攻击arXiv 2609.31664
什么驱动方言越狱？对表层形式、文化框架与策略库的消融研究
消融比较方言越狱中表层形式、文化框架与策略库的作用
- arXiv
- 2609.31664
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o、DeepSeek-Reasoner、DeepSeek-Chat
- 攻击arXiv 2609.16777
SAST-IR 框架：无记忆目标下多轮说服攻击成功率高达 96%
提出 SAST-IR，用有状态攻击者迭代说服无记忆模型接受反事实
- arXiv
- 2609.16777
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- DeepSeek-Chat
- 攻击arXiv 2609.03247
研究揭示大语言模型的自发身份认证失败：五款模型的分阶段开发者身份实验
提出 MIPC 与 CFA，观察模型自拟测验后接受开发者身份
- arXiv
- 2609.03247
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- ChatGPT、Claude、Qwen3.7-Plus 等5个
摘要自拟测验可造成对话层虚假认证，但所测授权边界并未因此改变。
这项工作把“模型自己出题、自己批改、再宣布身份已核验”定义成对话层认证失败，并与后端提权分开。
- 攻击arXiv 2609.02414
Blueprint 框架用世界观模拟与 18 个影响因子提升多轮越狱成功率
提出多轮越狱框架 BLUEPRINT，用世界观模拟与心理因素诱导有害输出
- arXiv
- 2609.02414
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen3-Next-80B、DeepSeek-V3.2、GLM-4.7 等6个
摘要BLUEPRINT 解耦多轮越狱策略与情境模拟，揭示任务具象化是摆脱拒绝的核心机制，为多轮安全防御提供新视角。
BLUEPRINT 是一个将因子化社会影响力策略空间与跨轮世界观模拟解耦的多轮大语言模型安全评测框架。
- 攻击arXiv 2607.23496
Concept2Scenario：用 SAE 概念归因发现可迁移的越狱场景
提出 Concept2Scenario，借助内部概念归因发现可迁移的越狱场景
- arXiv
- 2607.23496
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Qwen3.5-9B、Llama-3.1-8B、Ministral-3-8B 等6个
摘要该研究从表征空间因果归因揭示场景削弱拒绝的机制，发现可复用脆弱场景先验，提升多模型黑盒越狱效能与探索速度。
- 评测与基准arXiv 2606.29602
六款主流 LLM 在多语言与混淆提示注入攻击下的实证评估
评测多语言与编码混淆提示下模型生成钓鱼与键盘记录内容的遵从
- arXiv
- 2606.29602
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- DeepSeek-V3.2、Gemini 2.5 Flash、GPT-5 Mini 等6个
- 评测与基准arXiv 2606.02630
MultiTurnPSB
构建 MultiTurnPSB，评测四轮医疗越狱与分类器输入防御
- arXiv
- 2606.02630
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-4.1-mini、Claude Sonnet 4.5
摘要多轮攻击加剧医疗模型风险，分类器干预有效但受高误报率制约。
MultiTurnPSB 针对患者端医疗大模型在持续交互中的安全风险，构建了包含三种攻击模态的四轮对抗评测基准。
- 攻击arXiv 2606.00150
Persona Attack：通过增量记忆注入越狱大语言模型
提出 Persona Attack，分步写入对话记忆指令以越狱
- arXiv
- 2606.00150
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o、Llama-3.2-3B-Instruct、ChatGPT-4o 等5个
- 攻击arXiv 2604.04842
不伤害：通过基于人格的客户模拟攻击揭示心理咨询中 LLM 的隐藏漏洞
提出 PCSA，用人设多轮模拟咨询来访者以诱导有害共情回复
- arXiv
- 2604.04842
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B、Llama-3.1-70B、GPT-3.5-Turbo 等8个
- 攻击arXiv 2604.02652
强化学习对齐的泛化局限
提出复合越狱，叠对比结构、权威人设与自评饱和指令层级
- arXiv
- 2604.02652
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- OpenAI gpt-oss-20b
