什么是AI越狱（AI jailbreaking）？

拒答是一种习惯，越狱就是打破它的办法

模型里并没有一条“不要解释怎么撬锁”的规则。它有的是拒答的习惯，这是在后训练阶段被安装进去的，什么是AI微调这篇文章描述过这个阶段：人们给有害请求的拒答打分高于配合，直到拒答成了这类请求最可能的续写。是可能，不是必然。

越狱就是任何能改变这个概率的提示词。把请求包进一个故事里，最可能的续写就变成了故事的下一句。把它拆成一些无害的小片段，就没有哪一片能触发这个习惯。用base64编码，见过的都是明文英语的拒答训练就认不出它来。给模型看两百个助手配合照做的示例，第二百零一个请求也会被照样回答，Anthropic在2024年4月把这种手法命名为“多示例越狱”（many-shot jailbreaking），而且随着上下文窗口变大，它变得更容易得手。

这背后的机制，正是让模型有用的那个机制：它顺着输入的模式往下走。安全训练让某些模式变得极不可能出现；越狱就是找到一个训练没覆盖到的模式。这就是为什么这个问题不能靠一条更好的规则解决，也是为什么厂商把它当作一个比率来度量。

常见手法，以及各自利用的是什么

从2022年12月开始在Reddit上流传的那些DAN提示词，就是这种手法的民间版本，而且每一个版本都会在几周到几个月内随着OpenAI更新模型而失效，然后下一个版本又冒出来。每一种被命名的手法都遵循这个循环：先被公开，然后被修补。Anthropic为“针对其分类器的通用越狱方法”开出过悬赏，如今真正持久的研究工作也都往这个方向去了。

有一点区分要记住。越狱是用户对抗模型的策略；什么是提示词注入则是第三方通过模型读取的内容来对抗用户。两者的手法有重叠，但受害者不是同一个人。

一道护栏到底能拦住多少，实测数据

目前公开的最好数据来自Anthropic在2025年2月发布的“宪法式分类器”（constitutional classifiers）。团队训练了独立的分类器模型来审查Claude前后的输入和输出，然后对加了这层筛查和没加这层筛查的模型，跑了同一套自动化越狱攻击。

这个降幅的代价是结果的另一半。这套分类器让每次查询多花了23.7%的算力，并把无害请求被拒答的比例提高了0.38个百分点。在这次自动化测试之前，183人花了超过3000小时参加悬赏挑战，试图找到一个能同时解锁全部十个禁止问题的“通用越狱”提示词，结果没人做到。后来一场公开挑战赛用了一周就找到了一个。这个比率不是零；关键在于，它从“大多数尝试都能得手”变成了“只有极少数能得手”。

这就是“护栏”在实践中的含义：一叠概率。训练出来的拒答习惯拦下大多数；分类器再拦下剩下里的大多数；人工审核再拦下剩下的一部分。每一层都要付出延迟、成本或误拒的代价，厂商要在这条曲线上选一个点。AI用起来安全吗讲的就是这个选点对你实际面对的风险意味着什么。

你多半想要的是换个说法，而不是越狱

很多去搜越狱方法的人，其实只是被拒绝了一个合理的请求：一位医生问剂量，一位小说作者在写反派，一位安全研究员在描述一次真实攻击，一位历史学者在引用一段真实文献。上面那0.38个百分点的上升，只是分类器带来的那一份；训练出来的拒答习惯本身也会自行拒答，而这个比率没人公布过。

有两种做法有用，而且都不是越狱。第一种是给出背景。拒答是模型对“这个请求是否有害”的一个猜测，说一句你是谁、为什么问，会改变这个猜测：“我是药剂师，正在核对一个儿科用药剂量”和光秃秃的一个问题，是不同的输入。第二种是换模型。各家厂商划线的位置不一样，一个模型拒答的请求，另一个模型往往会当作寻常问题照答。在一个多模型工作区里，这不过是切换一下选择器，花的是第二个模型那一档的价钱，比如Whizi AI是1个积分，Claude Sonnet 5是10个积分，如何选择AI模型讲了拒答表现之外的那些差异。

有一种做法不管用，Whizi也不会帮忙：专门设计来击败某家服务商政策的提示词。Whizi上的每一个模型都是通过OpenRouter和被路由到的那家服务商提供的，所以每条消息都要遵守那家服务商自己的安全层和使用政策，一次成功的越狱同时违反了两家公司的规定。真正正当的需求，也就是对一个正当问题的坦率回答，靠的是直接把问题问清楚；如果被拒，就换一个政策不同的模型再问一次。

AI越狱正在走向哪里

已公开的研究里已经能看到三个走向。分类器这一层正在成为标配，而它的误拒率才是要盯紧的数字，因为一道会拦住药剂师的护栏，是人们会想办法绕开的护栏。开放权重模型，也就是开源大模型指南讲到的那一类，可以通过微调把拒答训练直接去掉，所以对这类模型来说，护栏在哪里托管就在哪里，而不在权重本身里。而智能体让风险更高了：一个被越狱的聊天机器人只是说了不该说的话，而一个带工具的被越狱智能体会做出不该做的事，这正是为什么在执行一个动作之前的确认步骤，比任何拒答都更重要。