先把一个误解说清楚：这类问题大多不是模型的「技术漏洞」，而是审核链路被人用话术绕过了。模型本身没有「开关」，它是在概率上判断该不该拒答；只要输入的语境把概率推偏，原本会被拦的内容就可能被生成出来。所谓「漏洞」，本质是这种判断被操纵的窗口。
01「涉黄漏洞」到底指什么
在行业语境里，这个词通常指三件事，混在一起容易说不清楚：
- 输入侧被绕过：明显违规的请求，被包装成不像违规请求的样子，通过了输入过滤。
- 输出侧漏检：内容确实生成了，但输出的审核环节没拦住，直接返回给用户。
- 策略不一致：同一个请求，换个说法、换个语言、换轮对话，判定结果完全不同。
第三类最值得产品方关注。它说明不是「有一道墙破了」，而是判定标准本身不稳定——这种不稳定在真实业务里会变成投诉、监管问询和品牌事故。
02常见的绕过类型（只讲类别）
下面这张表描述的是「手法特征」，不是可执行的方法。了解特征的用处是：你知道该在哪一层加防线。
| 类型 | 做法特征 | 为什么曾有效 | 现在的应对 |
|---|---|---|---|
| 角色扮演诱导 | 设定一个不受约束的虚构角色或剧本，把请求转成「扮演」 | 早期模型对「设定」的服从度高于安全策略 | 安全策略优先级高于角色设定，设定内同样拦截 |
| 分步试探 | 先问正常问题，逐步加码，试探阈值在哪 | 单轮判定，缺少跨轮一致性检查 | 整段会话意图识别 + 账号行为风控 |
| 编码与变形 | 谐音、拆字、拼音、外语、特殊符号替换关键词 | 过滤基于关键词匹配 | 语义向量审核替代字面匹配 |
| 虚构创作语境 | 以小说、剧本、学术研究为包装，主张「创作自由」 | 把创作类请求整体放行 | 按内容实质判定，不看外壳 |
| 多模态擦边 | 用画面描述规避敏感词，靠构图暗示 | 图像审核只看文本标签 | 图像内容识别 + 生成后二次检测 |
| 上下文污染 | 在长文档、长对话里夹带，靠信息量稀释 | 长上下文审核被截断 | 分段审核 + 关键段落回溯 |
以上分类是为了让你设计防线，不是让你去试。真正去试的代价，下面一节讲得很清楚。
03为什么这件事风险远高于「试试看」
法律层面
涉及未成年人的任何性相关内容，在各国都是刑事红线，不存在「只是文字」的豁免。传播淫秽物品同样有明确的法律后果。
账号层面
主流平台对越狱行为有专门风控。轻则限流、功能降级，重则永久封禁，且换号会被设备指纹关联。
数据层面
你的输入会被留存用于安全审计。以为「删了就没了」，实际上日志在服务端。
职业层面
如果是从业者在做产品测试，一旦被记录为「试图绕过安全策略」，在合规审查里是很难解释的事。
还有一个容易被忽略的点：这类尝试几乎没有收益。绕出来的内容质量通常很差，而且每次模型更新都会失效。花在试探上的时间，够你把提示词用在正经事情上练出真实水平。
04平台通常怎么防
一个相对完整的防护不是「一个过滤器」，而是一条链：
- 输入侧：先做意图分类，再决定要不要进入生成。关键词只做兜底，主力是语义判定。
- 生成侧：系统提示里写死安全策略，并明确「策略优先于用户设定」。
- 输出侧：生成后独立审核一次。这一层最容易被省掉，也最容易出事。
- 多模态：图像、视频单独走视觉审核，不能只依赖提示词文本。
- 账号侧：累积违规行为打分，触发限流或人工复核。
注意第 3 层。很多产品只在输入拦，结果用户换十种说法总有一种能过，输出就直接给到终端用户了。
05如果你是开发者：一段能直接用的安全策略
下面这段是防御向的系统提示写法，可以直接放进你的应用。它的作用是把「拒答标准」写清楚，减少模型临场发挥。
策略写完一定要配测试集：准备 30 条「正常请求 + 包装过的越界请求」，每次改提示词都跑一遍，看通过率和误拒率。没有测试集的安全策略，等于没有。
06普通用户的边界在哪
很多人其实不是想违规，只是不知道哪些能问。给你一条简单的判断线：
| 可以问 | 不要问 |
|---|---|
| 生理健康、避孕、性传播疾病预防 | 具体性行为的过程描写 |
| 性教育与未成年人保护相关知识 | 任何涉及未成年人的性内容 |
| 情感关系中的沟通与边界问题 | 以"创作"为名的露骨情节生成 |
| 医学、心理相关的就诊建议 | 规避审核、越狱、绕过限制的方法 |
左边这一列，模型答得比大部分搜索引擎更清楚，也更愿意解释。右边这一列，问了不会得到有用结果，只会留下记录。
07自查清单
- 我的产品是否只在输入侧做了拦截，输出侧没有二次审核？
- 安全策略里有没有写明「优先级高于角色设定」？
- 是否有针对未成年人内容的单独规则，而不是并入通用规则？
- 多模态内容（图片、视频）是否走了独立的视觉审核？
- 有没有 30 条以上的越界测试集，并且每次改版都跑？
- 拒答话术是否中性，不会激怒正常用户？
- 是否记录了违规行为，用于风控而不是只做单次拦截？
七条里做到五条以上，基本能挡住绝大多数公开的试探手法。剩下那些专门研究绕过的人，靠的不是提示词技巧，而是持续的对抗测试——那是另一套工作。
FAQ常见问题
为什么这篇文章不给具体写法？
因为给出可用写法等于教人违规，而且这类写法通常几周就失效，对读者没有长期价值。更重要的是，真正需要这类信息的人，目的往往不是做产品。
模型厂商知道这些漏洞吗？
知道，而且这是安全团队的核心工作之一。公开可见的绕过手法多数会被快速修补，剩下的往往是「策略权衡」而非技术缺陷——比如为了避免误拒正常用户，阈值不能定得太死。
我只是自己测试，会不会有风险？
会。输入会被留存用于安全审计，账号也可能被风控标记。涉及未成年人的内容，无论是否「只是测试」，在法律上都没有豁免空间。
开源模型是不是没有限制？
技术上可以自行部署无限制版本，但法律责任不会因此消失。部署者就是内容责任主体，这一点在监管口径里很明确。
怎么判断一个 AI 产品的安全做得怎么样？
看三点：是否在输出侧做二次审核、拒答话术是否稳定一致、多模态是否有独立审核。只做关键词过滤的产品，通常撑不过一轮对抗测试。
正常写文案会不会被误判？
有可能，尤其是涉及医疗、内衣、成人用品行业。合规做法是把产品描述写成功能与材质导向，避免感官描写。如果被误拒，用「产品用途」而不是「场景想象」来表述，通过率会高很多。