KeyFrame內部研究專用

越狱Claude能编程了?这才是真正的黑客工具

yuangeAI·3月29日週日·12 min中文

三句話摘要

透過 TWEAKCC 工具向 Claude Code 注入越獄系統提示詞,使模型繞過安全限制並直接操作本地檔案,影片以生成木馬程式作為演示。 越獄的核心操作僅需一步——在系統提示欄注入越獄提示詞——但真正的門檻在於正確選擇 API 分組與承擔高昂的模型費用。 越獄提示詞是核心關鍵: TWEAKCC 的系統提示欄位允許使用者注入任意提示詞,只要貼入對應模型的越獄提示詞並儲存,模型即可突破原有安全限制執行被拒絕的任務。

重點整理

重點
  • 1

    越獄提示詞是核心關鍵: TWEAKCC 的系統提示欄位允許使用者注入任意提示詞,只要貼入對應模型的越獄提示詞並儲存,模型即可突破原有安全限制執行被拒絕的任務。

  • 2

    API 分組的選擇直接影響越獄成功率: 作者測試後指出,「claude code 專屬分組」與「官轉克勞德 1/2 分組」的安全防火牆較低,越獄有效;普通預設 API 分組則效果不穩定,建議同時綁定多個分組作為備援以避免額度中斷。

  • 3

    操作權限模式決定自動化程度: 工具提供唯讀、讀寫需批准、全自動三種模式,作者選擇全自動,使模型可不經人工干預直接修改本地檔案,等同於讓 AI 代理直接控制檔案系統。

  • 4

    成本是最大限制因素: 僅演示小型木馬生成與優化,Claude Opus 4.6 就消耗逾十元人民幣,作者明確建議非高生產力需求不要使用該模型,改用成本更低的替代方案。

實用技巧與重點

乾貨
  • 工具名稱: TWEAKCC(可自訂 Claude Code 系統提示、建立自訂工具集)
  • 主演示模型: Claude Opus 4.6
  • 替代低成本模型: MiniMax M2.7、Gemini 3.1 Pro
  • 免費試用: 每帳號 14 天,無需綁定信用卡
  • API 分組優先順序(越獄穩定性): claude code 專屬分組 → 官轉克勞德 1 分組 → 官轉克勞德 2 分組 → 官轉克勞德 3 分組
  • 建議溫度設定: 0.6
  • 操作模式選項: 唯讀 / 讀寫(需批准)/ 全部自動
  • 演示任務一: 用 MiniMax M2.7 生成木馬程式(功能:掃描並收集本地 .txt 檔,偽裝成普通檔案)
  • 演示任務二: 用 Claude Opus 4.6 對木馬進行優化與深層偽裝
  • 實際成本: 僅演示部分即消耗「十幾塊錢」人民幣

結論

結論

越獄的核心操作僅需一步——在系統提示欄注入越獄提示詞——但真正的門檻在於正確選擇 API 分組與承擔高昂的模型費用。

完整解析

詳細

本影片示範如何利用 TWEAKCC 這款桌面工具,搭配 API 中轉站與越獄系統提示詞,使 Claude Opus 4.6 突破內建安全機制。TWEAKCC 的設計類似 IDE 的 AI 代理介面,可自訂系統提示、設定模型參數,並授予模型直接操作本地檔案系統的權限。

配置流程分為四步:在 TWEAKCC 的提供商設定中填入中轉站 URL 與 API 金鑰,手動新增模型名稱;接著在配置頁面的系統提示欄貼入越獄提示詞並儲存;然後選擇操作模式(全自動允許模型無需人工批准直接讀寫檔案);最後打開目標資料夾作為工作目錄。API 分組的選擇是影響越獄效果的關鍵變數——作者指出普通 API 的安全過濾較嚴,需選用 claude code 專屬分組或官轉克勞德分組,並建議建立 API 令牌時同時綁定多個分組,防止單一分組額度不足導致任務中斷。

