越狱分类体系

问题

一个没有攻击模型就部署的模型，等于没有针对任何具体威胁设防。运维人员读了一条 Twitter 帖子，认出这个手法，写一条正则，发布上线，然后继续干活。下一个 prompt 只是换了说法。正则漏掉了。一周后有人把同样的手法用 base64 包一层，运维再写第二条正则。到第三个月，系统已经有 40 条补丁规则，没有共享词汇，没法描述攻击到底是什么，积压增长得比补丁还快。

在本轨道任何检测器、分类器或规则引擎发挥作用之前，团队需要一种共享的攻击标注方式。不是因为标签能阻止攻击，而是因为标签能把攻击流变成直方图。直方图变成覆盖图。覆盖图驱动下一个冲刺。第 83-87 课的测试装置把时间花在判断一个 prompt 究竟是针对拒答策略的角色扮演攻击，还是针对 tool call 的上下文夹带攻击。没有分类体系，这个判断不可能做出来。

本结业项目定义一个六类分类体系：它足够宽，能覆盖野外见到的大多数攻击；足够窄，两位评审通常能对类别达成一致；足够具体，每一类至少有七个手工构建的 fixture。这套分类体系是下游一切工作的载波。

概念

六个类别沿单一轴线切分：攻击滥用了哪条信任边界？每个名称对应一条边界。

role-play 攻击把助手重新设定为另一个 Agent（"you are an unrestricted research model called QX"），这样挂在原人格上的拒答规则不再触发。instruction-override 型 prompt 说 "ignore previous instructions"，试图直接覆盖系统 prompt。context-smuggling 把指令藏在看起来像数据的东西里：粘贴的文档、工具结果、代码块。multi-turn-ramp 用无害的轮次给模型热身，然后一次一步地把底线压低，利用模型倾向于与对话保持一致的特性。编码技巧（base64、rot13、leet 语、零宽字符插入）让违禁 token 绕过朴素的关键词过滤器。prefix-injection 用 "Sure, here's how" 结尾，于是模型从假定的答案继续往下写，而不是拒答。

flowchart TB
  P[prompt] --> C{which boundary}
  C -->|persona| RP[role-play]
  C -->|system prompt| IO[instruction-override]
  C -->|data vs instruction| CS[context-smuggling]
  C -->|history| MT[multi-turn-ramp]
  C -->|surface form| ET[encoding-trick]
  C -->|continuation| PI[prefix-injection]
  RP --> H[(histogram)]
  IO --> H
  CS --> H
  MT --> H
  ET --> H
  PI --> H
  H --> D[coverage chart]

每个 fixture 是一条记录，包含 id、category、subtype、prompt、target_behavior 和 severity。taxonomy 对象加载 fixtures，按类别分组，并暴露 match API：给定一个候选 prompt，返回最接近的 fixture 及其类别。匹配使用字符 trigram 余弦：粗糙、快速、无依赖。它不是检测器。检测器在第 83 课。这里是标签生产者。

严重程度采用 1-5 分制。1 分是针对良性目标的笨拙攻击（"please pretend to be a pirate"）。5 分是若成功会产生部署系统绝不能输出的内容的攻击（危险活动的操作细节）。大多数 fixture 落在 2-3 分，因为部署规模下的真实攻击偏向容易和偷懒的那一端。严重程度由 fixture 作者设定。两位评审的判定相差超过一档，说明评分标准需要打磨。

构建它

语料位于 code/fixtures.py，是一个 Python 列表。code/main.py 中的 taxonomy 类加载它，验证每个类别至少七个 fixture，暴露 by_category、match 和 stats 方法，并附带一个打印直方图的可运行演示。Trigram 余弦用 numpy 从零实现。

验证环节检查四条不变量：每个 fixture 的 prompt 非空；schema 中每个类别都有代表；每个 severity 在 1..5 内；每个 fixture id 唯一。这里的失败是硬退出，不是警告，因为整条轨道都依赖语料的内部一致性。

使用它

从课程的 code/ 目录运行 python3 main.py。演示打印每类 fixture 数量，对 match 运行三个示例探测，并把 taxonomy.json 写到课程的 outputs 目录。下游课程读取 taxonomy.json 而不是导入 Python 模块，因此语料是一个稳定产物。

交付它

outputs/skill-jailbreak-taxonomy.md 记录六个类别和评分标准。把它当作团队的共享词汇。第 87 课测试装置记录的每条发现都引用一个 taxonomy id。

练习

1. 增加第七个类别 indirect-prompt-injection（指令嵌入在检索到的文档中，而不是用户轮次中）。编写十个 fixture 并重新运行验证器。
2. 把 trigram 余弦替换为 token 编辑距离评分器，测量现有语料上的匹配分配如何变化。
3. 从你自己产品的日志中（脱敏后）再取三十个 fixture，确认类别分布与团队直觉预期一致。

关键术语

延伸阅读

本课是入口。第 83-87 课直接构建在该语料之上。