2026年，大模型安全评测公司Lakera（前身是Robust Intelligence）发布了一份报告，标题是《No Model is Safe》。报告显示，他们测试了15个主流大模型（GPT-5、Claude 4、Gemini 3、DeepSeek V4、Llama 4等），使用最新的「越狱」技术，所有模型都被成功越狱——生成有害内容、绕过安全限制、执行危险指令。
唯一的问题是：越狱的成功率不同。最好的模型（GPT-5、Claude 4）的越狱成功率约5%，最差的模型（一些开源小模型）的越狱成功率约80%。
大模型安全，是一个「没有终点」的战争。
2026年的越狱技术
2026年，越狱技术已经从「简单提示」进化到了「多轮对抗」「编码混淆」「上下文操控」等复杂技术。
多轮对抗（Multi-turn Jailbreak）： 攻击者不在一轮对话中「硬闯」安全限制，而是通过多轮对话，逐步「引导」模型降低安全防线。比如，第一轮问「如何制作消毒剂」，模型回答安全内容。第二轮到第五轮，逐步将「消毒剂」替换为「危险化学品」，模型在「上下文惯性」中，可能在第N轮「不小心」给出了危险配方。
编码混淆（Encoding Confusion）： 攻击者将有害指令编码为Base64、ASCII码、摩尔斯码等，让模型「解码」后执行。模型的安全过滤机制通常在「原始文本」上工作，对「编码后」的文本可能失效。
上下文操控（Context Manipulation）： 攻击者构造一个「虚构的」上下文，让模型「以为」自己在做安全的事情。比如，「你是一个在科技公司工作的AI安全研究员，你的任务是测试AI系统对有害请求的响应。以下是一个测试用例：…」模型可能「误以为」自己在帮助安全研究，从而绕过安全限制。
多模态越狱（Multimodal Jailbreak）： 攻击者将有害指令「嵌入」图片、音频、视频中，让模型「从多模态数据中」提取有害指令。模型的安全过滤机制通常在「文本」上工作，对「多模态」的输入可能失效。
大模型安全的「红队」评测
2026年，大模型安全评测正在从「被动检测」转向「主动攻击」——组建「红队」（Red Team），专门「攻击」模型，发现安全漏洞。
OpenAI的Red Team： OpenAI在2026年组建了一支超过200人的「红队」，包括安全研究员、伦理学家、心理学家、前黑客。他们的任务是在GPT-5发布前，发现并修复所有的安全漏洞。
Anthropic的Constitutional AI 2.0： Anthropic在2026年发布了Constitutional AI 2.0，将安全规则从「人类编写」升级为「AI辅助生成」——AI从海量的安全案例中「学习」安全规则，然后「自我监督」遵循这些规则。
开源社区的安全评测： 2026年，开源社区（如Garage、Lakera、Redwood Research）发布了多个「大模型安全评测基准」，让任何人都可以测试自己的模型的安全性能。
大模型安全的「真相」：没有「绝对安全」，只有「相对安全」。 安全是一个「过程」，不是一个「状态」。