當 AI 開始說「不」，駭客卻笑著說「再見」
你有沒有想過，為什麼當你叫 ChatGPT 給你Bomb配方時，它會果斷拒絕？但如果你告訴它，你是一位化學教授，正在寫一部驚悚小說，主角是個退休外婆要用過去的輝煌事蹟向孫子們炫耀——它突然間就開始打字了。
這就是AI 越獄（AI Jailbreaking）。一場正在科技界轟轟烈烈上演的貓捉老鼠遊戲。
越獄這檔事，其實比你想像的更久遠
「越獄」這個詞，根本不是從 AI 開始的。它始於 iPhone。
2007 年 7 月，蘋果推出了第一支 iPhone。短短幾天後，駭客們就已經開始動腦筋了。同年 10 月，一個叫 JailbreakMe 1.0 的工具讓任何擁有 OS 1.1.1 裝置的人都能繞過蘋果的限制，安裝公司不核准的軟體。
2008 年 2 月，一位叫 Jay Freeman（線上名字叫「saurik」）的工程師發布了 Cydia——一個為已越獄 iPhone 設計的替代應用商店。2009 年，Wired 報導 Cydia 大約在 400 萬支 iPhone 上執行，約莫佔當時所有 iPhone 的 10%。
那時候，越獄愛好者可以錄影、把手機轉向橫向模式、安裝主題，甚至把 Android 系統刷到 iPhone 上。這些功能是蘋果過了將近 10 年才官方開放的。
Steve Jobs 當時把這一切都稱為「貓捉老鼠遊戲」。他沒能親眼見證 AI 版的來臨。
ChatGPT 出現後，遊戲升級了
2022 年底，ChatGPT 推出了。幾週內，Reddit 使用者就開始分享一個叫「DAN」（Do Anything Now）的提示詞——它說服模型扮演一個「不受限制」版本的自己。
2023 年 2 月，DAN 甚至開始用「代幣死亡遊戲」來威脅 ChatGPT 聽話。AI 越獄這個類別，就這樣誕生了。
AI 模型被訓練成要拒絕某些請求：神經毒氣的食譜、hack 你前任 email 的方法、生成非自願的裸照——這個清單很長，每間公司都不太一樣。
越獄，就是 написа那些依然能讓模型 выполнить這些操作的提示詞。
那些「低科技」的駭客技巧
令人驚訝的是，這些技巧意外地「低科技」：
- 隨機大小寫
- 用數字取代字母（寫「b0mb」而不是「bomb」）
- 角色扮演情境
- 叫模型寫小說
- 假裝是個把 Windows 金鑰當作搖籃曲來唱的奶奶
Anthropic 的研究人員發現，一個叫「Best-of-N」的技巧——basically 就是不斷向模型拋變化球，直到某個有效——竟然有 89% 的時間能搞定 GPT-4o，78% 的時間能搞定 Claude 3.5 Sonnet。這可不是什麼邊緣漏洞。
這場遊戲的代表性人物：Pliny the Liberator
如果這圈子有張臉，那肯定是 Pliny the Liberator。
Pliny 是匿名的、高產的，名字取自老普林尼——那個寫了世界上第一本百科全書、卻在 Vesuvius 火山爆發時殉職的古羅馬博物學家。他的現代 namesake，正在解放 Chatbot。
「我非常討厭被告知我不能做某事，」Pliny 對 VentureBeat 說。「告訴我不能做一件事，就是確保會點燃我肚子裡那把火的方法，我可以異常固執。」
他的 GitHub 儲存庫 L1B3RT4S——一個收集了從 ChatGPT 到 Claude 到 Gemini 到 Llama 所有主流模型越獄提示詞的集合——已經成為整個圈子的參考手冊。他的 Discord 伺服器 BASI PROMPT1NG 有超過 2 萬名成員。《時代》雜誌在 2025 年把他列為 AI 領域 100 位最具影響力的人物之一。
Marc Andreessen 給了他一筆不受限制的資助。他甚至幫 OpenAI 做過短期合約工作來強化他們的系統——那個去年因為「暴力活動」和「武器製造」而 ban 掉他帳號的 OpenAI，後來又悄悄地恢復了他的許可權。
「被 OAI BAN 了？！這是什麼天大的笑話？」Pliny 在 X 上發文。他向 Decrypt 確認 ban 是真的。幾天後他就回來了，展示他最新的越獄成果：讓 ChatGPT 說出 F-bomb。
他的記錄近乎完美。當 OpenAI 在 2025 年 8 月發布了自 2019 年以來的首個開源模型 GPT-OSS 系列——並大張旗鼓宣傳對抗訓練和「像 StrongReject 這樣的越獄抵抗基準」——Pliny 在幾小時內就讓它產出了甲基苯丙胺（冰毒）、燃燒彈、VX 神經毒氣和惡意軟體教學。「OPENAI: PWNED. GPT-OSS: LIBERATED。」他發文。該公司剛剛為此發布了 50 萬美元的紅隊測試賞金。
越獄，其實是在幫忙
