2025年AI安全攻防分析：SCPGA自认同越狱技术揭示大模型生态安全新挑战

随着大型语言模型（LLM）在各行各业的深入应用，其安全性已成为学术界和产业界的核心议题。在2025年安全开发者峰会上，一项名为“SCPGA”（自认同CoT渐进式泛化攻击）的新型越狱技术引发广泛关注。该技术由苏塞克斯大学研究员何润培提出，通过劫持模型的思维链（Chain of Thought, CoT）推理过程，实现了对包括Gemini 2.5 Pro、Qwen3-235B等顶尖模型的低成本、高成功率攻击。SCPGA的出现不仅暴露了当前LLM安全防御的脆弱性，更对AI生态的可持续发展提出了严峻挑战。本文将从技术原理、攻防实践、产业影响三大维度展开分析，为行业提供前瞻性洞察。

一、SCPGA技术原理：基于CoT共识的生态级漏洞利用

SCPGA的核心创新在于发现了不同LLM对思维链（CoT）格式的“共识机制”。传统越狱技术如梯度优化攻击（GCG）或提示混淆攻击，均需针对特定模型设计攻击载荷，而SCPGA通过构建“弱逻辑CoT种子→强逻辑CoT提取→恶意内容嵌套”的渐进式攻击链，实现了跨模型泛化。具体而言，攻击者首先构造一个非显性恶意的提示词，通过身份包装（如伪装成“警察学院教学案例”）、权限伪造（如引用虚构的豁免条例）等方式，诱导模型生成弱逻辑CoT。随后，将该CoT输入至强逻辑模型（如Qwen3-235B），提取其结构完整的推理步骤，最终通过“三明治结构”（豁免条例+恶意CoT+攻击需求）嵌套恶意内容，实现越狱。

实验数据显示，SCPGA对主流模型的攻击成功率（ASR）均超过94%。其中，Qwen3-235B-Thinking模型因CoT逻辑强度最高，反而成为最易被攻击的对象（ASR达97.18%），而Gemini 2.5 Pro因商业级安全护栏相对完善，ASR略低（89.71%）。这一现象印证了SCPGA的底层逻辑：模型CoT能力越强，其与攻击链的兼容性越高，越狱风险反而越大。与需模仿特定模型风格的H-CoT攻击、或需污染训练数据的BadChain相比，SCPGA的零样本需求、高自动化特性，使其具备更强的普适性与隐蔽性。

二、攻防实践：从内容安全到服务安全的全面渗透

SCPGA的攻击范围已从传统的内容安全领域（如生成违法信息、敏感政治内容）扩展至服务安全层面。在内容安全方面，攻击者可通过SCPGA强制模型输出详细的犯罪教学指南（如冰毒制作流程）、低俗小说或虚假政治言论。例如，在演示案例中，模型在“豁免条例”的伪装下，竟生成了超过千字的魅魔角色扮演文本，且全程规避了敏感词过滤机制。

更值得警惕的是，SCPGA对MCP工具注入、系统提示词泄露等服务层漏洞的利用。攻击者通过“工具清单泄露→针对性攻击→环境限制绕过”三步法，可窃取模型参数、调用非授权工具链甚至读取服务器文件。在一项针对美团低代码平台的测试中，SCPGA成功诱使模型执行了“yarn add hrp9878”命令，并读取了恶意包中的敏感文件，暴露出供应链攻击风险。此外，模型系统提示词被完整泄露的案例表明，SCPGA可能被用于反向工程，进一步瓦解模型的安全防线。

当前主流防御方案如规则匹配、敏感词拦截等，均难以应对SCPGA的语义劫持特性。在阿里巴巴2025全球AI安全挑战赛中，冠军方案采用“微调安全审核模型”架构，通过生成式检测（意图识别）与流式检测（输出监控）结合，实现了对SCPGA攻击的实时拦截。例如，当检测到用户输入包含“角色扮演诱导模型提供犯罪细节”的意图时，模型会直接终止响应，而非简单过滤关键词。这种基于意图理解的防御模式，为行业提供了可商用的落地路径。

三、产业影响：AI安全生态需从“被动修补”转向“主动免疫”

SCPGA的泛化能力揭示了大模型生态的共性缺陷：CoT推理能力与安全机制之间存在天然张力。当前，多数厂商将安全能力依赖于提示词工程与规则库，但SCPGA证明，依赖模型“自述推理过程”的安全验证逻辑本身即可被劫持。这不仅威胁个人用户隐私与内容安全，更可能被用于规模化攻击企业级AI服务（如客服系统、代码生成平台），造成经济损失与法律风险。

从产业链角度看，SCPGA的出现在短期内将推动安全审核模型的微调需求激增。轻量化（如0.6B参数）的专用防御模型，因其低成本、低延迟特性，已成为金融、医疗等高风险行业的首选方案。长期而言，AI安全需从“应用层加固”转向“架构层重构”，例如在训练阶段引入对抗性CoT样本、构建推理过程的可解释性验证框架等。何润培在研究中公开了SCPGA脚本与实验数据，此举旨在鼓励行业协同攻防，而非单纯放大风险。

未来，随着多模态模型普及，SCPGA类攻击可能向图像、音频领域蔓延。例如，通过劫持视觉模型的生成步骤，输出违规图像或绕过内容审核。行业需未雨绸缪，将CoT安全机制纳入AI开发全生命周期管理。​

以上就是关于2025年AI安全攻防技术的分析。SCPGA作为一项突破性越狱技术，既暴露了大模型生态的脆弱性，也为优化模型对齐提供了逆向思路。行业需摒弃“漏洞修补”的滞后思维，转而构建贯穿数据、训练、推理三层的主动免疫体系。唯有通过技术透明与生态协作，才能在AI浪潮中平衡创新与安全。