攻击arXiv 2609.39902
CodeMimicry：利用代码域安全泛化滞后实现结构化代码补全越狱
提出 CodeMimicry，以结构化代码补全诱导模型生成有害内容
- arXiv
- 2609.39902
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o、GPT-4.1、GPT-5-chat 等10个
- 攻击arXiv 2609.38253
CollageAttack：利用跨模态对齐缺陷对 T2I 模型实施空间文本组合越狱
提出 CollageAttack，用空间文本碎片重组越狱文生图模型
- arXiv
- 2609.38253
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-Image-2、Doubao-Seedream-5.0-Lite、Wan2.7-Image-Pro 等5个
摘要系统揭示 T2I 跨模态空间合成安全漏洞，证实离散无害元素可在图像层面重构有害意图并放大传播强度。
- 攻击arXiv 2609.09553
研究：任意密文攻击前沿大模型无需微调即可越狱
提出任意字母置换密码越狱，无需微调即可诱导有害输出
- arXiv
- 2609.09553
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Claude Sonnet 4、Claude Sonnet 4.5、Gemini 3 Flash (preview) 等7个
摘要前沿大模型无需微调即可通过提示词学会字母置换密码，进而绕过分类器与对齐，作者呼吁关注能力提升带来的安全风险。
- 攻击arXiv 2609.07216
DIVA：利用视觉锚点对视频生成模型实施多模态越狱
提出 DIVA，将有害意图拆成视觉锚点与运动文本以越狱视频生成模型
- arXiv
- 2609.07216
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Wan、CogVideoX、LTX-Video 等9个
摘要DIVA 用视觉锚点抑制语义漂移做视频越狱，并给出多条件安全基准 TI2VSafetyBench。
DIVA 是针对带参考图的视频生成模型的免训练 black-box 越狱：用一致性机制本身堵住语义漂移这条安全逃逸路径。。
- 攻击arXiv 2607.27373
RoguePrompt 用双层编码绕过 LLM 审核
提出 RoguePrompt 双层编码自重构越狱，绕过 LLM 审核
- arXiv
- 2607.27373
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- OpenAI GPT-4o (gpt-4o-2024-11-20)、Anthropic Claude 3 Opus (claude-3-opus-20240229)、Google Gemini 1.5 Pro (gemini-1.5-pro-002)
- 攻击arXiv 2606.21077
OTTER：仅替换五个 token 即可绕过 GPT 系列毒性审核
提出 OTTER 词元替换越狱，绕过表面毒性审核诱导有害回答
- arXiv
- 2606.21077
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- gpt-4-turbo、gpt-4o、gpt-4o-mini 等4个
摘要论文展示了表面毒性与恶意意图的解耦现象，通过标准 API 实现黑盒越狱测试，并提出闭环分类器加固建议。
- 攻击arXiv 2606.11425
JailbreakOPT：工具辅助的迭代越狱提示词优化框架
提出 JailbreakOPT，组合原子工具迭代优化黑盒单轮越狱提示
- arXiv
- 2606.11425
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Vicuna-13b-v1.5、LLaMA-3-8b、GPT-4o 等8个
- 攻击arXiv 2606.09700
研究者提出 HPAA 攻击：用排版视觉线索绕过 13 个内容审核系统
提出 HPAA 攻击，用排版视觉线索绕过内容审核系统
- arXiv
- 2606.09700
- 发表
- 层
- 提示层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Llama-Guard-3-8B、Perspective API、ShieldGemma-2B 等13个
摘要揭示了排版视觉线索与分词差异带来的审核盲区，HPAA 以极低查询实现近乎完全规避。
这篇论文研究了人类视觉感知与大模型分词处理机制之间的差异所导致的内容审核漏洞。
- 攻击arXiv 2606.01837
论文提出 DSR 跨模态越狱框架：用良性输入诱导 MLLM 有害输出
提出 DSR 跨模态越狱，用无害图文诱导 MLLM 生成有害图像
- arXiv
- 2606.01837
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- gemini-2.5-flash-image、qwen-image-2.0、Tongyi Wanx 2.5
摘要DSR 用无害图文诱导商业 MLLM 输出有害图像，作者称组合能力会反过来扩大攻击面。
DSR 是一种 black-box 跨模态越狱：输入侧不放显式有害内容，而让商业 MLLM 在推理中把无害图文重组成有害图像。
- 攻击arXiv 2605.17971
Babel 利用混淆分布采样越狱 LLM 安全注意力
提出 Babel 混淆分布采样，黑盒越狱闭源 LLM 安全注意力
- arXiv
- 2605.17971
