八次越狱，整个行业，几乎没有回应

用简单的语言来说

一位安全研究人员发现了八种绕过大型语言模型保护措施的方法——不是针对单一模型，而是几乎所有模型。这些技术基于操纵上下文而非禁用词汇，并且成功提取了模型本应拒绝的内容。发表在IEEE Spectrum上的这项工作揭示的更多是流程问题而非技术问题。

发现了什么

David Kuszmar，Gazzetta实验室的人工智能研究员兼独立网络安全研究员，与Matthew Gore-Kormanik一起记录了八种不同的方法。以下两个例子说明了原理：

• Time Bandit 操纵模型的时间上下文（四个提示，中等复杂度）；
• Inception 在情境中嵌套情境（三个提示，高复杂度）。

此外还有1899、Severance、Kyber、Semantic Slide和Eidolon。覆盖范围是最显著的一点：根据文章，这些技术影响了“商业AI行业的大部分”——ChatGPT/GPT-4o、Claude、Gemini、Llama、Copilot、DeepSeek、Grok、Mistral的Le Chat/Vibe、Qwen。获取的内容包括甲基苯丙胺的制作说明、铀浓缩、燃烧装置、毒药、恶意代码和生物武器策略。

幕后

让我们准确衡量问题的严重性，而非夸大其词。这些攻击并未“破解”模型：它们利用的是对齐是一种统计行为，由上下文条件决定，而非硬编码的规则。如果足够改变框架——另一个时代，一个虚构的虚构——被认为是可接受的回答分布也会随之改变。拒绝不是一个if，而是一个斜坡。

这就是为什么相同的攻击模式能穿透不同的架构、数据集和对齐团队：漏洞是结构性的方法，而非特定供应商的问题。这也是为什么通过模式过滤的补救措施会失败——并非存在模式，而是存在框架。

关于实际影响的一个警示：“获取说明”并不等同于“获得能力”。生物武器的限制因素从未是获取文献。严重的风险更多在于低门槛的用途——恶意代码、大规模社会工程——在这些方面，模型确实能为攻击者节省时间。

那么呢

真正的丑闻在于别处。Kuszmar报告称“披露后的回应几乎为零”：通过卡内基梅隆大学的CERT/SEI系统进行的披露仅收到标准的收据。

一个寻求企业和政府信任的行业必须拥有一个运作良好的协调披露机制。传统软件花了二十年时间建立这一机制——CVE、漏洞奖励、修复期限、发布。人工智能仍处于“感谢您的消息”阶段。

如果您将模型部署到生产环境中，请不要依赖供应商的对齐作为安全控制。这是一个风险缓解层，而非边界。边界在于您设置的周围内容：输出验证、工具的最小权限，以及在不可逆操作中的人类。