| 常见手法 | 角色扮演（DAN 类）、编码/小语种绕过、多轮铺垫、分步拆解 |
|---|---|
| 输入侧 | 分类器识别越狱模板与编码混淆 |
| 系统侧 | 敏感规则不放进可被套取的提示词，权限与内容策略由代码执行 |
| 回归 | 红队用例集持续扩充，每次模型/提示词变更回归 |
防护层次（示意）
防护层次（示意）
第一层 输入分类器：越狱模板/混淆编码 → 拦截或降权
第二层 系统提示：只写必要信息；把硬规则落到代码（工具白名单、额度）
第三层 输出过滤：敏感内容分类器，命中改写或拒答
第四层 审计+红队：拦截留痕；红队集版本化回归“请勿泄露系统提示”这类话术不构成防护：系统提示要有“泄露也无所谓”的假设来设计。