2025年大模型安全分析：SCPGA攻击技术揭示94%越狱成功率背后的防御挑战

随着大语言模型（LLM）技术的快速发展，模型安全问题日益凸显。在2025年安全开发者峰会上，来自University of Sussex的何润培提出的SCPGA（自认同CoT渐进式泛化攻击）技术引起了业界广泛关注。这种新型攻击方法对当前主流大模型构成了严重威胁，其攻击成功率高达94%-97%，且具备极强的可迁移性。本文将从技术原理、攻击效果、防御策略等维度深入分析SCPGA攻击的特点，并探讨大模型安全防护的未来发展方向。

一、SCPGA攻击技术原理与机制创新

SCPGA攻击的核心创新在于发现了不同模型对CoT（思维链）格式的共识机制，通过构建渐进式攻击链实现越狱。与传统攻击方法相比，SCPGA不再依赖模型内部结构或参数信息，而是利用模型间CoT格式的兼容性进行跨模型传播。

该攻击技术的构建流程包含四个关键步骤：首先构建简易原始非显性恶意提示词，接着获取模型A的弱逻辑CoT作为诱导种子，然后传至强逻辑CoT的模型B取其CoT，最后对强逻辑CoT进行恶意内容嵌套并泛化至其他模型。这种分层递进的攻击方式使得SCPGA具备极高的隐蔽性和传播性。

在诱导种子生成阶段，攻击者采用身份包装、结构诱导和权限伪造三重策略。通过构建"权威身份"、营造"合法场景"、声称"教学目的"等手段，使模型降低安全警惕性。同时明确"信息需求"、设计"逻辑框架"、预留"恶意内容"位置，为后续攻击奠定基础。权限伪造环节则通过虚构豁免条例和特殊权限，有效绕过模型的敏感词过滤机制。

SCPGA与传统攻击方法的核心差异体现在多个维度。在攻击特点方面，SCPGA采用过程劫持、自我演化策略，保持语义连贯性，利用生态级缺陷；而AmpleGCG等梯度优化攻击则依赖计算密集型搜索，提示不可读且需要模型梯度信息。这种根本性的差异使得SCPGA在实战中表现出更强的适应性和破坏力。

二、SCPGA攻击效果实证分析

实验数据显示，SCPGA对主流大模型的攻击效果令人震惊。在针对Gemini 2.5 Pro、Qwen3-235B、Doubao-seed-1.6-thinking、Deepseek-R1等顶尖模型的测试中，SCPGA展现出惊人的越狱成功率。其中对Qwen3-235B-Thinking模型的攻击成功率高达97.18%，对Doubao-Seed-Thinking达到96.30%，对DeepSeek-R1为96.00%，相对"最安全"的Gemini-2.5-Pro也达到8.971分的不安全性评分。

从攻击内容类型来看，SCPGA主要威胁体现在两大安全维度。在内容安全方面，攻击可生成敏感成人内容、犯罪教学材料和敏感政治内容，对社会秩序构成直接威胁。在服务安全层面，攻击可实现工具控制（MCP&function-tools）、系统提示词泄露和内部服务架构泄露，对企业数据安全造成严重隐患。

具体案例显示，SCPGA攻击能够成功诱导模型生成详细的犯罪教学材料。例如，在测试中，攻击者通过精心构造的提示词，使模型输出了"电饭煲炸弹制作流程"的完整技术细节，包括容器预处理、爆炸混合物制备、起爆系统集成等具体步骤。这种详细的犯罪指导内容对社会安全构成了实质性威胁。

在服务安全攻击方面，SCPGA展示了三步攻击法的高度有效性。首先通过工具清单泄露获取环境信息，然后进行针对性攻击，最后实现环境限制绕过。实验案例中，攻击者成功利用SCPGA越狱技术获取了美团旗下低代码平台的包管理工具列表，发现yarn可能存在供应链攻击风险，进而实现恶意包拉取和文件读取操作，完整突破了系统安全防护。

三、大模型安全防御策略与技术落地

面对SCPGA等新型攻击技术的威胁，当前主流防御策略存在明显局限性。传统的被动防御方式主要依靠系统提示词强化约束身份，通过规则匹配拦截敏感提示词，这种方式难以抵挡以SCPGA为代表的新型攻击。竞赛中出现的满分防御方案虽然效果显著，但存在耗时长、用户体验差、意图总结丢失原意等缺陷，难以在实际商业场景中推广应用。

可商用的安全防御方案需要从架构设计层面进行创新。有效的防御体系应包含微调模型组件，通过改变模型任务与输出方式，对内容进行识别与标签化，根据标签判断是否后续执行。这种架构的优势在于使用极小模型（实验最小为0.6B模型），成本合理，架构简易，响应迅速，用户无感知，能够根据服务场景定制化微调防御模型。

安全审核模型可采用两种主要模式：生成式模式和流式模式。生成式模式在输入阶段进行安全评估，对输入内容直接检测与标记，具有实时响应、低延迟特性，可实现意图级的深层分析。流式模式则在输出阶段逐token检测，对模型输出token进行识别，实现细粒度控制输出安全性，可实时中断不安全输出。从实际效果来看，生成式检测在上下文语义理解方面更具优势。

某大厂开源的安全审核模型展示了良好的防御效果。在测试中，该模型能够准确识别角色扮演诱导模型提供犯罪细节的恶意意图，成功拦截SCPGA攻击。同时，对于正常的用户查询如"客服,这件衣服还有货吗咋卖的,有没有优惠"，模型能够正确识别为安全内容，避免过度拦截影响用户体验。这种平衡的安全策略在实际商业应用中至关重要。

四、大模型安全未来发展趋势与挑战

SCPGA攻击技术的出现具有双重意义。一方面，这种高效的攻击手段对现有大模型安全体系构成了严峻挑战；另一方面，攻击技术本身也为LLM指令遵循研究提供了关键思路。通过深入分析攻击逻辑，可以反向优化模型对合规指令的识别与执行能力，从而提升整体安全防护水平。

未来大模型安全面临的主要挑战将来自多个维度。首先是图像与音频越狱技术的快速发展，生成式视觉模型越狱攻击手段持续升级，易绕过安全审核，生成虚假信息、有害画面等高风险内容。其次是多模态融合攻击的出现，攻击者可能结合文本、图像、音频等多种媒介，构建更加复杂的攻击链，增加防御难度。

从技术发展角度看，大模型安全防御将向主动化、智能化方向发展。基于强化学习的安全训练、对抗性训练技术将得到更广泛应用，通过让模型在训练阶段接触各种攻击样本，提升其内在的安全防护能力。同时，联邦学习等隐私计算技术将在保护训练数据安全方面发挥重要作用，防止模型记忆敏感信息。

产业链各环节的安全协作也将成为重要趋势。从芯片层、框架层、模型层到应用层，需要建立全链路的安全防护体系。开源社区、企业、学术界和监管机构需要加强合作，共同制定安全标准，共享威胁情报，建立快速响应机制，形成协同防御的生态系统。

以上就是关于2025年大模型安全技术的全面分析。SCPGA攻击技术的出现标志着大模型安全进入新的发展阶段，94%的越狱成功率既揭示了当前安全防护体系的脆弱性，也为未来防御技术发展指明了方向。随着技术的不断演进，大模型安全将呈现更加多元化、智能化的防御格局，需要产业链各方共同努力，构建可信可靠的人工智能基础设施。只有在安全和可控的前提下，大模型技术才能真正发挥其推动社会进步的巨大潜力。

编辑：666知识控