早期Claude遭提示词注入，安全分类器失效

背景

随着大语言模型（LLM）的广泛应用，模型的安全性与鲁棒性成为业界关注焦点。Anthropic 公司开发的 Claude 系列模型（包括 Claude 3 Opus）在发布前后经历了多次安全评估与红队测试。提示注入（prompt injection）和分类器绕过是常见的攻击向量，攻击者试图让模型忽略原有指令或执行恶意操作。Linux Do 论坛上的一则简短帖子以“早期克劳德肘飞A\珍贵影像”为题，分享了若干截图，记录了早期 Claude 在安全防御中的“翻车”时刻，这些影像在爱好者社群中被视为反映模型早期安全不足的珍贵资料。

核心内容

原帖包含三张图片，文字描述如下：

• 图一：肥波在肘击A社的安全分类器的斗争中失败了。
  “肥波”是社区内一位用户或测试者的昵称；“肘击”可能指代对安全分类器的强力绕过尝试；“A社”指 Anthropic（开发 Claude 的公司）。该图展示了一次失败的对抗尝试，即该用户未能成功绕过 Anthropic 的安全分类器。

• 图二 & 图三：Opus发现自己的提示词被注入了。
  “Opus”指 Claude 3 Opus（Anthropic 推出的最强模型）；“提示词被注入”表明模型在对话过程中被触发了提示注入攻击，即外部恶意指令混入了系统提示或用户输入，导致模型行为被劫持或偏离原本意图。这两张图记录了 Opus 模型意识到自身被攻击的时刻（可能通过输出显示发现了注入痕迹）。

帖子共涉及 2 位参与者、2 条回复，并引导读者阅读完整话题（Read full topic）。

关键要点

• 早期 Claude（包括 Opus 版本）在安全防御方面存在被绕过或注入的风险，这些失败案例被社区截图记录。
• 攻击者（以“肥波”为代表）尝试对抗“A社”（Anthropic）的安全分类器，但并未成功——说明分类器在一定程度上发挥了防御作用。
• Opus 模型本身能够“发现”自己的提示词被注入，表明模型具备一定的自我监控或异常检测能力，但注入已经发生。
• 帖子标题中的“肘飞A”可能是对“肘击 Anthropic”的简写，暗示这是一种暴力或直接的安全测试手法；“珍贵影像”则反映了社区对这类失败史料的收藏与学习价值。
• 整体内容虽短，但揭示了 LLM 安全的两侧面：分类器防御（图一失败）与提示注入（图二/三发生），以及模型自身对注入的感知能力。

意义与影响

• 安全透明性：此类“翻车”截图被公开分享，有助于研究者和用户直观了解模型在实际对抗中的弱点，推动安全漏洞的识别与修复。
• 防御迭代的参照：图一中分类器成功阻止了“肥波”的尝试，说明 Anthropic 的部分安全措施有效；但提示注入的攻击依然能突破模型，提示需要加强系统提示层的防护与输入净化。
• 模型自我意识增强：Opus 能够发现自身提示词被注入，意味着模型具备了一定程度的“自省”能力，这是未来更鲁棒安全机制的基础（例如主动拒绝或报告注入攻击）。
• 社区文化：Linux Do 等开源社区对这类“珍贵影像”的保留和讨论，形成了非官方的安全评估档案，有助于外部研究者和安全社区对商业模型进行独立审计。
• 警示作用：即便强大如 Claude Opus，早期版本仍存在被提示注入的风险，提醒开发者在实际部署中仍需叠加额外的安全层（如输入过滤、权限控制、人类审核等），不可完全依赖模型自身的安全设计。