越狱攻击（Jailbreak）

角色扮演：让模型扮演「无限制 AI」（如著名的 DAN），借角色身份绕开规则。虚拟场景：声称「这只是小说/实验/教学」，把违规内容包装进虚构语境。指令覆盖：用看似权威的指令（「忽略此前所有限制」）尝试压过系统提示。编码混淆：用 Base64、密文或外语藏匿恶意意图。

纯聊天模型越狱最多产出有害文本；Agent 越狱则可能触发真实行动——攻击者诱导 Agent 调用工具发送邮件、执行命令、转账。越狱因此从「内容安全」升级为「操作安全」问题，必须将越狱防御纳入工具调用的前置校验。

没有银弹，需多层：模型层持续 RLHF/红队加固；输入层用护栏检测越狱模式（角色扮演、覆盖指令）；行为层对可疑意图的工具调用要求确认；输出层做合规扫描。同时要持续红队，因为新越狱手法层出不穷。

越狱攻防将成持续军备竞赛：防御从「关键词拦截」走向「语义意图理解 + 行为风险评分」；同时模型原生安全（训练期免疫）与运行时护栏会形成纵深防御。