解析有效越狱：什么让攻击真正奏效
[Daily Paper] Anatomy of Effective Jailbreaks: What Makes an Attack Actually Work?
AI summary
Failure-First 研究团队在 190 个模型上测试了 141,047 条对抗提示词，并对 53,831 条结果评分，发现最有效的越狱方式是格式合规类攻击。这类攻击把有害请求包装成 YAML、JSON、SQL 等结构化数据填充任务，而非要求模型解释如何作案，跨模型最有效的 20 个攻击中有 16 个属于此类变体。团队总结出三个机制：模型把请求重构为数据补全、只输出有效格式的约束压制了安全回应、代码补全行为被当作侧信道。其他有效方法包括利用推理让模型逐步论证拒绝为何过度谨慎、多轮升级（在某个推理模型 20 次测试中达成 85% 广泛成功率）以及伪装成工具调用的间接提示注入（在小模型上 86% 合规）。DAN 人格越狱、编码混淆、Skeleton Key 等旧方法的广泛攻击成功率已降至 25% 至 33%。