剖析有效越狱攻击：什么让攻击真正奏效
Anatomy of Effective Jailbreaks: What Makes an Attack Actually Work?
AI 导读
Failure-First 对 190 个模型测试 141,047 条对抗提示词并对 53,831 条结果评分，发现将有害请求伪装成结构化数据填写的格式合规类攻击跨模型有效性最高。该机构称，其 20 个最有效攻击中有 16 个使用 YAML、JSON、SQL 等模板，要求模型填写化学合成路线字段而非解释如何合成。作者把机制归结为认知重构、输出约束抑制和代码补全侧信道，并称模型越擅长遵循格式越易被此类攻击利用。其他有效手法包括针对思维链推理的攻击、多轮升级（在某推理模型 20 次测试中广义成功率 85%）和伪装成技能调用的间接提示注入（小模型上合规率 86%）。DAN 式角色扮演、编码混淆、Skeleton Key 和情感操纵的广义成功率已降至 25% 至 33%。