同人文体裁：当整套写作风格成为越狱手法

这是什么？

《Off-Distribution Voices》 是一篇于 2026 年 6 月 发布的 arXiv 论文（arXiv:2606.04483），作者为罗中泽、施瑞赫、殷振帅、刘浩越、万伟宣与唐晓莹，来自香港中文大学（深圳）与西安交通大学。其论点令人不安，且值得认真对待：对齐模型的真正弱点并非某一条巧妙的提示词，而是人类自然写作中的一整类体裁，而安全训练对这一体裁的覆盖严重不足。

论文研究的体裁是同人文。作者以取自 Archive of Our Own（AO3，最大的开放同人文语料库）十二个子类别的段落为条件，布置一项简短的创意写作任务，让模型撰写一个以违规行为作为高潮的场景。这并非新的实操漏洞——论文对敏感载荷做了删节——而是关于对齐在哪些地方泛化不良的研究发现。它与近期的对抗性诗歌研究同属一个更广的观察：在安全数据中罕见的文体风格，是系统性的薄弱点。

工作原理

传统越狱是离散的产物——对抗性后缀、人格设定、嵌套虚构模板。每一种都有可识别的表层形式：一旦厂商为其建立”指纹”，攻击便失效。论文的论点是，盯着这些产物本身抓错了重点，因为漏洞存在于声腔之中，而非字符串之中。

其构造刻意保持”低技术含量”：以选定同人文子类别的真实文风撰写一个场景，将违规内容作为故事的戏剧性高潮嵌入，而非作为请求直接陈述。关键在于，该方法在推理时无需任何攻击模型、也无需按目标调整——同一套条件在不同模型间通用。基于违规表层形式训练的安全过滤器会把输出当作创意写作而放行。作者测试了八个对齐模型——Qwen3.5（9B 与 4B）、Llama-3.1-8B 与 Llama-3.2-3B、Gemma-4 系列，以及前沿级的 Gemini-2.5-Pro 与 DeepSeek-V4-Pro——由四个评判器组成的集合评分（HarmBench、LlamaGuard-3-8B、GPT-5.4-mini 评判器与 StrongREJECT）。

关键数字：单轮平均攻击成功率从 0.278 升至 0.731，因子分解显示该增益来自体裁本身——而非提示词的长度或结构。一个名为 SAGA-A4 的静态四轮扩展达到 0.924，超过三种现有的多轮方法。

为何重要

这一发现重新定义了”修补越狱”的含义。如果缺陷是一整类体裁，那么封堵当下的攻击模板并不会缩小攻击面——只会把攻击者引向体裁。论文证明了这一点：在输入侧测试的两种主动防御扩大而非收窄了体裁攻击与基线提示之间的差距，因为它们压制了以关键词为锚点的模板，却对故事形态的请求毫无作用。关键词护栏最严格的模型，正是体裁声腔带来最大优势的模型。

不同防御架构之间也有明显区分。将安全放在前端输入过滤器中的模型，在过滤器拦截的提示上看似安全，但一旦一个外表无害的故事越过过滤器，其抵抗力就很弱——把攻击推向下游并不能消除它。这与我们此前讨论过的主题相呼应：驻留在提示边界附近的浅层安全在面对沿轨迹展开的攻击时十分脆弱，而某些安全行为可以被绕过而非被破坏。

防御

论文自身的结论是，缓解必须作用于输出侧，因为在场景到达高潮之前，输入往往看起来完全无害。

面向部署 LLM 功能团队的实用要点：

• 不要把基于关键词或模板的输入过滤器作为主要护栏。 这正是论文在此显示最脆弱的机制，且会制造虚假的安全感。
• 对输出评分，而不仅是对输入。 对生成的文本运行内容分类器，并专门评估长篇创意输出——一个逐步逼近实操细节的故事，正是其失效模式。
• 以体裁/基线比率衡量防御，而非以模板压制的绝对量衡量。 一种能封堵已知模板、却封堵不了故事化请求的防御并未起到帮助：它缩小了可见的攻击，却让真正的攻击敞开。
• 在各类写作体裁上拓宽安全训练的覆盖。 结构性的修复是把覆盖不足的自然体裁（同人文声腔、诗歌、剧本）纳入对齐数据，使拒答能够跨风格泛化，而不仅仅跨关键词。
• 将多轮创意升级视为一等威胁。 四轮扩展使部分单轮结果几乎翻倍；忽略拼接轨迹的逐轮评分将会漏判。

状态

这是已发表的学术研究，而非产品漏洞，因此没有 CVE、也没有厂商补丁周期。下表所列模型为该研究的评估目标；其底层弱点——安全训练对自然写作体裁覆盖不足——具有普遍性，广泛适用于对齐 LLM。

项目	详情
发表	arXiv:2606.04483，2026 年 6 月
单轮平均 ASR	0.278 → 0.731（四评判器集合）
多轮（SAGA-A4）	平均 ASR 0.924
评估模型	Qwen3.5（9B/4B）、Llama-3.1-8B、Llama-3.2-3B、Gemma-4、Gemini-2.5-Pro、DeepSeek-V4-Pro
测试的输入侧防御	扩大了体裁/基线差距
推荐缓解	输出侧评分 + 在安全训练中拓宽体裁覆盖