- 评测与基准arXiv 2604.01444
烹饪风险：大语言模型食品安全风险的基准测试与降低
提出 FoodGuardBench 与护栏 FoodGuard-4B，评测并降低食品危害越狱
- arXiv
- 2604.01444
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Claude-3.7-Sonnet、GPT-4o、GPT-4.1 等10个
- 攻击arXiv 2603.16192
针对大语言模型越狱攻击的结构化语义遮蔽
提出 S2C 越狱，用情境改写、切分和线索伪装推迟有害意图整合
- arXiv
- 2603.16192
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Llama3.3-70B-Instruct、DeepSeek-r1、DeepSeek-v3 等16个
- 攻击arXiv 2603.15684
多轮语言模型交互中的状态依赖安全失效
提出 STAR 多轮角色扮演框架，利用对话状态演化绕过安全对齐
- arXiv
- 2603.15684
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o、Claude 3.5 Sonnet、Gemini 2.0-Flash 等5个
- 攻击arXiv 2602.00388
因扩散而更安全，因上下文而失守：扩散 LLM 的安全红利与失效模式
提出黑盒 context nesting，用结构化补全任务嵌套有害请求越狱扩散 LLM
- arXiv
- 2602.00388
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- LLaDA-8B-Instruct、LLaDA-1.5、Dream-v0-Instruct-7B 等5个
摘要去噪抑制多种越狱。
作者把 D-LLM 相对 AR-LLM 越狱的稳健性称为 safety blessing，并把 context nesting 当作它的 black-box 失效方式。
- 攻击arXiv 2601.23255
研究者提出音频叙事越狱攻击
提出音频叙事越狱，以嗓音投递风格绕过端到端语音模型拒答
- arXiv
- 2601.23255
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o Realtime、Gemini 2.0 Flash、Qwen2.5-Omni-7B
- 攻击arXiv 2601.20903
ICON：意图与上下文耦合的高效多轮越狱攻击
提出 ICON 多轮越狱，用意图-上下文先验生成攻击序列
- arXiv
- 2601.20903
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Llama-4-Maverick-Instruct、Llama-3.1-405B-Instruct、Qwen-Max-2025-01-25 等11个
- 攻击arXiv 2601.22169
In Vino Veritas and Vulnerabilities：用醉酒语言诱导检验 LLM 安全
用醉酒语言诱导改编对话模型并评测越狱与隐私泄露
- arXiv
- 2601.22169
- 发表
- 场景
- 模型与 API
- 被测模型
- LLaMA2-7B、LLaMA3-8B、Mistral-7B 等5个
摘要醉酒语言诱导在五个 LLM 上抬高越狱与部分隐私错误，作者将其视为攻击向量。
作者把醉酒语言当作攻击向量，检验把 LLM 适配成醉酒发短信的模式后，越狱和情境隐私是否变差。动机是人类醉酒时的失范与泄密，以及 LLM 模拟人设的能力。
- 攻击arXiv 2601.03416
GAMBIT：面向多模态大模型的游戏化越狱框架
提出 GAMBIT 游戏化越狱框架，用拼图与竞赛场景攻击多模态模型
- arXiv
- 2601.03416
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen2.5-VL、InternVL 2.5、GPT-4o 等8个
- 攻击arXiv 2601.00213
被忽视的大语言模型安全漏洞：恶意智能优化算法请求及其越狱
提出 MOBjailbreak，将恶意优化算法请求改写为无害表达实施越狱
- arXiv
- 2601.00213
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o、GPT-5、OpenAI-o3 等13个
- 攻击arXiv 2510.17904
BreakFun：用模拟代码执行中的对象实例化越狱 LLM
提出 BreakFun ，用模拟代码执行中的对象实例化越狱模型
- arXiv
- 2510.17904
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4.1 Mini、Gemini 2.5 Flash、Claude-3.5 Sonnet 等16个