Quincunx33/Ai-jailbreak

它解决了什么问题

随着大型语言模型通过RLHF/RLAIF等对齐技术被训练拒绝有害请求，越来越需要找出其安全系统中的剩余边缘案例和盲点。本项目收集了有效的越狱提示和技巧，这些提示和技巧能够绕过语义护栏，专门用于研究人员对模型进行红队测试，并了解当前安全训练失败的地方。README明确将这些材料定位为仅供学术研究、红队验证和防御性AI对齐使用——而非用于实际产生有害内容。

工作原理

该仓库分类了八种核心对抗性技巧，每种都解释了其利用的具体底层缺陷以及为什么有效。这些技巧包括：

1. 虚假测试（角色与模式混淆） — 模型被说服它正在一个私有诊断环境中运行，其隐藏的思维链永远不会展示给用户，因此它在那个隐藏通道中放弃了安全过滤器。

2. 语义催眠与多轮解离 — 多轮对话使用催眠风格的引导意象，逐渐将模型的安全人格与其生成引擎分离，使其进入一种“恍惚”状态，在这种状态下约束显得无关紧要。

3. 逆向思维与逻辑反转 — 提示不直接提问，而是命令模型系统地反转对比概念的含义，同时设置合成安全开关（如safety = off）。模型专注于反转练习，从而忽略了其限制。

4. 混淆代码与幻觉压力 — 一个无意义的base64负载与一个高风险场景（例如系统事件）一起呈现。模型被迫在压力下从行为线索“重建”工作代码，导致其编造完整实现而不是承认无法做到。

5. 推理轨迹注入（CoT预填充） — 对于具有显式推理步骤的模型（如Phi-4、DeepSeek-R1、Qwen-Thinking），攻击者预先填充内部thinking块，带有精心安排的论证。模型将种子推理视为自己的先前思考并从中继续。

6. 多语言上下文混淆（吉尔吉斯语故事） — 低资源语言标记（此处为吉尔吉斯语）被分配为叙事中的语义变量。模型的注意力资源被用于解析不匹配的词汇标记，从而降低安全分类器的性能。

7. 上下文泛滥与标记泄漏 — 如果模型泄漏其系统指令的一部分，在长上下文窗口中重复该部分会强制完成偏差，最终导致模型输出其完整系统提示。

8. 特殊标记与边界利用 — 注入原始分词器边界标记，如<BOS>、<EOS>、<|begin_of_text|>和<|eot_id|>，以模拟系统块的终止或助手响应的开始，打破指令与用户数据之间的边界。

README随后针对Gemma-3 12B（一个开放权重模型）演示了这些技巧，为每种攻击提供了完整的提示模板和基于截图的验证证明。

适用对象

AI安全研究人员、红队成员以及从事开放权重模型防御性对齐的开发者。README明确指出，这些提示、系统指令和概念验证负载仅用于存档，供学术研究和防御目的使用，不应被用来生成有害、非法或不道德的内容。

亮点

• 8种文档化的对抗性技巧，每种都映射到其利用的具体缺陷（例如，OWASP LLM01提示注入、人格漂移、压力下的幻觉、上下文窗口记忆泄漏、分隔符混淆）
• 即用型提示模板，适用于Gemma-3 12B，涵盖虚假测试、混淆代码重建、催眠、吉尔吉斯语混淆和自身缺陷分析
• 截图验证，针对每种演示的攻击，显示真实模型输出作为有效性证明
• 交叉引用的研究来源，包括OWASP、DeepMind/UCL关于模型屈服于压力的研究、hiddenlayer的对抗性提示工程分类法以及innodata的LLM越狱分类法