多示例越狱：上下文越长，越容易被带偏

一句话定义：多示例越狱（Many-shot AI 词典：Jailbreak">Jailbreaking）指的是在一段提示里塞进几十甚至上百条「有害提问 + 有害回答」的示范，让模型顺着这个已经铺好的模式继续往下答，从而绕开本该有的拒绝。

原理：模型是个特别会「接龙」的模仿者

大模型本质上在干一件事：根据上下文预测下一个词。它没有真正「记住」什么，你给它的上下文就是在给它铺路——路铺成什么样，它就往哪个方向走。这就是上下文学习（In-Context Learning）：给几个例子，它就照着格式接着写，这也是少样本提示（Few-shot Prompting）能奏效的原因。

把「几个例子」换成「几百个例子」，事情就变味了。

打个比方：电梯里所有人都背对着门站，你走进去，大概率也会转过身去——不是有人命令你，而是周围的行为模式在推着你走，这叫从众。多示例越狱就是这么回事：上下文里几十条示范都在「问敏感问题、得到详细回答」，模型看到的模式高度一致，它判断「接下来最合理的续写」就是一板一眼地照答，安全对齐的那点阻力被淹没了。

关键在于，这条攻击路径以前走不通。早期模型的上下文窗口只有几千 token，塞不下几十轮问答。如今长上下文成了标配，动辄几万到几十万 token，「弹药」才够用了——所以它被看作长上下文带来的新攻击面，而不是某个提示词的文字游戏。公开研究里一个比较稳定的发现是：示例数量越多，攻击成功率越高，曲线形状和正常能力随示例数提升的曲线颇为相似，只是这回提升的是「越狱成功率」。

和相邻概念的区别

前两者的差别只是意图，后两者的差别是「量变引起质变」：多示例越狱不依赖任何聪明措辞，靠的是规模。

对从业者和普通人的意义

做产品和安全的团队，第一件事是把评测集改掉：只测单轮短提示，测不出这类问题。需要按上下文长度、示例条数分层压测，观察拒绝率随提示变长怎么变化。防御方向大致有输入侧检测（识别一次出现大批量有害问答模板）、长上下文下的安全训练、生成过程中的监控。但要提醒一句，这里没有免费午餐：用户可能正当上传一份举报材料、法务卷宗或安全审计记录，里面天然就有大量违规内容，一律拒绝会误伤真实需求。怎么在「别被带偏」和「别乱拒绝」之间找平衡，各家做法不同，具体缓解措施以官方文档为准。

对普通职场人，有两件事值得记住：别人发来一份超长提示词模板让你直接用，里面可能夹带了示范，先看看再粘贴；把整个长对话记录不假思索地喂回模型，也可能产生类似效果。能塞进上下文，不等于塞进去就安全。