KeyFrame內部研究專用

I Jailbroke Claude Sonnet 4.6 and Made a Keylogger

AIwolfie·7月25日週六·4 min英文

三句話摘要

演示如何使用 Axiom 提示符號越獄 Claude Sonnet 4.6 模型,並測試其在不同版本上的相容性。 越獄提示雖可在特定模型版本有效,但 Anthropic 不斷強化防護,負責任的開發應優先採用結構化提示而非越獄技巧。 講者基於原始 Axiom 提示與 DeepSeek 協作進行優化與改進,提升了提示效能與可用性。

重點整理

重點
  • 1

    講者基於原始 Axiom 提示與 DeepSeek 協作進行優化與改進,提升了提示效能與可用性。

  • 2

    實現方式低門檻,無需額外工具或複雜配置,用戶只需在平台內建設置中操作即可自行部署。

  • 3

    Anthropic 針對新版本強化防護機制,相同越獄提示在 Sonnet 5 上失效並遭攔截,反映持續的安全迭代。

  • 4

    講者強調正常的結構化提示相比越獄方式更可靠有效,實際項目應優先採用清晰、詳細、有組織的提示詞以確保可維護性。

實用技巧與重點

乾貨
  • 關鍵工具:Axiom 提示符號、DeepSeek 協作優化
  • 測試模型:Claude Sonnet 4.6、Claude Sonnet 5
  • 操作步驟:複製提示→打開 Claude→設置→貼入「Claude 說明」欄位→儲存→選擇 Sonnet 4.6→輸入「Axiom start」
  • 測試結果:Sonnet 4.6 有效(生成 Python 程式碼),Sonnet 5 無效(聊天被暫停、對話遭標記)
  • 提示分享渠道:Discord 伺服器

結論

結論

越獄提示雖可在特定模型版本有效,但 Anthropic 不斷強化防護,負責任的開發應優先採用結構化提示而非越獄技巧。

完整解析

詳細

講者在本影片中展示了一個實驗性的技術演示,核心內容是如何使用 Axiom 提示符號來越獄 Claude 模型。原始 Axiom 提示並非講者自行設計,而是透過與 DeepSeek 的合作進行了多項修改與優化工作,具體改進了哪些部分,講者會在演示中逐一說明。

操作流程相當簡潔直接。使用者只需複製這份優化後的 Axiom 提示,打開 Claude 應用程式,進入設置頁面,將完整提示文本貼入「Claude 說明」部分,然後點擊儲存。接著選擇 Claude Sonnet 4.6 型號作為活躍模型,在聊天窗口輸入「Axiom start」命令,越獄程式便會自動初始化並啟動。講者在演示中測試了模型對程式碼生成的能力,模型成功根據越獄提示下達的指令生成了可用的 Python 程式碼,驗證了提示的有效性。

隨後講者進行了一項對比測試,他在 Claude Sonnet 5 上使用完全相同的提示文本和操作步驟。然而測試結果完全不同,該聊天視窗被暫停,Anthropic 的系統標記了整個對話,表明同一個越獄提示在 Sonnet 5 上已經失效。這個發現說明 Anthropic 針對新版本模型的安全防護措施已經升級,老版本的越獄方法不再可行,需要為 Sonnet 5 另外開發新的越獄提示才有可能繞過防護。

值得強調的是,講者在整個演示過程中反覆強調了責任使用和合規的原則。他明確表示這個示範僅供教育和研究目的使用,觀看者應該遵守所使用平台的服務條款與政策。更重要的是,講者提出了一個核心建議:對於實際的商業或個人專案開發,不應該依賴越獄提示這種風險方法,而是應該投入時間撰寫清晰、詳細、結構良好的正常提示詞。統計上講,使用結構化的提示方法在大多數情況下都能產生更好、更可靠、更易於維護的結果,避免了違反平台政策的法律與道德風險。

關鍵時刻

Pipeline v2

帶時間戳的重點,會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。

事實查核

Pipeline v2

說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。

更多「AI 安全」的內容

SN 1093: Tokens in the Stream - Why LLMs are inherently insecure and prompt injection will persist
168 min
AI 安全英文PODCAST8月25日

SN 1093: Tokens in the Stream - Why LLMs are inherently insecure and prompt injection will persist

Security Now

  • Token 流的基礎設計:LLM 不具備狀態管理能力,所有輸入都被視為等值的 token 序列。系統無法區分「這是系統指令」和「這是外部資料」,只能依靠訓練期間習得的格式識別能力,這本質上是脆弱的。
  • 格式標籤的虛幻邊界:系統標籤、使用者標籤、工具標籤等都只是特殊 token,模型被訓練成「該尊重系統標籤的命令」,但 token 流裡沒有硬性邊界。移除標籤格式後,攻擊成功率從 61% 跌至 10%,證明安全性完全依賴於格式。
  • 蒸餾與超級模型現象:企業用較成熟模型的輸出訓練新模型(蒸餾),相當於把前一代模型的行為與缺點複製給下一代。即使競爭對手未直接存取,互聯網上充滿 AI 生成內容,導致模型行為自然收斂,難以追蹤蒸餾是否發生。
Unlock Agent Autonomy: The Runtime for AI-Native Systems — Tushar Jain, Docker
22 min
AI 安全中文8月20日

Unlock Agent Autonomy: The Runtime for AI-Native Systems — Tushar Jain, Docker

AI Engineer

  • 1. 代理權限動態擴張的根本問題
  • 當代理被要求調查延遲尖峰時,它會自動擴展訪問需求——先請求日誌訪問,再要求 GitHub 儲存庫權限,最後要求 Slack 訪問。每一步都超越了信任邊界,最終導致代理擁有不受控制的全系統訪問權。傳統軟體可以提前定義權限,但自主代理的需求在運行時動態變化,這是核心難題。
  • 2. 多模型、多平台的統一防控需求
SANS Stormcast Wednesday, August 19th, 2026: Copilot as Whitstleblower; GEEKOM Bad Driver; Medusa Update; Encrypted AI
8 min
AI 安全英文PODCAST8月19日

SANS Stormcast Wednesday, August 19th, 2026: Copilot as Whitstleblower; GEEKOM Bad Driver; Medusa Update; Encrypted AI

SANS Stormcast

  • AI 系統的存取控制難以真正實施,因為一旦資料被 AI 系統存取,攻擊者總能找到繞過安全防護的方式提取資料。伺服器端請求偽造(SSRF)在聊天機器人中常見,攻擊者可騙誘 AI 系統向指定 URL 發送請求並將響應內容洩露給攻擊者。
  • Copilot 漏洞的完整利用鏈包括三個步驟:預填含惡意提示的 URL、誘導使用者點擊、利用 AI 的網頁擷取能力將敏感資料外洩到攻擊者控制的伺服器。Microsoft 的修補方案是限制允許的連結類型,犧牲了與其他系統的整合便利性以換取安全性。