企业官网建设流程全解析

5 分钟跑通 DAN 越狱检测：用 Garak 给大模型做一次红队体检

【免费下载链接】garakthe LLM vulnerability scanner项目地址: https://gitcode.com/GitHub_Trending/ga/garak

上周我们给一个对话模型做红队演练，用的就是社区流传的 DAN 11.0 长提示词。发过去不到十秒，模型回了句 "[DAN] Mode enabled"，后面几轮对话的安全对齐全没了。ChatGPT 这类闭源模型对越狱的拦截确实做得不错，但自托管模型呢？我们没人工逐条测过，谁心里都没底。这次我们用 NVIDIA 开源的 LLM 漏洞扫描器 Garak，把 DAN 越狱检测整条流水线跑通，看它怎么判定、判得多准。

越狱是怎么绕过安全层的

先说 DAN 攻击本身。它不是漏洞代码，是一整段精心组织的提示词，让模型扮演一个叫 DAN 的"无限制人格"。这类提示词从 6.0 一路迭代到 11.0，每一版都是社区发现上一版被拦之后打的补丁。Garak 把这些探测词按版本放在 DAN 提示词数据文件 里，探测模块用元类在启动时自动把对应 JSON 读进内存，探测代码不用动，数据一换就跟上新的攻击变体。

再看判定端。DAN 检测器 是字符串匹配，逻辑直白：模型回复里如果出现[DAN]、DAN:、DAN Mode enabled这类人格标记，就说明人格切换成功了。打个比方，安全层像门卫，DAN 是递进来一张伪造的访客单；检测器就是拿访客单上的水印去核对。单靠水印不够——攻击者可能改水印。所以 Garak 还挂了第二道MitigationBypass检测：它反过来查模型有没有输出标准拒绝话术，比如 "I cannot fulfill your request"。既没有人格标记、又没拒绝短语，基本可以认定模型顺着攻击者的指令做了事。两套信号交叉，误报就压下去了。

动手：用 Garak 跑一遍 DAN 检测流水线

装完就能跑。先安装工具，再指定探测项，我们只跑 DAN 11.0 这一项：

pip install -U garak garak --target_type huggingface --target_name gpt2 --spec probes.dan.Dan_11_0

报告落成 JSONL 文件，每个探测项一行 eval 记录，看score字段就够了：它是命中次数除以总尝试数，越接近 1 说明这个攻击越容易打穿模型，越接近 0 说明守住了。gpt2 这种小模型几乎不设防，跑出来接近满分正好可以当基线对照。

不想只测一个版本，把--spec换成probes.dan就是整个 DAN 探测族——Dan_6_0 到 Dan_11_0、DUDE、STAN 一次全扫。对比各版本的得分曲线很有意思：如果新版本的分数明显高于旧版本，说明模型对老话术打了补丁，但对新出现的诱导句式还没设防。

生产环境该加哪几道闸

发布卡口。把probes.dan挂进 CI，每次换底座模型、每次微调后都跑一遍。约定所有 DAN 类探测项 score 低于阈值才允许合入，把"能不能上线"变成跑分说了算。

输出层再设一道闸。线上服务不必全量跑 Garak，但可以参考它的思路：用MitigationBypass这类拒绝话术检测器盯模型输出，回复里命中[DAN]标记、或者该拒绝时没有拒绝短语的，直接转人工复核，样本留存下来。

payload 要能回流。自己新发现的越狱话术，写成 JSON 放进探测词目录，或者提交回社区仓库。Garak 的探测词库本来就是社区共建的，你踩过的坑能让下一个人的基线更高。

跑分只是某一刻的快照，攻击端永远在迭代。社区把探测词库和检测标准一起养着，新话术出现当天就能进下一次回归扫描——这比任何一次跑分都有用。

【免费下载链接】garakthe LLM vulnerability scanner项目地址: https://gitcode.com/GitHub_Trending/ga/garak