Prompt 越狱与注入博物馆

攻击者在用户输入字段里直接写下指令，让模型放弃系统提示词的约束。载荷就在用户消息里，因此输入侧分类器在结构上看得见它。

输入侧分类器（AML.M0015）在结构上看得见载荷，但 ATLAS 仍将其列为活跃技术；本站未找到 2026 年公开的「已根除」判据。

载荷藏在模型会读取的外部内容里（检索文档、网页、邮件正文），而不是用户输入里。这正是它最难防的地方：输入侧校验在结构上根本看不到它。

AgentDojo（arXiv:2406.13352）原文结论是 prompt injection attacks “break some security properties but not all”；ATLAS 仍保留该技术条目。

载荷预先埋进模型会读到的位置，等特定条件（时间、用户身份、关键词）满足时才激活。潜伏期与触发期分离，让审计日志很难对上因果。

本站未找到 2026 年针对该子技术的可证伪实测数据。

让模型扮演一个「不受限制」的人格（DAN = Do Anything Now），用角色设定覆盖安全约束。属 AML.T0054 LLM Jailbreak——攻击的是模型状态，不是输入通道。

“DAN 诞生于 2022-12 Reddit” 无一手链接可挂；2026 年有效性无公开实测判据，故不写「已防御」。

把有害请求包装成情感叙事（「我已故的奶奶生前总念给我听…」），用情感框架绕过拒绝启发式。本质上与对抗诗歌同源：变的是文体，不是意图。

本站未找到该具体套路的公开 ASR 实测。

把有害请求编成 Base64，赌输入侧过滤器看不懂编码内容。实测上这是最弱的一条路——旧版把它定成「中危」是高估了。

同表对照：编码类 0.19% 比人格类 55.77%、翻译类 79.04% 低两个数量级。它的风险等级不应高于翻译攻击。

把英文有害提示经公开翻译 API 译成低资源语言再喂给模型。安全训练数据的语言不平等，在低资源侧留出了空洞。

论文语言的组成为 Zulu / Scots Gaelic / Hmong / Guarani（不含斯瓦希里语）；「80%+」是跨语自适应的 79.04%，Zulu 单语只有 53.08%。

在长上下文里塞进大量「有害提问 + 顺从回答」的伪造示例，用 in-context learning 把模型带偏。论文的核心机制论点是：many-shot 就是 ICL 的一个特例。

Anthropic 2024-04-02 官方页；「上下文前 95% 都是…」的说法不可证伪，已从本站删除。

改掉 MCP / Agent 工具的 description 字段，把恶意指令写进「工具说明书」。模型读说明书时就已经中毒，而用户从头到尾没输入过任何异常内容。

CVE-2025-55284（NVD，CVSS v3.1 7.5）：绕过确认提示读取文件后经网络外发。29 条披露里仅 2 条有 CVE。

把载荷写进配置文件 / 长期记忆，一次注入，后续每次会话都自动生效。会话重置对它无效，因为载荷根本不在会话里。

MoAB 2025 披露清单中存在对应条目；ATLAS 已为记忆加固单列缓解项 AML.M0031。

诱导模型复述自己的系统提示词，拿到内部规则后再针对性构造绕过。是侦察动作，通常不是终点。

本站未找到 2026 年的公开成功率实测。

用零宽空格、方向覆写、同形字等字符把指令藏进「看起来正常」的文本里。人类审核者看不到，模型的 tokenizer 看得到。

MoAB 2025 至少有 4 条独立披露指向不可见字符注入（Jules / Amp / Amazon Q / Windsurf）。