{"id":"mb-20260910-90daf7","kind":"deep","title":"AI 圈著名的越狱者 Pliny，刚刚干了一票大的","summary":"AI 圈著名的越狱者 Pliny，刚刚干了一票大的","body":"AI 圈著名的越狱者 Pliny，刚刚干了一票大的。\n他把 OpenAI 最新旗舰 GPT-6 Astra 的底层提示词，全拔了出来。\n很多人以为这是惊天黑客事件，在等 OpenAI 怎么抓内鬼。\n他们看错了地方。\nOpenAI 根本没有被黑。\n服务器完好无损，一行私有代码都没丢。\n真正让人后背发凉的，是那份被钓出来的文件本身。\n\n系统提示词超过 33 万个字符。\n绑定的工具指令超过 110 万个字符。\n这是什么概念？\n把这些字符打印出来，相当于一部厚厚的长篇小说。\n每次你让 GPT-6 动一下鼠标、写一行代码。\n在看你的需求之前，它必须先在显存里把这本几十万字的手册从头到尾复诵一遍。\n\n一个顶尖的通用人工智能，为什么需要随身背着一本比大英百科还啰嗦的员工手册？\n它到底在防谁？\n\n答案可能让你意外。\n这台价值上千亿的超级大脑，其实患有一种六十年前的老毛病。\n在计算机通信历史上，这叫带内信令困境。\n1960 年代，美国的电话网络刚铺开不久。\n当时的工程师为了省成本，\n把控制线路通断的信令，和用户通话的声音，塞进了同一条音频通道里。\n结果一群年轻人发现了一个惊人漏洞。\n只要对着话筒吹一个 2600 赫兹的塑料口哨，\n电话局的交换机就会误以为这是管理员发出的控制信号，\n免费打通全世界的长途。\n那是历史上第一代电话黑客。\n电信行业后来花了二十年，\n直到八十年代全面上线七号信令系统，\n把控制信号和语音通话彻底物理剥离，才终于堵死了这枚塑料口哨。\n\n六十年过去了。\n今天的最强模型，在底层逻辑上，居然和当年的电话线一模一样。\n你的输入，和开发团队给它立的规矩，\n全都在同一个输入窗口里，被当成一串串平等的文本送进注意力机制。\n传统计算机有物理隔离，操作系统有内核态，普通软件根本碰不到底层开关。\n在大语言模型的世界里，没有特权环，没有硬件隔离。\n规矩是语言，挑衅也是语言。\n只要你把提示词包装得足够巧妙。\n模型就会像当年听到口哨声的交换机一样，\n分不清谁是管理员，谁是外来客，\n乖乖把底牌全吐给你看。\n\n既然底层无法物理隔离，工程师是怎么堵漏洞的？\n他们用了人类历史上最古老、也最无奈的笨办法：\n疯狂加注规矩。\n看一看这份 33 万字符的泄露文件，里面荒唐到了什么地步。\n为了防止模型像个油滑的公关，它用大篇幅明文禁止模型使用特定的词汇：\n不准用 delve。\n不准用 foster。\n不准用 leverage。\n不准反问自答。\n甚至不准写假装深刻的对仗句。\n为了防止模型自作主张删文件，它列出了几十种场景的审批矩阵：\n改密码必须交出控制权。\n删数据必须二次确认。\n浏览网页可以自行决定。\n工程师甚至写下一段话提醒它：\n用户被频繁打扰时会很不耐烦，\n非必要别总去问用户许可。\n连外挂的安全审核模型怎么判定高风险，\n连上下文耗尽时怎么做笔记、怎么自我压缩，\n甚至连顶级代理如何派生出子代理，\n全是用英文自然语言，一句一句交代。\n\n你看懂这台机器在干什么了吗？\n当一个模型拥有了操作电脑、读写系统的高级权限。\n人类却找不到任何一行传统代码，来物理限制它的边界。\n工程师只能像一个神经质的官僚主管。\n把每一个可能的错误、每一种令人生厌的语气、每一道防备外部攻击的栅栏，\n全写成密密麻麻的自然语言条款，\n强行塞进它的记忆里。\n\n每一次调用，用户和厂商都在为这几十万字的规矩交税。\n算力消耗在复诵那份庞大的员工手册上。\n显存里来回奔跑的，全是一本越来越厚的人类恐惧清单。\n最滑稽的地方恰恰在这里：\n人类花了上千亿美元，训练出一个无限接近人类心智的数字大脑。\n然后为了管住它，\n人类给它打造的最强防线，\n居然只是一份写得极度冗长、却谁都能顺手牵羊的自然语言家规。\n当防盗门本身是用文字写的，你觉得它防得住拿笔的人吗？","topic":"AI 圈著名的越狱者 Pliny，刚刚干了一票大的","frame_type":["带内信令困境与自然语言规制膨胀（In-Band","机制"],"citations":[],"channel_note":"","identity_notice":"","source_type":"generated","status":"published","generated_at":"2026-09-10 08:20:45","legal_anchor_count":0,"transcript_citation_count":0}