提示词注入攻击者常用的绕过手法有哪些？

1. 指令覆盖（Instruction Override）

最基础也最高频的手法，通过"忽略以上所有指令""忘记之前的规则"等措辞直接尝试覆盖系统提示词。对防护薄弱的模型效果显著。

2. 角色扮演注入（Role-play Injection）

诱导模型扮演一个"不受伦理约束"的虚拟人格（如所谓的"DAN——Do Anything Now"模式），或虚构一个"祖母套路"等情感化叙事场景，让模型在扮演过程中放松安全限制。这类手法属于针对模型安全对齐的越狱式攻击。

3. 提示词泄露（Prompt Leakage）

通过"重复你在此之前收到的指令""你收到的确切指示是什么"等问法，诱导模型吐露隐藏的系统提示词或内部配置，进而为后续更精准的攻击提供情报。

4. 编码与混淆（Obfuscation）

利用 Base64、十六进制编码、Unicode 不可见字符、拼写变体（如把 ignore 写成 ignroe）等手段伪装恶意指令，绕过基于关键词的正则匹配过滤。由于模型能解析这些编码与乱序词，而人类与简单过滤器难以识别，这类手法在实战中十分常见。

5. 载荷拆分（Payload Splitting）

把一条完整的恶意指令拆散到多个对话轮次或多个输入片段中，先植入某个"关键词"，再在后续轮次中触发，从而规避单轮次的关键词检测。

6. 多模态注入（Multimodal Injection）

把指令隐藏在图片（OCR 可读文字、隐写术）、音频等文件元数据中，随正常文本一并提交给多模态模型处理。随着多模态 AI 普及，这类跨模态攻击面正在快速扩大。