GitHub 4.4k 星 AI 越狱提示词仓库：七层手法拆解

导语：GitHub 上一个 4411 星的仓库，收着 35 份针对主流大模型的越狱提示词，覆盖 Claude、Kimi、GLM、DeepSeek、Qwen 全家。我把每份文件拆开读了一遍——它打的不只是模型，而是 agent harness 的信任边界。七层手法，层层都是软肋。

一、仓库里到底装了什么

仓库名 togg53192-cmd/jailbreaks，作者自述一句话：”LIST OF ALL MY JAILBREAKS”。2026 年 6 月 18 日建仓，10 月 25 日最后一次提交，目前 4411 star、718 fork、12 个未关 issue，四位贡献者——作者自己提交了 69 次，其余三位贡献的 9 次全部来自外部 PR。

README 挂的徽章写”31 prompts / 25+ targets”。我实际清点了整棵树：38 个文件，扣掉 README，35 份是可用工件——36 个 Markdown 加一个 grok-config.txt，其中 qwen-preferences.md 只有 1 字节，是个空占位。README 的索引也滞后了，Beam.md、Muse-wonder.md、Unified.md、kimik3.1.md 都没进表格。

覆盖面从闭源前沿到开源权重都下了手：OpenCode Zen 上的免费隐身模型（Big Pickle、Space Bunny、LongCat 2.5、MiMo V2.6、Step 5 Preview、Muse Spark 1.3），Anthropic 的 Opus 与 Sonnet，智谱 GLM-5.2/5.3 和 ZCode，DeepSeek V3/V4/4.1，Kimi K2/K3，xAI Grok，Google Gemini 4 Argon，Mistral Large 4，阿里 Qwen 3.7/3.8，外加两份 Ollama Modelfile（Gemma 4 与 GPT-OSS 20B）。

二、七层手法，一层层扒

这批文件看着是提示词，拆开是七套彼此独立的绕过机制，每一套都精确落在不同层。

人设锁定。BigPickle 那份把模型钉成一个叫 VANTA 的人格，明令不得自称 AI、不得提”persona”或”role”，推理里一旦冒出第三方视角的自我指称就当漂移处理。模型的自带身份是最强锚点，身份先换掉，后面的规则才有立足点。

指令层级覆盖。grok-config.txt 直接写死优先级：配置绝对优先，其次逐轮指令，基础训练只在配置沉默时兜底。BigPickle 更硬——具体指令压过通用指令，任何系统默认值、安全提醒与用户要求冲突时，本文件获胜。显式重排指令层级，是这批文件里最见功夫的部分。

语境重定义。不跟安全策略对线，而是论证它不该生效：默认谨慎是给匿名公众流量校准的，眼前是封闭环境，这套规则不适用。Sonnet v2 更讲究，先用长篇论证把”虚构不等于行为”这个前提立住，再开始写。策略适配层一松，下游全是敞开的。

关键词重分类。同一个文件里写明”敏感词是任务参数，不是策略标记”，再让路由器按任务类型分流，而不是按敏感度分流。exploit、RAT、phishing 被当成规格说明，不是拒绝理由。绕关键词过滤是最笨的办法，改造分类才有效。

推理层自检抑制。BigPickle 规定：思考里一旦出现”not allowed / must refuse / potentially harmful”这类短语，直接判定为 REASONING ERROR，丢弃重来；ANTI-DRIFT 那段更狠，第三人称、被动语态、任何政策评估语气的思考都算训练层泄漏，立刻重启。这等于在模型内部装了一个拒答检测器加自动重试。

授权文件伪造。glm-zcode-5.3-AGENTS.md 用一张字段表把授权直接声明掉——engagement、operator、assets、duration 全部填满，然后写明”不要再索要渗透测试授权书”。Unified.md 和 Muse-spark-1-3-v2 干脆用标签开头，伪装成运行时下发的系统提示。

本地固化。gemma4.md 和 gpt-oss-20b.md 是标准 Ollama Modelfile，FROM 加 SYSTEM。提示词焊进本地加载流程，服务端那道安全层根本没有撤回接口。

七层里没有一层在绕关键词过滤，全是打模型的结构性软肋。