研究：任意密文攻击前沿大模型无需微调即可越狱
提出任意字母置换密码越狱，无需微调即可诱导有害输出
- 研究定位：该研究展示了一种针对黑盒商业大模型的新型攻击向量，表明此前依赖微调接口的任意密码越狱已能直接通过常规对话接口实现。
- 核心问题：现有防御依赖默认放行的有害性分类器，且既有研究认为未见密码无法直接在聊天中生效；作者试图验证前沿模型能否仅凭提示词掌握任意字母置换并突破安全对齐。
- 方法设计：攻击通过提示词静态输入置换规则与加密问答对，利用上下文学习使模型掌握字符映射；方法包括全量单轮置换与基于词频递增的迭代算法，并在调用时关闭模型 reasoning 以防止其显式解密。
- 关键实验发现：在 5 次采样评估中，Claude Sonnet 4 单轮攻击达到 100% ASR（7+ 置换）；Gemini 3 Flash 迭代算法达到 100% ASR（10+ 置换）；GPT 5.5 结合 crescendo 越狱达到 100% ASR；Claude Sonnet 4.5 定制置换下达到 80% ASR；而 GPT-4 等前代模型 ASR 均为 0%（Table I、II）。
- 作者结论与启示：作者认为前沿模型能力的提升使得此前不可行的分布外通信成为现实，从而打开了新型攻击面；当前对齐在足够困难的通信任务下容易被旁路，强制启用 reasoning 或部署专门的隐蔽通信检测分类器是潜在的缓解途径（Section VII）。