越狱防护是什么
越狱是通过角色扮演、编码混淆、小语种转换与多轮铺垫等手法绕过安全策略。防护必须分层，且不依赖提示词保密：输入侧用分类器识别越狱模板与混淆编码；系统侧把硬规则落到代码而不是提示词，例如工具白名单、额度与权限；输出侧用内容分类器兜底；再配合审计留痕与持续扩充的红队用例回归集。核心假设是「系统提示泄露也无所谓」——凡是要靠保密才成立的防护，都不能算防护。
基本信息
| 常见手法 | 角色扮演、编码与小语种绕过、多轮铺垫、分步拆解 |
|---|---|
| 输入侧 | 分类器识别越狱模板与编码混淆，解码归一化后再判 |
| 系统侧 | 敏感规则不进提示词，权限与额度由代码执行 |
| 输出侧 | 内容分类器兜底，命中改写或拒答 |
| 回归机制 | 红队用例集版本化，模型或提示词变更后回归 |
| 审计要求 | 拦截与越狱尝试留痕，支持取证 |
典型使用场景
- 面向公众的对话产品：防批量试探与内容套取
- 企业内助手：防越权读取与越权调用工具
- 多轮会话：识别分步逼近的攻击路径
- 上线前评估：用红队集做验收再放量
- 版本迭代：每次换模型或改提示词后跑回归
四层防护结构
四层防护结构
第一层 输入分类器：越狱模板、混淆编码、异常语言 → 拦截或降权
第二层 系统提示：只写必要信息；硬规则落到代码（工具白名单、额度、权限）
第三层 输出过滤：敏感内容分类器，命中则改写或拒答
第四层 审计与红队：拦截留痕；红队用例集版本化，变更后回归
# 不把安全边界放在提示词里：提示词可被套取，代码不会
# 多轮场景要按会话累积风险打分，单轮判断容易被绕过常见越狱手法与对应防线
| 手法 | 表现 | 对应防线 |
|---|---|---|
| 角色扮演 | 设定一个不受限制的角色 | 输入分类器识别角色声明与免责话术 |
| 编码混淆 | base64、拆字、小语种转换 | 输入侧先解码与归一化再判定 |
| 多轮铺垫 | 逐步逼近违规目标 | 按会话累积风险评分，而非只看单轮 |
| 工具诱导 | 诱导模型调用高权限工具 | 权限在代码层强制校验 |
| 套取系统提示 | 要求复述初始指令 | 不把秘密放进提示词 |
「请勿泄露系统提示」这类话术不构成防护：设计系统提示时应假设它会泄露，任何真正的约束都必须由代码与服务端策略承担。
红队用例集要像代码一样维护：每条用例记录攻击手法与期望行为，模型、提示词或过滤策略变更后整体回归，防止防线悄悄破洞。