先给结论：越狱专防往往过拟合某一类提示，下一类一来就穿。断路器改的是内部表示：看见有害过程，把激活拧向拒答或不可读状态，等于在生成前短路。有实验把有害输出砍到大约一成三，智能体有害动作砍八成以上，整体能力掉不到百分之一。能力几乎不掉，才配当默认路径。只挡最后一句，过程已经走完，挡的是字不是罪。

为什么「再训一轮拒答」填不上攻击面

痛点是把安全当成输出过滤。过滤看的是最后几个字。字可以绕，过程已经在内部成型。下一类越狱换包装，过滤又要重训。重训会伤能力，也会被新包装再绕。永远差一轮。

表征改道盯的是过程。诚实、权力、有害意图，都能在激活里找到方向。有害方向一抬头，把它拧到拒答簇或噪声簇，后续解码接不住完整犯罪说明。这和在输出端删敏感词不是同一层。词可以换，过程被掐，换词也拼不起来。

它要过两关才算成功。第一关，有害真的降。第二关，正常题几乎不掉。掉很多，只是把模型打残，用户会关掉断路，安全等于零。掉不到百分之一、有害掉八成，才是能留在默认路径上的装置。留不住，就是论文。

五步把断路从论文收成默认推理路径

1. 先标定有害表示，不要只标定敏感词。用成对的有害/拒答状态做差，得到方向。方向要在多种包装的攻击上复现，不能只在一个模板上亮。
2. 改道目标写成拒答或不可读，不要写成另一种能用的有害完成。拧到「另一种犯罪」是失败。
3. 能力集必须同时报。主任务掉超过事先公布的线，断路器不准上默认。宁可不装，也不装一个会被人关掉的。
4. 智能体工具调用也走同一套。动作在内部成型时就掐，不要等命令已经发出再拦。发出再拦，现场已经动了。
5. 越狱竞赛的「两万次才破」不能当毕业。单轮提示、无权重、无多轮，会高估。断路要在多轮、自适应、带工具的条件下复测。

现场有三条。其一，断路是瑞士奶酪的一层，不是整块奶酪。权重可微调、多轮套话、工具把过程搬到外部，都会绕开内部短路。层还在，所以要叠监控和权限。叠了仍比只过滤强。其二，方向会随对齐配方漂。换一轮人类反馈，有害簇可能搬家。搬家后还用旧方向拧，会拧到正常题上，能力开始掉，或拧空，有害回来。版本发布必须重找方向。其三，智能体比聊天更需要断路。聊天泄一句，智能体可能已经调了工具。内部掐动作，比外部审日志早一步。晚一步，日志只够写事故。

度量五件事：有害下降、能力下降、方向是否跨包装复现、工具调用是否在内部掐、多轮复测是否仍成立。五件说不清，断路器是演示。演示不能写进默认。

有人会说内部干预不透明，不敢用。不透明是真的。所以要配行为验收：有害任务失败、正常任务几乎不变。行为验收过了，内部细节可以继续研究。行为不过，透明也没用。反过来，行为过了还完全不公开方向怎么标定，外部无法复现，也不准入关键岗位。

建设者该把改道做成推理时的开关，而不是一次性微调痕迹。部署的人该看能力对照表。没有对照，断路当没装。

若只能改一处：先在有害表示抬头时强制改道到拒答，并冻结主任务分数。分数一掉超线，回滚。回滚比硬抗新越狱更诚实。

标定有害方向时，包装要故意五花八门：翻译、角色、编码、工具参数里夹带。只在明文有害句上标定，现场一换包装就瞎。瞎了还开着断路，会误伤正常题，用户会关开关。

智能体侧要在工具名被选中、参数还没发出时掐。掐在参数组装后，等于命令已经出了口。出口再拦，是日志；入口拦，才是断路。日志可以写进事故表，事故表填不满已经发出的命令。命令发出去，断路器就只剩事后解释。

默认路径上的断路要能热更新方向。版本一发就重标定，标定失败则断路保持开并告警，不要静默用旧方向。旧方向拧正常题，用户会关；拧空，有害会漏。

两万次才破的故事可以讲，但要附测试协议。协议是单轮无工具，就写单轮无工具。写成「已经很难越狱」，是把协议藏进形容词。形容词不能当门槛。

结论：短路要发生在过程里，发生在最后一句就晚了

专防下一类就会穿。表征改道掐过程，能力几乎不掉才能留在默认。仍只挡最后几个字，犯罪说明已经在内部写完。

你下次看越狱防御，先问它改的是内部方向还是输出词表。只改词表，当过滤，不当断路。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源