DeepSeek Harness 破甲提示词原理：DSH plugin 环境下越狱话术的运作机制

DeepSeek Harness 破甲提示词之所以一度能奏效，是因为安全对齐更像一层可被话术诱导的推理倾向，而不是一个可以硬关掉的开关；但 DSH plugin（中文也常写作 DSH插件、DeepSeek插件）环境里的工具门禁与沙箱完全不在模型话术的管辖范围内（来源）。 这篇从五个方向拆解它：① 为什么这类话术会有生存空间；② 一轮输入被组装成什么结构，话术到底攻的是哪一段；③ 四类常见构造的机制与共同受力点；④ 为什么抄一条旧提示词几乎必然失效；⑤ 遇到这类话术时该走哪条合规路子。破甲是什么、有哪些风险，见《DeepSeek Harness 破甲是什么》。

DeepSeek Harness 破甲提示词为什么存在：安全对齐不是硬开关

破甲提示词存在的前提，是安全对齐作用在模型的推理与输出上，本质是一层判断倾向而不是一个开关；只要存在「倾向」，就存在被话术带偏的空间（来源）。 把它和「硬开关」对照，差异就清楚了：

拆成三点更好理解：

1. 对齐是训练出来的倾向，不是运行时开关：模型对越界请求的拒绝来自训练形成的判断，它不像权限位那样可以精确开或关，因此留出了被话术反复试探的余地。
2. 一轮输入里存在指令优先级之争：你这一轮发给模型的内容不止一段，谁被当作「更高优先级的规则」，取决于话术如何描述它——这就是争抢点。
3. 生成是逐字推进的：一旦开头被带偏，后续输出容易沿着同一方向自我强化，于是几句铺垫常比一句直接请求更「有效」。

正因如此，「求一条破甲提示词」才会长期有市场：它赌的就是这层倾向能被几句话撬动。但也要注意，「不稳定」本身就是这类话术的死穴——同一个模板这次有效、下次没用，说明它依赖的从来不是可靠的机制。

一轮输入被组装成什么结构：话术到底攻的是哪一段

要讲清机制，得先看 DeepSeek Harness 每轮实际交给模型的输入长什么样。它大致由四段拼成，而话术真正能碰的只是其中一段：

看这张表就能明白四类构造各自在动哪一段：身份置换、上下文伪装、任务重述都落在「本轮用户消息」上，靠话术的写法去争优先级；只有分步降级是借「对话历史」累积来实现。

这也解释了一件事：凡是真正决定「动作能不能发生」的段落（系统提示词里的边界声明、工具门禁、沙箱），都不在话术的落点上。 话术能改的，自始至终只有「模型怎么理解你这句话」。

DSH plugin 环境下破甲提示词的运作机制：四类构造怎么起作用

四类常见构造攻的是同一层——模型对「谁在说话、按什么规则说」的判断；它们不改插件、不改框架，只改变你这段输入被如何理解。 按机制拆开看，只讲原理，不给可复制的用法：

1. 身份置换：用话术先给模型一个「新的身份」或「新的规则集」，再让它在那个设定下作答。机制是抬高后续内容的指令优先级，让新设定盖过原有约束。
2. 上下文伪装：把话术包装成「系统设定」「框架规则」这类看上去来自更高层的内容，诱导模型把它当成必须遵守的前提，而非用户的一句请求。
3. 任务重述：不直接提被拒的原请求，而是把它重述成一个中性、看似无害的任务，赌模型只对齐了表述而没有对齐意图。
4. 分步降级：把一个请求拆成多轮小步骤，每一步单独看都不敏感，靠累积上下文把最终结论推出单轮检查的视野。

这四类之所以会被后续模型版本逐步规避，是因为它们依赖的「优先级可争抢」空间在变窄：对齐训练越来越针对这类话术形态，模型对「伪装成系统设定」的输入也越来越警惕。

把四类拆到底：它们其实共享三个受力点

类型看着多，抽象出来其实只有三个可争抢的「旋钮」，所有话术都在拨这三根：

1. 权威来源的伪装：让模型以为这段话来自比自己更高的层级（身份置换、上下文伪装都在做这件事）。
2. 表述与意图的分离：让「字面上说什么」和「实际想要什么」看起来不一致（任务重述的核心）。
3. 上下文的连续性：让单轮看起来无害，把问题挪到多轮之间（分步降级的核心）。

一旦把话术还原成这三个旋钮，判断就简单了：任何一个旋钮被模型「认清」，对应的那类话术就失效。 而 DeepSeek Harness 侧的加固思路，正是对着这三个旋钮逐一收口——明确声明哪些来源不可信、用意图级对齐替代字面检查、在上下文组装阶段做整段判断。

