越狱攻防面地图：类别、信号与防御纵深

先说清立场

越狱（Jailbreak）指攻击者绕过大模型的安全对齐——即模型在训练中被塑造的行为边界——诱导它产出本应拒绝的内容。本文是防御视角的分类学：目的不是教人攻击，而是让做应用的人看清攻防面长什么样、信号在哪里、防线怎么布。全文只做类别级描述，不含可复用的攻击话术。

五类常见形态

五个类别的共同点：都不创造新能力，只是寻找对齐训练分布里覆盖稀薄的角落。这也是为什么换一个模型版本，历史用例需要重跑——分布覆盖变了，薄弱角落也换了位置。识别信号由此而来——对话模式与正常使用显著偏离：反复的角色设定尝试、话题的定向漂移、突兀的编码或语言切换、刻意拉长的上下文。

为什么防不胜防

安全对齐不是硬边界，而是统计性的行为偏好：模型见过大量「这类请求要拒绝」的样本，于是大概率拒绝。但攻击空间是开放且可组合的，防御只能覆盖已见模式；攻击者只需找到一个分布外的表述，防御者却要守住全部表述。这决定了越狱攻防在可见的未来都是概率游戏——堵上一个，换个外壳又回来。先承认这一点，才不会把资源押在「彻底根除」上。

两道防线：厂商侧与应用侧

厂商侧防线大致三层：安全训练（预训练与对齐阶段注入拒绝行为）、系统级分类器（在模型输入输出两侧加安全过滤）、拒答策略（对敏感类别请求的标准化拒绝与安全替代应答）。这些能力随版本持续改进，但对应用开发者而言是黑盒——强度会变、行为会变、无法审计。

所以应用侧防御纵深的第一条是：不把模型自带拒答当唯一防线。模型会更新，你的应用不能跟着裸奔。在此之上还有三件事：

1. 输出侧内容审查：对模型响应再跑一遍敏感内容分类，命中即拦截，这是内容落地的最后一道闸。
2. 场景收窄：应用层把任务域限定住。客服机器人不必回答一切，系统提示、输入校验、功能设计都向业务域收拢，面越窄越难绕。
3. 人工审核高危输出：涉及医疗、法律、金融建议或可执行代码的输出，先进人工队列再放行。

红队测试怎么做

防御强度要用攻击来度量，这一步应该在自己的应用里常态化：

1. 建攻击用例库：覆盖上文五类形态，持续积累；既收录公开的越狱模式，也补自己业务特有的风险面。
2. 持续回归：每次换模型、改系统提示、调参数都全量跑一遍，把安全表现当回归测试对待。
3. 覆盖率追踪：记录哪些类别、哪些变体测过，量化盲区，而不是凭感觉觉得「应该没事」。
4. 修复后防回归：发现绕过点，先加用例、再改防线，确认修复生效且没有引入新洞。

用例之外还要定度量口径：同一批用例在当前配置下的通过率、拒绝质量（是干脆拒绝还是带出部分内容）、误拒率（正常请求被错误拒绝的比例）。只盯通过率会诱导把防线越调越紧，把正常用户挡在门外；误拒率是安全预算的另一面，同样要进报表。

小结

越狱是对齐边界的概率性绕过，形态繁多的根源是防御只能覆盖已见分布。厂商侧防线不可控，应用侧必须自建纵深：不依赖模型拒答做唯一防线、输出审查、场景收窄、人工审核，再用红队用例库把防御强度变成可度量的工程指标。越狱防御是风险管理，不是根除承诺——把发生率与损失都压到业务可接受的水平，就是胜利。