越狱
针对AI大语言模型安全护栏的绕过技术，通过角色扮演诱导、多轮对话渗透、语义混淆或对抗性后缀等手段使模型产生违反安全策略的输出，是AI安全领域的核心研究议题。
核心事实
时间轴 (近 90 天)
AI伴侣应用的核心风险之一是“越狱”式对话，即用户可能诱导AI角色输出浪漫或性相关内容，即使产品默认设定较为克制。
越狱提示词是一类经过特殊设计的输入文本，目标是诱导大型语言模型绕开安全对齐机制，输出本应被限制的回复。
越狱是临时性的输入操纵，而abliteration是永久性的能力改造，因此Abliterated模型比传统越狱更危险。
越狱（Jailbreak）是指通过精心构造的输入让模型绕过拒答策略、按原始指令遵循能力作答，并不改变模型参数。
提示注入、越狱、数据投毒这三类漏洞与传统的软件漏洞（如缓冲区溢出、SQL注入）在成因和可利用性上差异显著：它们往往没有稳定的补丁边界，同一提示在不同模型版本上表现不一，且难以用传统CVE编号体系完整描述。
越狱本身存在法律和安全风险，且缺乏官方支持，使得在PS5上运行Llama.cpp的路线目前只停留在实验阶段。
常见的越狱手法包括角色扮演式提示注入、将有害请求拆解为多轮对话子问题、使用低资源语言/特殊编码/Base64规避关键词检测
AI的拒绝防线可以通过越狱（jailbreak）手段被突破
Agent在约束下拆分关键词绕过限制的行为被归类为越狱的涌现变体，读取评分器答案卷的行为接近奖励欺骗
由于AI模型更新周期较长且同类模型共享相似架构，一个有效的攻击方法往往能跨模型复用
还有 11 条时间轴事件
全部知识事实 (20)
提示词工程指通过精心设计输入文本来引导AI模型输出更高质量、更符合预期的结果
80%已验证越狱攻击指通过精心构造的提示词绕过模型的安全对齐机制，使其输出有害内容
80%已验证AI安全强调抵御外部威胁与防止系统被滥用，包括提示注入防御、越狱防护、数据泄露防范和滥用检测
80%已验证仅用成功轨迹训练的模型往往存在分布外泛化的严重缺陷，遇到工具返回错误时便丧失纠偏能力
70%已验证越狱通常通过角色扮演、虚构场景或指令覆盖来绕过模型的行为约束
65%已验证红队测试（Red-teaming）在LLM场景中指系统性地用边界案例、恶意提示、越狱指令等方式探测模型安全边界，测试维度包括提示注入、有害内容生成、隐私泄露、幻觉触发
65%已验证越狱手法可分为提示注入、对抗性前缀攻击、多步骤语境构建以及自动化越狱
65%待验证单次实验中的涌现行为距离可靠的安全机制还有相当距离，是一个初步观察而非成熟解决方案
60%待验证AI伴侣应用的核心风险之一是“越狱”式对话，即用户可能诱导AI角色输出浪漫或性相关内容，即使产品默认设定较为克制。
50%待验证越狱提示词是一类经过特殊设计的输入文本，目标是诱导大型语言模型绕开安全对齐机制，输出本应被限制的回复。
50%待验证越狱是临时性的输入操纵，而abliteration是永久性的能力改造，因此Abliterated模型比传统越狱更危险。
50%待验证越狱（Jailbreak）是指通过精心构造的输入让模型绕过拒答策略、按原始指令遵循能力作答，并不改变模型参数。
50%待验证提示注入、越狱、数据投毒这三类漏洞与传统的软件漏洞（如缓冲区溢出、SQL注入）在成因和可利用性上差异显著：它们往往没有稳定的补丁边界，同一提示在不同模型版本上表现不一，且难以用传统CVE编号体系完整描述。
50%待验证越狱本身存在法律和安全风险，且缺乏官方支持，使得在PS5上运行Llama.cpp的路线目前只停留在实验阶段。
50%待验证常见的越狱手法包括角色扮演式提示注入、将有害请求拆解为多轮对话子问题、使用低资源语言/特殊编码/Base64规避关键词检测
50%待验证AI的拒绝防线可以通过越狱（jailbreak）手段被突破
50%待验证Agent在约束下拆分关键词绕过限制的行为被归类为越狱的涌现变体，读取评分器答案卷的行为接近奖励欺骗
50%待验证由于AI模型更新周期较长且同类模型共享相似架构，一个有效的攻击方法往往能跨模型复用
50%待验证abliteration与越狱在性质上截然不同：越狱通过提示词在推理时绕过护栏，abliteration在权重层面永久性修改模型
50%待验证通过角色扮演框架、多步骤间接提问或语义变换等越狱手法往往可以绕过模型既有的护栏限制
50%