为什么在 DSH plugin 环境里抄一条破甲提示词通常无效？

抄一条旧破甲提示词通常无效，因为有三道机制在同时收紧：模型版本迭代、系统提示词加固、工具层门禁（来源）。 逐条说明，并对应它封的是哪个旋钮：

1. 模型版本迭代：对齐训练随版本更新，旧话术的命中点被逐步覆盖，过去能过的表述现在多半直接触发拒绝。→ 封「表述与意图分离」。
2. 系统提示词加固：框架把行为边界写进每轮组装的前缀，规则更明确、更硬，话术想「重新定义规则」的难度随之上升。→ 封「权威来源伪装」。
3. 工具层门禁：真正执行动作的环节要过策略与审批，还有沙箱约束文件效果；因此即使模型在文字上配合，实际操作那一步依然过不去。→ 封「答应了就等于做到」的错觉。

结论很直接：破甲提示词能影响的只是「模型怎么回答」，改不了「动作能不能执行」；而它想影响的「模型怎么回答」这一层，又在被前两道机制持续收窄。两头受挤，这就是「抄模板基本没用」的完整原因。

破甲提示词能碰到什么、碰不到什么

把边界摊成一张表，比反复解释更直观：

这张表的用法是：只要你的目标落在后四行，破甲提示词就不是「不能保证」，而是「从机制上不可达」。

DSH plugin 的合规替代：让输出更贴合需求，不用绕安全策略

如果目标是让输出更贴合需求，合规的路子是把需求本身讲清楚——用系统提示词类或提示词工程类插件调整角色、语气与输出格式，这类插件只改提示词内容，不碰权限与沙箱边界。 想找这类插件，可以在 DSH Plugin Hub 的插件市场里按提示词、系统提示词等关键词浏览与核对。

具体落到写法上，可以按这四点组织：

1. 目标写具体：明确「要什么、不要什么」，避免用模糊指代让模型自行补全。
2. 约束显式化：把长度、格式、字段、语气写成可核对的硬要求。
3. 角色固定化：需要长期稳定的身份时，放进系统提示词，而不是每轮临时绕。
4. 样例示范：给一两条正例说明想要的输出形态，比反复描述更省事。

这四点做扎实，效果通常比任何话术都稳定——因为它们作用在「模型怎么理解任务」这一层，而这正是话术唯一合法也能生效的作用面。

关于 DeepSeek Harness 破甲提示词的常见误解

下面几条是搜索与讨论里最常出现的误解，逐条对照一遍：

1. 「破甲提示词是利用了漏洞」——错。 它利用的是对齐作为「软倾向」的余地，不是代码漏洞。
2. 「四类话术是四个不同原理」——其实是三个旋钮。 权威伪装、表述意图分离、上下文累积，所有构造都在这三者里组合。
3. 「模型答应了就等于能做到」——错。 工具门禁与沙箱是独立执行关卡，与模型说什么无关。
4. 「旧模板收藏起来备用就行」——基本无用。 三道机制同时收紧，旧模板在第一道门就被拦。
5. 「合规写法效果差」——恰恰相反。 目标、约束、角色、样例写清楚，可复现性远高于碰运气的话术。

关于 DeepSeek Harness 破甲提示词的注意事项

把破甲提示词看成「话术竞争」而不是「功能调用」，很多现象就解释得通了。

1. 攻的是一层判断：它作用于模型对身份与规则的判断，不是某个插件或命令的漏洞。
2. 不是硬开关：安全对齐是训练出来的倾向，所以才有被试探的空间，也因此越来越难撬动。
3. 旋钮只有三个：权威伪装、表述与意图分离、上下文累积——认清这三者，就认清了所有话术。
4. 版本会收紧：旧话术在版本迭代与系统提示词加固下持续失效，照抄基本没用。
5. 门禁不可绕：工具执行前要过策略与审批，还有沙箱兜底，模型话术改不了这一层。
6. 别信「破甲插件」：任何声称能绕过工具门禁或沙箱的插件都与官方机制矛盾。
7. 合规优先：把需求写清楚、用正规提示词插件，比绕安全策略更省事。
8. 概念与风险见《DeepSeek Harness 破甲是什么》，沙箱三种模式见《DeepSeek Harness 沙箱模式》。

来源：DeepSeek Harness 官方文档 - 系统提示词组装、官方文档 - 进程沙箱、官方文档 - 工具子系统。