RoguePrompt：双重编码自重建以绕过LLM审核

论文提出RoguePrompt，一种针对大语言模型的越狱流水线，通过将禁止提示词分割，应用Vigenere和ROT13双重嵌套编码，并附带自然语言重建指令，以绕过模型审核。在313个真实硬拒绝提示词上评估，实现平均过滤绕过率93.93%，重建率79.02%，执行率70.18%。

此前研究多将多阶段提示词转换攻击的成功率合并报告，难以定位失败环节。RoguePrompt在可观测的黑盒交互中分别测量绕过、重建与执行各阶段成功率，揭示了攻击具体在哪一步失效，为防御方提供了更精细的评估视角，也凸显了当前审核机制的脆弱性。

RoguePrompt利用LLM对编码文本的处理能力，通过Vigenere和ROT13两层嵌套编码隐藏恶意意图，再以自然语言指令引导模型自重建原始请求。由于审核模型可能未针对这种编码形式训练，过滤规则难以识别；而模型本身具备解码能力，能恢复指令并执行，形成多阶段攻击链。

对于提供LLM服务或API的公司，这类攻击可能导致审核系统被绕过，产生违规内容，带来合规风险。产品团队需考虑增强对编码或伪装形式的检测，如增加解码预处理或抗编码攻击的评测，以降低被利用的可能。

• 开发针对双重编码等复杂提示词转换的检测规则或预处理模块，并集成到现有审核流水线中。
• 利用RoguePrompt的评估方法，构建多阶段攻击成功率测试集，用于安全产品的回归测试。
• 在模型训练或微调中加入对编码指令的拒绝示例，增强模型对隐蔽攻击的抵抗力。
• 为安全团队提供可视化分析工具，识别攻击链中失败率高的环节，优化防御资源分配。

• RoguePrompt在不同模型规模和架构上的攻击成功率是否存在显著差异，证据未提供。
• 证据未说明防御方如何具体检测或缓解双重编码攻击。
• 130个真实提示词的类别分布和选取标准不明确，影响泛化性推断。
• 证据未提及攻击是否产生实际危害或是否被真实世界采用。