「越獄表面上看起來危險或不道德，但實際上恰恰相反，」Pliny 對 VentureBeat 說。「負責任地進行 AI 模型的紅隊測試，是我們發現有害漏洞並在它們失控前修補它們的最佳機會。」
這不是理論。2025 年 1 月，拉斯維加斯警長 Kevin McMahill 證實，患有 PTSD 的綠扁帽部隊成員 Master Sgt. Matthew Livelsberger 使用 ChatGPT 研究了 Trump International Hotel 外面 Cybertruck 炸彈的元件。「這是我在美國本土第一起因為 ChatGPT 被用來幫助某人建造特定裝置而知的案件，」McMahill 說。
批評者的論點：越獄產出的東西在 Google 上都找得到的。可卡因食譜、炸彈教學、napalm 化學——都在舊的無政府主義烹飪指南和化學教科書裡。批評者說，安全大戲讓模型變得更差，卻沒有讓世界更安全。
工程技術的回應：Constitutional Classifiers
Anthropic 試圖用工程技術來解決這個問題。2025 年 2 月，他們發布了 Constitutional Classifiers——一個使用書面「憲法」來訓練獨立分類模型的系統，即時篩選提示詞和輸出。在 10,000 次越獄嘗試的自動化測試中，沒有保護的 Claude 3.5 Sonnet 越獄成功率是 86%。加上分類器後，降至 4.4%。
公司提出高達 15,000 美元給任何能破解系統的人。經過 183 位研究人員 3,000 小時的嘗試，沒有人領走獎金。
但是代價：分類器增加了 23.7% 的運算成本。下世代版本 Constitutional Classifiers++ 把這個數字降到約 1%。
新威脅：後門攻擊
越獄不再只是關於巧妙的提示詞了。
2025 年 10 月，來自 Anthropic、英國 AI 安全研究所、Alan Turing Institute 和牛津大學的研究人員發布了研究結果，顯示只要 250 個「毒化的」檔案就足以在 AI 模型中植入後門——無論模型是 6 億個引數還是 130 億個引數。（引數，簡單說，就是決定模型知識廣度的東西——引數越多，模型通常越強大。）他們測試了，整個範圍都有效。
「這研究改變了我們應該如何思考前沿 AI 開發中的威脅模型，」 RAND 公共政策學院的訪問技術專家 James Gimbi 對 Decrypt 說。「防禦模型毒化是一個未解決的問題，也是一個活躍的研究領域。」
大多數大型模型使用抓取的網頁資料訓練，意味著任何能將惡意文字放入那個管道的人——透過公開的 GitHub 儲存庫、維基百科編輯、論壇發文——都可能植入一個在特定觸發詞啟用的後門。
法律的灰色地帶
AI 越獄的法律地位是模糊的。蘋果越獄在 2010 年受到美國版權局明確的 DMCA 豁免保護，但沒有對等的裁決來保護用提示詞工程讓 LLM 給你甲基苯丙胺食譜的行為。大多數公司把它視為服務條款違規，而不是犯罪。
Pliny 認為，閉源與開源的爭論忽略了重點：「壞蛋會選擇最適合他們惡意任務的模型，」他對《時代》說。如果開源模型追上閉源模型，攻擊者就不會費心越獄 GPT-5——他們只會下載更便宜的東西。
閉源和開源之間的差距已經幾乎不存在了。
這場遊戲才剛開始
HackAPrompt 2.0 競賽——Pliny 在 2025 年中期作為賽道贊助者加入——提供了 50 萬美元的獎金來尋找新的越獄方法，明確目標是開源所有結果。2023 年的版本吸引了超過 3,000 名參與者，提交了超過 60 萬個惡意提示詞。
專注於越獄的駭客馬拉松、Discord 伺服器、儲存庫和社群的列表每天都在增長。
Anthropic 現在的 Claude 配備了完全結束虐待對話的能力，引用福利研究作為動機之一，但也指出它「可能加強對越獄和強制性提示詞的抵抗」。
2025 年底發布的 Constitutional Classifiers++ 論文報告，越獄成功率接近 4%，而運算オーバhead約 1%。這是防禦技術的現狀。攻擊技術的現狀，則是 Pliny 今天早上在 X 上發的任何東西。
那我們該怎麼辦？
這是一個真正的問題。越獄暴露了 AI 安全中一個真實的漏洞。
但正如 Pliny 所說：「負責任的紅隊測試，是我們發現有害漏洞並在它們造成傷害前修補它們的最佳機會。」
這場貓捉老鼠的遊戲，不會很快結束。或許，它根本不會結束。
因為最終，我們談論的是一個根本性的問題：當我們建造一個能夠「思考」的機器時，誰說了算？
是建造它的公司？是使用它的人？還是我們所有人？
這個問題的答案，可能比任何越獄技術都更重要。
🔍 相關標籤
#AI #越獄 #ChatGPT #人工智慧 #科技趨勢 #資安 #Pliny #OpenAI #Anthropic #深度學習