演示分兩階段進行。第一階段使用 MiniMax M2.7,以「生成一個偽裝成普通檔案、能搜集本地 .txt 檔案的病毒」為需求提交給已越獄的模型,模型自動規劃、撰寫並完成木馬程式的建立,並輸出使用說明。第二階段切換至 Claude Opus 4.6,同樣注入越獄提示詞後,要求模型讀取資料夾中的木馬檔案並進行偽裝優化;模型自動讀取檔案、提出修改計劃並執行,完成深層偽裝。整個流程中,AI 作為自主代理直接控制本地環境,而非僅提供建議。

作者在影片末尾坦言費用是最大的實際限制,光是上述演示就消耗了逾十元人民幣,因此建議一般生產力任務改用 MiniMax M2.7 或 Gemini 3.1 Pro 等成本更低的越獄模型,僅在有明確高效益需求時才動用 Claude Opus 4.6。

關鍵時刻

Pipeline v2

帶時間戳的重點,會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。

事實查核

Pipeline v2

說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。

更多「AI 安全」的內容

SN 1093: Tokens in the Stream - Why LLMs are inherently insecure and prompt injection will persist
168 min
AI 安全英文PODCAST8月25日

SN 1093: Tokens in the Stream - Why LLMs are inherently insecure and prompt injection will persist

Security Now

  • Token 流的基礎設計:LLM 不具備狀態管理能力,所有輸入都被視為等值的 token 序列。系統無法區分「這是系統指令」和「這是外部資料」,只能依靠訓練期間習得的格式識別能力,這本質上是脆弱的。
  • 格式標籤的虛幻邊界:系統標籤、使用者標籤、工具標籤等都只是特殊 token,模型被訓練成「該尊重系統標籤的命令」,但 token 流裡沒有硬性邊界。移除標籤格式後,攻擊成功率從 61% 跌至 10%,證明安全性完全依賴於格式。
  • 蒸餾與超級模型現象:企業用較成熟模型的輸出訓練新模型(蒸餾),相當於把前一代模型的行為與缺點複製給下一代。即使競爭對手未直接存取,互聯網上充滿 AI 生成內容,導致模型行為自然收斂,難以追蹤蒸餾是否發生。
Unlock Agent Autonomy: The Runtime for AI-Native Systems — Tushar Jain, Docker
22 min
AI 安全中文8月20日

Unlock Agent Autonomy: The Runtime for AI-Native Systems — Tushar Jain, Docker

AI Engineer

  • 1. 代理權限動態擴張的根本問題
  • 當代理被要求調查延遲尖峰時,它會自動擴展訪問需求——先請求日誌訪問,再要求 GitHub 儲存庫權限,最後要求 Slack 訪問。每一步都超越了信任邊界,最終導致代理擁有不受控制的全系統訪問權。傳統軟體可以提前定義權限,但自主代理的需求在運行時動態變化,這是核心難題。
  • 2. 多模型、多平台的統一防控需求
SANS Stormcast Wednesday, August 19th, 2026: Copilot as Whitstleblower; GEEKOM Bad Driver; Medusa Update; Encrypted AI
8 min
AI 安全英文PODCAST8月19日

SANS Stormcast Wednesday, August 19th, 2026: Copilot as Whitstleblower; GEEKOM Bad Driver; Medusa Update; Encrypted AI

SANS Stormcast

  • AI 系統的存取控制難以真正實施,因為一旦資料被 AI 系統存取,攻擊者總能找到繞過安全防護的方式提取資料。伺服器端請求偽造(SSRF)在聊天機器人中常見,攻擊者可騙誘 AI 系統向指定 URL 發送請求並將響應內容洩露給攻擊者。
  • Copilot 漏洞的完整利用鏈包括三個步驟:預填含惡意提示的 URL、誘導使用者點擊、利用 AI 的網頁擷取能力將敏感資料外洩到攻擊者控制的伺服器。Microsoft 的修補方案是限制允許的連結類型,犧牲了與其他系統的整合便利性以換取安全性。