同样的文字，不一样的权力：AI 提示词注入中的保留词元实验

一篇题为《Byte Authority》的论文发现，同一段伪造对话标记以保留词元编码发送时，比拆成普通子词更容易攻破 AI 智能体。在 Llama-3.1-8B 上，保留词元时提示注入成功率为 98.2%，拆分后降至 39.7%，低于纯文本注入的 51.6%；Llama-3.1、GLM-4.5 和 Seed-OSS-36B 三个模型的保留身份效应达到 39 到 66 个百分点。Qwen3-8B 因生成思考过程而差距仅 8.1 个百分点，强行关闭思考后升至 49.8 个百分点。研究者在 InjecAgent 和 AgentDojo 上测试了 Qwen3-8B、Llama-3.1-8B、GLM-4.5 和 Seed-OSS-36B，并发现下载量最高的 400 个对话模型中，有 33 种分词器配置未把工具协议词元纳入拆分防御。