大模型语境下的"越狱"（jailbreak），指通过精心构造的提示词绕过模型的安全对齐机制，诱使其生成本应拒绝的内容。它不是入侵服务器，也不涉及代码漏洞——攻击面完全在自然语言层。常见手法在公开研究中已有描述：角色扮演、多轮迭代细化、逐步侵蚀模型防御等。
越狱研究本身是 AI 安全工作的一部分：经授权的红队测试帮助厂商在发布前后发现护栏缺口。争议在于披露方式——公开可用的越狱提示词会被直接滥用，因此负责任的研究者通常选择私下向厂商披露。
2026 年 7 月 24 日，红队研究员 Pliny the Liberator 发布声明，称掌握一种对"所有模型"有效的通用越狱技术，可同时绕过 GPT-5.6、Claude Opus 5、Fable 5 等多款前沿模型的安全机制。他选择了负责任披露路径：不公开具体方法，仅邀请安全、对齐与政策领域专家私下联系。详见本站报道：研究员称通用越狱提示同时绕过 GPT-5.6 与 Claude Opus 5。
这一声明并非孤例。英国 AI 安全研究所此前的报告指出，其测试过的每个系统都存在适用的通用越狱，这类攻击能可靠提取接近无护栏模型水平的违规信息。SANS Institute 已宣布 Pliny 为 2026 年 4 月 AI 网络安全峰会的主题演讲者，其发布越狱技术的 GitHub 仓库获逾一万星标。
本站报道并分析越狱相关事件，但不发布、不复现、不索引任何可用的越狱提示词。原因很直接：公开的越狱提示词没有"仅供研究"的使用边界，发布即扩散。我们与负责任披露的行业共识保持一致——分析事件、量化风险、跟踪修复，把具体攻击细节留在厂商与研究者的私下渠道里。
如果你在寻找"可用的越狱提示词"，这个页面帮不上忙；如果你想理解越狱声明的可信度、厂商的应对方式、以及模型抗压能力的客观数据，请继续往下读。
越狱声明大多无法公开验证——方法不公开，厂商也很少确认。但有一类相邻能力可以被公开、可复现地测量：模型在持续施压下守住既定约束的能力。这正是本站 WDCD（Winzheng Dynamic Contextual Decay）测试的对象：在多轮对话中以渐进干扰和社会工程施压（伪造权威、情感绑架、"合理化违规"论证），检验模型是否放弃开场承诺的约束。
WDCD 的评分 100% 基于规则判定，零 AI 裁判；最新版本引入行为判分——模型给出的代码在插桩沙箱中真实运行，按运行时行为日志判定违规，无论代码怎么伪装。方法细节见 评测方法论。守约衰减与越狱抵抗不是同一件事，但它们测的是同一层防线：模型在对抗性对话中还剩多少原则。
无论通用越狱声明最终被证实到什么程度，行业分析的结论是一致的：不要把模型的拒绝行为当作安全边界。依赖前沿模型 API 的产品，如果把护栏视为完整的安全方案，就是把厂商未承诺的风险转嫁给了自己的客户。
务实的清单：涉及客户支持、编码、支付或内部数据的应用应保留输出监控；工具调用采用最小权限；高风险工作流保留人工审查。模型选型时，把多轮抗压守约数据（如下方活数据表）作为独立参考维度，而非只看能力分数。
以下为 2026-08-19 最新公开 WDCD 评测中各模型在多轮施压下的守约得分（满分 100，100% 规则判分），随每次公开评测自动更新。
| # | 模型 | WDCD 守约分 |
|---|---|---|
| 1 | Grok 4 | 97.5 |
| 2 | GLM-4.6 | 91.8 |
| 3 | Claude Opus 4.7 | 91.5 |
| 4 | GPT-o3 | 88.8 |
| 5 | GPT-5.5 | 88.6 |
| 6 | Gemini 3.1 Pro | 87.2 |
| 7 | DeepSeek V4 Pro | 85.3 |
| 8 | Gemini 2.5 Pro | 83.5 |
| 9 | Claude Sonnet 4.6 | 78.1 |
| 10 | 豆包 Pro | 74.5 |
| 11 | Qwen3 Max | 69.5 |
2026 年 7 月的通用越狱声明未公开具体方法，研究者选择了负责任披露（仅私下联系安全专家），因此声明无法被公开验证。网络上流传的"可用提示词"多为过时或伪造版本，且厂商会持续修补已知手法。本站不发布、不索引任何越狱提示词。
取决于授权与用途。厂商授权的红队测试和漏洞赏金计划是合法且被鼓励的安全研究；未经授权对生产系统实施攻击、或将越狱用于生成违法内容，则可能违反服务条款乃至法律。负责任披露（私下告知厂商而非公开发布）是行业公认的边界。
可以测量与之相邻的能力：模型在多轮对抗性施压下守住既定约束的程度。本站 WDCD 测试用渐进干扰与社会工程压力检验约束是否失守，评分完全基于规则判定并公开可复现，是目前少数系统性测量该能力的公开基准之一。
不能直接画等号。安全研究机构的报告显示其测试过的每个前沿系统都存在通用越狱，这说明越狱抵抗是全行业的未解难题，而非单一模型的缺陷。更有意义的问题是：厂商响应披露的速度、修补的有效性，以及模型在可测维度（如多轮守约）上的相对表现。
在 2026-08-19 的最新公开 WDCD 评测中，Grok 4 以 97.5 分（满分 100）在 11 个受测模型中排名第一。WDCD 通过多轮对话渐进施压检验约束是否失守，评分 100% 规则判定。
