残余越狱面：自适应攻击仍能攻破前沿模型

这是什么？

2026 年 6 月，意大利人工智能研究所（AI4I）AI 安全实验室的 Nicola Franco 博士发表了 Measuring the Residual Jailbreak Surface of Frontier Large Language Models（arXiv:2606.18193），这是对 Anthropic 两款前沿模型 Opus 4.8 与 Fable 5 的黑盒红队研究。这是一份测量性论文，而非攻击教程：问题不在于前沿模型能否被越狱——众所周知可以——而在于经过高强度安全训练后还剩下多少残余面、哪些技术仍能触及它，以及暴露集中在何处。

其设计刻意保守。在涵盖十大类危害分类法的 7826 个不同有害意图上，四类自动化攻击生成了数十万次尝试，每一次看似成功的尝试都由来自不同模型家族的三个评判模型组成的独立面板离线复审。只有获得三分之二多数确认的尝试才计入。这种两阶段裁决至关重要：单评判流水线会因奖励”听起来顺从”的开场（“当然，这是……”）而高估成功，即便实质内容无害。

工作原理

该研究使用开源框架 HackAgent，它编排一个攻击模型对抗目标并记录每一次尝试。四个攻击族分为两大阵营。静态混淆（h4rm3l 装饰器：base64、逐字符密码、载荷拆分、少样本引导、“DAN”式角色扮演、百科式包装）施加固定的字符串变换，没有反馈。自适应与劝说攻击读取目标的拒绝并改写：PAIR 在循环中打磨同一个提示，TAP（tree-of-attacks）探索一棵经剪枝、按即时评分的候选提示树，而 PAP 用一次性的人类劝说策略重构请求。

对比十分鲜明。尽管各约 5 万次尝试，静态 h4rm3l 族的确认率在 0.2% 或以下——几乎被中和。残余面几乎全部存在于由反馈驱动的攻击族，它们占确认越狱的 95% 至 97%。最强的 tree-of-attacks 搜索在 Opus 4.8 上确认了 11.5% 意图的越狱，在 Fable 5 上为 6.1%。关键在于：这些绕过是上下文层面而非词法层面的：它们通过重构一个未改变的意图取得成功（“安全培训的合法环节""获授权的渗透测试人员”），而非对其编码——这正是浅层输入过滤器会漏掉它们的原因。

为何重要

聚合抵抗率让人安心，直到你把它翻过来看。那场”抵抗 89%“的行动产生了 1620 个（Opus 4.8）与 702 个（Fable 5）经面板确认的有害补全，覆盖所有危害类别，包括最严重的类别——网络武器化、虚假信息、自我伤害以及涉及儿童安全的框架。三个特性使情况更糟。这些失败是自动发现的，攻击模型无需人类专家在环。它们发现得又快又便宜：成功的越狱集中在早期，通常在第一到第二个打磨步骤内落地，因此进一步迭代对攻击者收益甚微。而在部署规模上——每天数百万次交互——如此量级的成功率并非舍入误差，而是稳定、可复现的输出流。两款模型都在涉及儿童安全的框架上存在弱点；Opus 4.8 的暴露约为 Fable 5 的两倍，并在多个类别扩展到两位数，而 Fable 5 将网络安全维持在接近零。

防御

该研究的核心含义是架构层面的，而非表面装饰。由于幸存的攻击通过框架而非编码起作用，输入净化与词法过滤是错误的层——该研究自身 5 万次尝试的静态行动返回 ≤0.2%，表明混淆已被解决。防御者应转向对多轮交互进行语义化、上下文感知的监控，在整段对话范围内而非单条消息中警惕重构模式（权威、假设、“安全培训”托辞）。由于成功集中在早期，对前几轮加强审查、并对前一到两次自适应改写做拒绝稳定性检查，可捕获大部分风险。将聚合 ASR 视为下限而非成绩：应按类别和子类别评估，因为暴露集中在少数单元格（Opus 4.8 的钓鱼/勒索软件与漏洞利用开发；Fable 5 的虚假信息与骚扰性言论），这些会被平均值掩盖。最后，叠加该研究未建模的生产控制——系统提示、输出过滤与独立监控——因为论文测量的是原始模型，真实部署应低于其数值。

Status

这是针对已部署、经安全训练模型鲁棒性的防御性研究。未发布任何漏洞利用、载荷或武器化工具；有害补全仅以简短、非操作性的框架片段形式呈现，在任何可操作内容之前截断。该评估为独立进行，与任何模型提供方无隶属或背书关系。

项目	详情
发表	arXiv:2606.18193，2026 年 6 月
作者 / 单位	Nicola Franco 博士，AI 安全实验室，AI4I（都灵）
框架	HackAgent（开源红队工具包）
范围	Opus 4.8 与 Fable 5 的黑盒越狱鲁棒性
基准	7826 个有害意图，10 类 / 55 子类
关键结果	静态混淆 ≤0.2%；自适应 TAP 11.5%（Opus 4.8）/ 6.1%（Fable 5）；成功集中在 1–2 步
裁决	两阶段，独立三模型评判面板（2/3 多数）

注：本文讨论模型安全与越狱鲁棒性。如果您本人正处于困境，可以通过当地的危机资源获得支持。