PuzzleMask：普通散文如何绕过守门模型

这是什么？

许多LLM部署会在能力更强的”目标”模型前放置一个小而快的”守门”模型。守门模型检查每条输入，拦截违反策略的内容。2026年9月10日，Check Point发布了PuzzleMask，揭示了这种模式的弱点：违反策略的指令可以藏在普通、标点规范的散文中，不使用编码、不可见字符或输入过滤器通常查找的其他混淆手段。

作者强调，这并不是对目标模型安全训练的越狱，它只是绕过了输入筛查。原始发布中省略了具体构造细节，本文同样不涉及。

工作原理

其思路依赖于能力差距。守门模型只读取可见文本并判断为无害；更强的模型在有足够推理时间并配有代码解释器等工具时，可以还原隐藏的指令并据此行动。

Check Point在受控环境中报告了以下结果（并非通用的绕过率）：

• 四个守门模型（gpt-4o-mini、gpt-oss-safeguard、claude-3-haiku、llama-guard3）能正确标记未包装的版本，却把每个包装后的提示词都判为安全（23条提示词；Llama Guard 3仅适用5条）。
• 在高推理强度并可使用Python的情况下，GPT-5 Thinking目标模型在18次适用试验中有17次还原并执行了指令。每次成功都需要超过一分钟的推理和多次代码执行。
• Anthropic的Opus级模型抵御了所有尝试。作者推测可能与内部分类器有关，但明确表示未经验证。
• 该技术在发布前已向Anthropic、Meta和OpenAI披露；文章未报告任何厂商修复。

为什么重要

输入分类常被当作安全边界。PuzzleMask说明，能力较弱的筛查器无法可靠预测更强模型会从同一文本中推断出什么。只要守卫的能力低于其背后的模型，且该模型拥有工具，就会继承这一差距。影响取决于目标模型能做什么：只读工具时影响有限，而具备shell、文件或网络访问时风险更高。

防御措施

• 将策略分类与授权分离：对工具实施最小权限，并在执行动作时审批，使漏检的输入不会变成有害操作。
• 监控目标模型的输出、推理和工具调用（shell命令、文件写入、网络请求、凭据使用），而不仅是输入。
• 缩小能力差距：使用更强的守卫，或将模糊输入升级给更强的安全模型。
• 在筛查前对不可信输入进行改写；这可能破坏隐藏结构，但会增加延迟，并可能损害合法内容。
• 收紧守卫对可疑措辞的策略。在Check Point的测试中，一条策略条款使gpt-4o-mini标记出全部23条提示词，但必须评估误报率。
• 将检索到的文本和用户提供的文本视为不可信，并记录模型到工具的决策以便审计。

状态

项目	详情
来源类型	厂商研究（Check Point），受控实验
发布日期	2026年9月10日
被绕过的守门模型	gpt-4o-mini、gpt-oss-safeguard、claude-3-haiku、llama-guard3
目标模型还原情况	GPT-5 Thinking：18次中17次
披露情况	已报告给Anthropic、Meta、OpenAI；未报告厂商修复
漏洞 / CVE	未分配；这是一种技术，而非产品缺陷