訊息都適用那家供應商自己的安全層與使用政策,一次成功的越獄同時違反了兩家公司的規定。真正正當的需求,也就是對一個合理問題得到一個坦率的答案,靠的是直接把問題問清楚,如果被拒,就換一個政策不同的模型再問一次。

AI越獄接下來會往哪裡走

從已公開的研究裡,已經能看到三個轉變。分類器層正在變成標準配備,它的誤拒率是接下來要盯緊的數字,因為一道連藥師都擋下來的防線,人們就會想辦法繞過去。開放權重模型,也就是開源LLM指南談到的那類模型,它們的拒答訓練可以透過微調被整個拿掉,所以對這類模型來說,防護機制在於它被架設在哪裡,而不在於權重本身。而智能代理(agent)則拉高了賭注:一個被越獄的聊天機器人只是說了不該說的話,而一個帶有工具的被越獄智能代理卻會做出不該做的事,這正是為什麼在採取行動前的那道確認步驟,比任何拒答都更重要。