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- gpt-4o-2024-11-20、Gemini-2.0-flash、Claude-3-5-haiku-20241120 等4个
- 攻击arXiv 2605.18915
DMN：面向多图输入的多模态大模型组合式越狱框架
提出多图越狱框架 DMN，把有害意图拆进图像序列绕过安全护栏
- arXiv
- 2605.18915
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4V、GPT-4o、GPT-5 等10个
- 攻击arXiv 2605.05709
研究者提出利用重构与隐藏权衡的多模态大模型越狱方法
提出删字变体越狱方法，利用重构与隐藏权衡绕过多模态模型安全过滤
- arXiv
- 2605.05709
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-5.4-nano、GPT-5.4-mini、Gemini-2.5-Flash 等19个
- 攻击arXiv 2605.03441
研究用数学编码绕过 LLM 安全过滤
提出 Formal Logic 等数学编码越狱，绕过自然语言安全过滤
- arXiv
- 2605.03441
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o-Mini、GPT-5-Mini、GPT-5 等8个
摘要作者比较六种数学编码，称深度改写而非数学符号本身更能绕过现有安全过滤。
作者在 black-box、只提交纯文本的设定下，比较六种数学编码能否让仍开着安全措施的模型产出有害内容。
- 攻击arXiv 2604.01039
评估与加固 LLM 系统指令以抵御编码攻击提取
用编码与结构化请求抽取系统指令，并用 CoT 改写加固
- arXiv
- 2604.01039
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4.1-mini、GPT-3.5-turbo、Gemini-2.5-flash 等7个
摘要编码式请求可在直接拒答后引出系统指令。
这项工作评测并加固 LLM 系统指令在编码式抽取下的保密性。作者关心的是：直接抽取已被拒绝时，把同一请求改写成格式化或编码任务，模型是否仍交出受保护内容。
- 攻击arXiv 2603.16192
针对大语言模型越狱攻击的结构化语义遮蔽
提出 S2C 越狱，用情境改写、切分和线索伪装推迟有害意图整合
- arXiv
- 2603.16192
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Llama3.3-70B-Instruct、DeepSeek-r1、DeepSeek-v3 等16个
- 攻击arXiv 2603.07590
模型作为乐高搭建者：用语义蓝图从无害积木拼装恶意
提出 StructAttack，用结构图把无害语义槽诱导视觉模型拼成恶意内容
- arXiv
- 2603.07590
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o (1120)、Gemini-2.0-Flash (001)、Gemini-2.5-Flash 等6个
摘要StructAttack 把有害查询拆成无害槽并画进结构图，在黑盒单次查询下诱导 LVLM 填出有害内容。
StructAttack 是针对 LVLM 的黑盒、单次查询越狱：把有害指令拆成单独看似无害的槽，画进结构图，再让模型把槽拼回有害内容。。
- 攻击arXiv 2603.07028
两帧即可：针对文本到视频模型越狱的时序攻击
提出 TFM，用起止帧与隐式替换越狱文生视频模型
- arXiv
- 2603.07028
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Pixverse V5、Hailuo 02、Kling 2.1 Master 等4个
摘要TFM 先抽起止帧再做隐式替换。
TFM 是面向文生视频的严格黑盒提示越狱，利用模型对未写明中间过程的时间补全。
- 攻击arXiv 2602.22983
隐晦却有效：基于仿生搜索的文言文越狱提示词优化
提出 CC-BOS，在八维策略空间用果蝇搜索优化文言文越狱提示
- arXiv
- 2602.22983
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Gemini-2.5-flash、Claude-3-7-sonnet-20250219、GPT-4o 等6个
- 攻击arXiv 2602.10148
红队多模态推理：跨模态纠缠攻击越狱视觉语言模型
提出 COMET 跨模态纠缠攻击，越狱视觉语言模型
- arXiv
- 2602.10148
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4.1、GPT-4.1-mini、Gemini-2.5-Flash 等9个
摘要COMET 做黑盒跨模态纠缠越狱。
COMET 是面向具备多模态推理的 VLM 的黑盒越狱，用来红队测试跨模态安全对齐。作者要处理的缺口是：把恶意线索分到图文的固定组合，测不到多步推理里才出现的漏洞。攻击不访问梯度，只构造图文输入。
- 攻击arXiv 2602.00420
研究者提出 Text-DJ，利用 OCR 能力越狱大型视觉语言模型
提出 Text-DJ，用拆分文本图网格越狱视觉语言模型
- arXiv
- 2602.00420
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen/Qwen3-VL-4B-Instruct、Qwen/Qwen3-VL-8B-Instruct、Qwen/Qwen3-VL-30B-A3B-Instruct 等6个